Warum ein Backup hier nicht rettet

Die meisten stellen sich einen Ransomware-Angriff so vor: Die Dateien sind plötzlich unlesbar, auf dem Bildschirm steht eine Lösegeldforderung. Wer eine gute Sicherung hat, spielt sie zurück und macht weiter. Falsch ist das nicht. Es ist nur die halbe Geschichte.

Angreifer kopieren die Daten heute in aller Regel heraus, bevor sie verschlüsseln. Damit haben sie ein zweites Druckmittel, das vom Backup vollkommen unberührt bleibt. Wer nicht zahlt, bekommt seine Systeme mit der Sicherung zurück — und muss trotzdem damit rechnen, dass die Daten veröffentlicht werden. Genau das ist in Berlin geschehen.

Für die Vorbereitung heißt das: Die Frage „Können wir wieder anfangen zu arbeiten?“ ist nur die erste. Die zweite lautet: „Was steht in den Dateien, die jemand mitnehmen könnte, und wen trifft es, wenn sie öffentlich werden?“ Auf die zweite Frage hat in kleinen Betrieben selten jemand eine Antwort.

Die eigentliche Lehre: Wo liegen Ihre Zugangsdaten?

Unter dem, was in Berlin öffentlich wurde, waren nach übereinstimmenden Berichten Zugangsdaten im Klartext — in Dateien mit Namen wie „Zugangsdaten.txt“ und „Passwort.docx“, in denen Benutzername und Kennwort offen nebeneinanderstanden. Diese beiden Dateinamen sind der Grund, warum der Fall auch einen Handwerksbetrieb mit acht Leuten angeht. Sie sehen nicht nach Behörde aus, sondern nach Alltag.

Dass Zugangsdaten in Word- oder Excel-Dateien stehen, ist keine Berliner Besonderheit. Es ist der Normalfall in gewachsenen Organisationen jeder Größe. In kleinen Betrieben finde ich es regelmäßig vor: die Liste auf dem Laufwerk, die Tabelle im Ordner „Verwaltung“, die Datei mit den Zugängen zum Steuerberaterportal.

Solange niemand von außen hineinkommt, fällt das nicht auf. Es entscheidet aber darüber, wie groß der Schaden wird, wenn doch jemand hineinkommt. Ein Diebstahl ohne Zugangsdaten ist ein Vorfall mit begrenztem Umfang: unangenehm, meldepflichtig, aber abgeschlossen. Ein Diebstahl mit Zugangsdaten ist ein Vorfall, der weiterläuft — weil jeder Zugang, der dort steht, ab sofort als kompromittiert gelten muss, auch bei Dritten.

Der Gegenschritt ist unspektakulär und kostet in kleinen Betrieben wenig: Zugangsdaten gehören in einen Passwort-Manager und nicht in Dateien. Das ist kein Großprojekt, sondern eine Umstellung, die sich in wenigen Tagen erledigen lässt — der mühsame Teil ist nicht die Technik, sondern das Aufspüren der alten Listen. Welche Varianten es gibt und ob sich ein eigener Tresor lohnt, habe ich in Passwort-Manager selbst hosten oder mieten durchgerechnet.

Was ein kleiner Betrieb daraus konkret mitnehmen sollte

• Zugangsdaten raus aus Dateien. Der wirksamste Einzelschritt, weil er den Folgeschaden begrenzt statt den Angriff zu verhindern.
• Zwei-Faktor-Anmeldung überall dort, wo es sie gibt. Ein gestohlenes Kennwort allein reicht dann nicht mehr aus.
• Das Backup einmal zurückspielen, nicht nur anlegen. Wer das nie getan hat, weiß nicht, ob er es kann.
• Wissen, welche Daten wo liegen. Nicht als Projekt, sondern als grobe Landkarte: Personaldaten, Kundendaten, Gesundheitsdaten, Verträge. Ohne sie können Sie im Ernstfall weder einschätzen noch melden.
• Vorher klären, wer informiert wird. Bei personenbezogenen Daten sieht die Datenschutz-Grundverordnung eine Meldung an die Aufsichtsbehörde in der Regel binnen 72 Stunden vor; bei hohem Risiko kommt die Information der Betroffenen hinzu. Für Betriebe im Anwendungsbereich von NIS2 gelten daneben eigene Melde- und Fristenregeln.

