Datenrettung nach einem Ransomware-Angriff
Moderne Ransomware verschlüsselt sauber. Ohne Schlüssel lässt sich eine korrekt verschlüsselte Datei nicht entschlüsseln – wer das verspricht, verhandelt meist mit den Angreifern. Das tun wir nicht.
Trotzdem ist oft viel zu retten: Viele Angreifer verschlüsseln große Dateien nur teilweise, löschen Schattenkopien unvollständig oder übersehen Snapshots und alte Datenbereiche. Genau dort setzen wir an.
Was oft wiederherstellbar ist
| Quelle | Warum es funktioniert |
|---|---|
| Teilweise verschlüsselte Dateien | Viele Varianten verschlüsseln nur Anfang oder Abschnitte großer Dateien. VM-Platten und Datenbanken lassen sich dann oft reparieren. |
| Gelöschte Originale | Die Ransomware schreibt eine verschlüsselte Kopie und löscht das Original. Die alten Blöcke sind auf Festplatten häufig noch vorhanden. |
| Snapshots, Schattenkopien | Werden nicht immer vollständig gelöscht, besonders auf NAS (Btrfs, ZFS) und Hypervisoren. |
| Backups | Beschädigte oder teilweise verschlüsselte Sicherungen und Backup-Kataloge. |
Was Sie jetzt tun sollten
- Betroffene Systeme vom Netz trennen, aber nicht neu installieren.
- Keine Entschlüsselungs-Tools aus dem Internet auf den Originalen ausprobieren.
- Lösegeldforderung und eine verschlüsselte Beispieldatei sichern.
- Vorfall dokumentieren; bei personenbezogenen Daten gilt die Meldepflicht nach Art. 33 DSGVO.
Häufige Fragen
Können Sie die Dateien entschlüsseln?
Nur, wenn für die Variante ein öffentlicher Schlüssel oder ein Fehler in der Verschlüsselung bekannt ist. Das prüfen wir zuerst. Sonst retten wir, was nicht oder nur teilweise verschlüsselt wurde.
Verhandeln Sie mit den Angreifern?
Nein.
Sollen wir die Festplatten ausbauen und schicken?
Ja, oder wir erstellen Abbilder vor Ort. Siehe Vor-Ort-Service.
Angriff erkannt?
Systeme trennen und anrufen. Je weniger seitdem geschrieben wurde, desto mehr ist zu retten.