Kurze Antwort
Wenn Dateien verschlüsselt sind, trennen Sie den Computer sofort vom Netzwerk und Internet, zahlen Sie kein Lösegeld und löschen Sie nichts. Sichern Sie Beweise (Lösegeldforderung, verschlüsselte Dateien), prüfen Sie das Backup und starten Sie einen Scan von einem anderen, sauberen Computer. Wenn mehrere Geräte oder Server betroffen sind, stellen Sie den Betrieb ein und rufen Sie den IT-Support.
So erkennen Sie das Problem
- Dateien haben ungewöhnliche Erweiterungen (z. B. .locked, .enc, .crypt) und lassen sich nicht öffnen
- Auf dem Desktop oder in Ordnern erscheint eine Textdatei mit Anweisungen zur Lösegeldzahlung
- Der Bildschirmhintergrund wurde in eine Warnmeldung geändert
- Der Computer ist langsam und der Virenscanner meldet eine Bedrohung oder wurde deaktiviert
- Netzwerkfreigaben und freigegebene Ordner sind ebenfalls betroffen
Häufigste Ursachen
Phishing-E-Mail mit schädlichem Anhang
Der häufigste Infektionsweg ist das Öffnen eines Anhangs (ZIP, Dokument mit Makros) oder das Klicken auf einen Link in einer gefälschten Nachricht. Ransomware wird ausgeführt, wenn der Benutzer die Ausführung erlaubt.
Schwachstelle in Software oder System
Ein nicht aktualisiertes Betriebssystem, ein Browser oder eine Anwendung kann ausgenutzt werden, um Ransomware automatisch herunterzuladen und auszuführen. Regelmäßige Updates verringern dieses Risiko.
Schwache Passwörter und RDP-Zugriff
Angreifer erraten oft Passwörter für den Fernzugriff (RDP) oder für Netzwerkfreigaben. Sobald sie eingedrungen sind, breiten sie die Verschlüsselung auf andere Geräte aus.
Ungeschützte Wechselmedien
USB-Sticks und externe Festplatten können Ransomware von einem infizierten Computer übertragen. Das Anschließen eines solchen Mediums an einen sauberen Computer löst die Infektion erneut aus.
Lösung Schritt für Schritt
- 1
Trennen Sie den Computer vom Netzwerk und Internet
Ziehen Sie sofort das Netzwerkkabel ab und schalten Sie Wi-Fi aus (in Windows 11:
Einstellungen > Netzwerk und Internet > Wi-FiSchalter ausschalten; in Windows 10:Einstellungen > Netzwerk und Internet > Wi-Fi). Dadurch verhindern Sie die Ausbreitung auf freigegebene Ordner und andere Computer. Schalten Sie den Computer nicht aus, wenn Sie nicht sicher sind, ob die Verschlüsselung abgeschlossen ist, da sonst Beweise verloren gehen können. - 2
Zahlen Sie kein Lösegeld und löschen Sie keine Dateien
Die Zahlung garantiert nicht, dass Sie Ihre Daten zurückbekommen, und ermutigt die Angreifer. Bewahren Sie die Lösegeldforderung auf (Textdatei, Hintergrund) und versuchen Sie nicht, die Dateien selbst zu entschlüsseln, es sei denn, Sie haben ein verifiziertes Tool. Löschen Sie nur, wenn ein IT-Experte Ihnen sagt, dass es sicher ist.
- 3
Sichern Sie Beweise und notieren Sie die Uhrzeit
Machen Sie ein Foto vom Bildschirm mit der Lösegeldforderung und notieren Sie, wann Sie das Problem bemerkt haben. Kopieren Sie einige verschlüsselte Dateien und die Textdatei mit den Anweisungen auf einen separaten USB-Stick, den Sie sofort abziehen und später nicht ohne Scan an andere Computer anschließen. Diese Daten helfen bei der Identifizierung des Ransomware-Typs und einer eventuellen Wiederherstellung.
- 4
Prüfen Sie, ob Sie ein Backup haben
Wenn Sie eine externe Festplatte oder ein Netzwerk-Backup haben, schließen Sie es nicht an den infizierten Computer an. Prüfen Sie das Backup von einem anderen, sauberen Computer. Wenn das Backup zum Zeitpunkt der Infektion verbunden war, kann es ebenfalls verschlüsselt sein, behandeln Sie es also als potenziell infiziert.