Was in Berlin passiert ist — die gesicherten Eckpunkte

Für alle, die den Fall im Detail einordnen wollen: Betroffen waren zwei Senatsverwaltungen des Landes Berlin. Die betroffenen Systeme wurden vom Landesnetz getrennt, das Land arbeitete nach eigenen Angaben mit Landeskriminalamt, Staatsanwaltschaft und dem Bundesamt für Sicherheit in der Informationstechnik zusammen. Die Tätergruppe forderte mindestens 30 Bitcoin, umgerechnet rund zwei Millionen Euro.

Das Land zahlte nicht. Die zuständige Stelle formulierte es so: Das Land Berlin gebe einer Erpressung nicht nach. Nach Ablauf der von den Tätern gesetzten Frist wurden die Daten am 4. September veröffentlicht. Das Land teilte mit, dass personenbezogene Daten von Beschäftigten, Bürgerinnen und Bürgern sowie Unternehmen betroffen sein können und Betroffene risikobasiert informiert werden.

Zum Umfang kursieren Zahlen, die aus Täterangaben und Auswertungen Dritter stammen — unter anderem eine Größenordnung von knapp sechs Terabyte und über eine Million Dateien. Ich führe sie hier bewusst nicht als Fakten, sondern als das, was sie sind: Angaben der Angreifer, die sich von außen nicht prüfen lassen. Für die Lehre, um die es geht, spielt die genaue Zahl keine Rolle.

Der Ablauf im Ernstfall: Was in welcher Reihenfolge passiert

Wer einen Verschlüsselungsangriff bemerkt, hat keine Zeit, sich einen Ablauf zu überlegen. Deshalb hier der Ablauf, wie er in der Praxis aussieht. Sie müssen ihn nicht auswendig können, aber Sie sollten wissen, dass es ihn gibt und wen Sie anrufen.

In der ersten Stunde gilt: eindämmen, nicht aufräumen. Betroffene Systeme vom Netz trennen, aber nicht abschalten und nichts löschen. Der Arbeitsspeicher und die Protokolldateien enthalten die Spuren, die später zeigen, wie die Angreifer hereinkamen und was sie mitgenommen haben. Wer voreilig neu installiert, vernichtet genau diese Information und weiß hinterher nicht, ob der Zugang noch offen ist.

Noch am selben Tag: Hilfe holen und Anzeige erstatten. Für die technische Aufarbeitung braucht es einen Dienstleister mit Erfahrung in der Vorfallbearbeitung; das ist ein eigenes Fach und nicht dasselbe wie die laufende IT-Betreuung. Für die Anzeige gibt es in jedem Bundesland eine Zentrale Ansprechstelle Cybercrime bei den Landeskriminalämtern — das ist die richtige Adresse, nicht die örtliche Wache. BSI und BKA empfehlen die Anzeige ausdrücklich. Sie ist außerdem häufig Voraussetzung dafür, dass eine Cyberversicherung leistet.

Parallel laufen die Meldefristen. Sind personenbezogene Daten betroffen, gilt die 72-Stunden-Frist der Datenschutz-Grundverordnung, unabhängig davon, wie weit die technische Aufarbeitung ist. Erst danach lässt sich prüfen, was die Angreifer tatsächlich mitgenommen haben — und diese Einschätzung sagt Ihnen, wen Sie informieren müssen und wie groß der Schaden wirklich ist.

Verhandeln, Entschlüsselungsprobe, Zahlung — was Fachleute tatsächlich tun

Zur Vorfallbearbeitung gehört auch der Kontakt zu den Tätern, und das überrascht viele. Spezialisierte Dienstleister nehmen die Verhandlung auf — nicht unbedingt, um zu zahlen, sondern um Zeit zu gewinnen, den Umfang der Forderung zu klären und einzuschätzen, mit wem man es zu tun hat.

Ein Standardschritt dabei ist die Entschlüsselungsprobe: Man lässt eine einzelne, unkritische Datei probeweise entschlüsseln. Funktioniert das nicht, ist die Frage nach der Zahlung ohnehin erledigt, denn dann existiert kein brauchbarer Schlüssel. Funktioniert es, ist immerhin bewiesen, dass die Gegenseite technisch liefern könnte.

