Ransomware-Fälle ähneln sich erstaunlich stark. Wer den typischen Ablauf kennt, versteht, warum bestimmte Entscheidungen in den ersten 48 Stunden so viel Gewicht haben – technisch wie rechtlich. Der folgende Fall ist ein Komposit aus realen Mustern, wie sie Incident-Response-Berichte seit Jahren dokumentieren.
Der Ablauf
Tag 0 bis Tag ~14: Der stille Teil. Der Einstieg erfolgt unspektakulär – eine Phishing-Mail mit Zugangsdaten-Abgriff, ein ungepatchtes VPN-Portal oder gekaufte Zugangsdaten aus einem früheren Leak. Danach passiert wochenlang scheinbar nichts: Die Angreifer bewegen sich durchs Netz, sammeln Berechtigungen, identifizieren Backups und ziehen Daten ab. Dieser Datenabfluss vor der Verschlüsselung ist heute der Normalfall, nicht die Ausnahme – er ist die zweite Erpressungsgrundlage.
Tag X, meist nachts oder am Wochenende: Die Verschlüsselung. Server werden verschlüsselt, oft inklusive der erreichbaren Backups. Auf den Systemen liegt eine Erpresserbotschaft mit Kontaktweg und Frist.
Tag X bis X+2: Die Entscheidungsphase. Jetzt fällt fast alles, was den Ausgang bestimmt: Wer wird informiert? Was wird abgeschaltet? Wird gezahlt? Wer verhandelt? Und: Sind die Meldefristen im Blick?
Die typischen Fehler
- Beweise vernichten. Betroffene Systeme werden sofort neu aufgesetzt – verständlich, aber damit sind forensische Spuren weg, die für Versicherung, Strafverfolgung und die Frage „was wurde abgezogen?“ gebraucht werden. Erst sichern (Images, Logs), dann bereinigen.
- Meldefristen verpassen. Die DSGVO verlangt die Meldung an die Aufsichtsbehörde binnen 72 Stunden, wenn personenbezogene Daten betroffen sind – und das sind sie bei Datenabfluss praktisch immer. NIS2-regulierte Unternehmen haben zusätzlich eine Erstmeldung binnen 24 Stunden ans BSI. Diese Fristen laufen ab Kenntnis, nicht ab Abschluss der Analyse; melden lässt sich auch mit vorläufigem Kenntnisstand.
- Unkoordiniert mit den Tätern kommunizieren. Wer ohne Erfahrung in den Chat der Erpresser geht, verrät Zahlungsbereitschaft und Zeitdruck – beides treibt den Preis. Kommunikation gehört in eine Hand, mit Rückendeckung von Forensik und Rechtsbeistand.
- Die Versicherung zu spät einbinden. Cyber-Versicherer haben Obliegenheiten (Meldung, freigegebene Dienstleister). Wer erst Dienstleister beauftragt und dann den Versicherer informiert, riskiert die Deckung.
Zur Zahlungsfrage
Die Zahlung von Lösegeld ist in Deutschland für das Opfer in der Regel nicht strafbar, aber sie ist auch keine reine Geschäftsentscheidung: Sanktionslisten können einer Zahlung entgegenstehen, die Wiederherstellung nach Zahlung ist nicht garantiert, und die abgeflossenen Daten bleiben abgeflossen – das „Löschversprechen“ der Täter ist wertlos. Die Entscheidung sollte nie unter Zeitdruck allein in der Geschäftsführung fallen, sondern mit Forensik, Rechtsbeistand und Versicherer am Tisch.
Die Lehren
Die beste Incident Response beginnt vor dem Incident: getestete Offline-Backups, ein Notfallplan auf Papier (der Fileserver mit dem Plan ist im Ernstfall verschlüsselt), definierte Rollen und die Telefonnummern von Forensik, Rechtsbeistand und Versicherer im Voraus. Wer diese Liste erst am Tag X googelt, verliert die 48 Stunden, die den Unterschied machen.
Dieser Artikel ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung im Einzelfall.