- 5
Starten Sie einen Scan von einem anderen Computer
Wenn Sie wissen wie, verwenden Sie einen verifizierten Virenscanner von einem bootfähigen USB-Stick. Schließen Sie die entfernte Festplatte nicht ohne Schreibschutz direkt an einen sauberen Computer an. Starten Sie einen vollständigen Scan, aber öffnen Sie keine verschlüsselten Dateien. Wenn Sie unsicher sind, überspringen Sie diesen Schritt und wenden Sie sich an einen Experten.
- 6
Ändern Sie Passwörter von einem sauberen Gerät
Ändern Sie von einem anderen, sauberen Computer oder Telefon die Passwörter für E-Mail, Online-Banking und andere wichtige Konten. Aktivieren Sie nach Möglichkeit die Zwei-Faktor-Authentifizierung. Melden Sie sich nicht mit dem infizierten Computer bei Konten an.
- 7
Benachrichtigen Sie die zuständigen Stellen und bewahren Sie Ruhe
Wenn es sich um eine geschäftliche Umgebung handelt, informieren Sie die IT-Abteilung und die Geschäftsleitung. In Serbien können Sie eine Anzeige beim Innenministerium und beim nationalen CERT (CERT.RS) einreichen. Teilen Sie keine Details zum Angriff öffentlich, bis sich die Lage stabilisiert hat.
Wenn nichts hilft: Wiederherstellung und professionelle Hilfe
Wenn Sie kein Backup haben und die Dateien dauerhaft verschlüsselt sind, versuchen Sie nicht, sie mit improvisierten Tools zu „reparieren“. Es gibt öffentliche Datenbanken (z. B. ID Ransomware), bei denen Sie eine Probe der verschlüsselten Datei und die Lösegeldforderung einreichen können, um den Ransomware-Typ zu identifizieren. Für einige ältere Varianten gibt es kostenlose Entschlüsselungstools von Antivirenherstellern, für neue Versionen jedoch selten. Wenn mehrere Computer oder Server betroffen sind, trennen Sie das gesamte Netzwerk vom Internet und rufen Sie den IT-Support. Führen Sie nach der Wiederherstellung unbedingt eine saubere Neuinstallation des Systems durch (sichern Sie vorher nur verifizierte Daten, da die Installation die Festplatte löscht), ändern Sie alle Passwörter und richten Sie regelmäßige Backups nach der 3-2-1-Regel ein (drei Kopien, zwei Medien, eine außerhalb des Standorts).
So beugen Sie vor
- Erstellen Sie regelmäßig Backups und bewahren Sie sie getrennt vom Computer auf (externe Festplatte ausgeschaltet oder Cloud mit Versionierung)
- Aktualisieren Sie Windows auf eine unterstützte Version, macOS, Browser und Anwendungen, sobald Updates verfügbar sind
- Öffnen Sie keine Anhänge und Links aus unerwarteten Nachrichten, auch wenn sie bekannt erscheinen
- Aktivieren Sie die Zwei-Faktor-Authentifizierung und verwenden Sie starke, einzigartige Passwörter
Wann Sie einen Profi rufen sollten
Wenn mehrere Geräte, ein Server oder das gesamte Geschäftsnetzwerk infiziert sind oder Sie kein verifiziertes Backup haben, rufen Sie den IT-Support, bevor Sie versuchen, das Problem selbst zu lösen. Ein Experte kann die Infektion isolieren, den Schaden bewerten und die Daten sicher wiederherstellen.
IT-Infrastruktur-Wartung · Server, Netzwerke, Backup, Sicherheit und HelpdeskHäufige Fragen
Soll ich das Lösegeld zahlen, um meine Dateien zurückzubekommen?
Es wird nicht empfohlen. Die Zahlung garantiert nicht, dass Sie korrekte Dateien erhalten, und kann Sie als Ziel für zukünftige Angriffe markieren. Sichern Sie stattdessen Beweise und prüfen Sie das Backup.
Kann ich die Dateien selbst entschlüsseln?
In seltenen Fällen, bei bekannten älteren Ransomware-Varianten, gibt es kostenlose Tools. Für die meisten neuen Infektionen gibt es keine öffentliche Lösung. Identifizieren Sie zuerst den Ransomware-Typ (z. B. über ID Ransomware) und zahlen Sie nicht im Voraus.
Was, wenn Ransomware ein Netzwerklaufwerk befallen hat?
Trennen Sie das Netzwerklaufwerk sofort oder beenden Sie die Freigabe vom infizierten Computer. Wenn möglich, trennen Sie auch den Server vom Netzwerk, aber schalten Sie ihn nicht ohne Rat eines Experten aus. Wenden Sie sich an einen IT-Experten, da das Risiko der Ausbreitung auf andere Benutzer groß ist.