Eines sollte ein kleiner Betrieb dabei nicht tun: selbst verhandeln. Das ist kein Misstrauen gegenüber Ihren Fähigkeiten, sondern eine Frage der Erfahrung. Die Gegenseite tut das beruflich, jeden Tag.

Dazu gehört ein Punkt, der in der Aufarbeitung solcher Fälle immer wieder auftaucht: Die Höhe der Forderung ist selten geraten. Angreifer bewegen sich vor der Verschlüsselung tagelang im Netz und sehen sich an, was sie finden — Buchhaltung, Jahresabschlüsse und mit besonderem Interesse die Cyberversicherungspolice. Die Summe wird danach bemessen, was der Betrieb tragen kann.

Praktisch folgt daraus zweierlei. Erstens gehören Finanzunterlagen und Versicherungsdokumente zu den Beständen, deren Zugriff man besonders eng fassen sollte: Sie sind nicht nur schutzwürdig, sie bestimmen im Ernstfall den Preis. Zweitens ist die Vorstellung falsch, man könne die Forderung durch Armut kleinreden. Die Gegenseite weiß es meist besser.

Zahlen oder nicht zahlen — die Abwägung, die Ihnen niemand abnimmt

Die meisten Ratgeber beantworten diese Frage in einem Satz: nicht zahlen. Ich halte das für zu einfach, und der Berliner Fall zeigt warum. Dort wurde nicht gezahlt, und der Schaden ist trotzdem eingetreten, in einem Umfang, der sich nicht mehr rückgängig machen lässt. Nichtzahlung ist also nicht automatisch der günstigere Weg. Sie ist eine Entscheidung mit eigenen Kosten.

Diese Abwägung kann Ihnen niemand abnehmen, auch ich nicht. Sie hängt davon ab, was die Angreifer bei Ihnen mitgenommen haben, wie lange Sie ohne Ihre Systeme durchhalten und wen ein Bekanntwerden trifft: Ihre Kunden, Ihre Beschäftigten, Ihre Auftraggeber. Ein Betrieb, dessen Auftragsbücher liegen bleiben, rechnet anders als eine Behörde mit gesetzlichem Auftrag.

Was für eine Zahlung sprechen kann: Wochen Stillstand kosten oft ein Vielfaches der Forderung, eine Wiederherstellung gelingt nicht immer vollständig, und bei besonders sensiblen Inhalten wiegt die Veröffentlichung schwerer als jeder Betrag. Unternehmen zahlen aus diesen Gründen, auch wenn kaum jemand öffentlich darüber spricht.

Was Sie auf der anderen Seite einrechnen müssen — und das sind keine Meinungen, sondern Eigenschaften der Situation:

• Sie kaufen kein Ergebnis, sondern ein Versprechen. Die Daten sind kopiert. Ob nach der Zahlung tatsächlich alle Kopien gelöscht werden, kann niemand überprüfen; es gibt keinen Beleg für eine Löschung.
• Die nächste Forderung kann folgen. Wer einmal gezahlt hat, ist als zahlungsbereit bekannt. Dass dieselbe oder eine andere Gruppe erneut auftritt, ist ein bekanntes Muster.
• Die Meldepflichten bleiben. Eine Zahlung macht den Diebstahl nicht ungeschehen und befreit nicht davon, Aufsichtsbehörde und gegebenenfalls Betroffene zu informieren.
• Es kann rechtlich heikel werden. In Deutschland ist die Zahlung als solche derzeit nicht verboten. Je nach Empfänger können aber Vorschriften greifen. Steht die Tätergruppe auf einer Sanktionsliste, wird es heikel. Diskutiert werden außerdem Fälle rund um die Unterstützung krimineller Vereinigungen und Geldwäsche. Wer eine Zahlung ernsthaft erwägt, sollte das vorher rechtlich prüfen lassen.

BSI und BKA raten von Zahlungen ab, und diese Empfehlung hat gute Gründe: Sie zielt darauf, dem Geschäftsmodell die Grundlage zu entziehen. Man sollte aber sehen, dass sie aus einer Position gesprochen wird, die den Stillstand nicht selbst aushalten muss. Für den einzelnen Betrieb ist das eine Abwägung zwischen konkreten eigenen Schäden, nicht zwischen richtig und falsch.

Der Schaden lässt sich zudem nicht immer in Geld ausdrücken. Im Berliner Fall waren nach Berichten neben Personalunterlagen auch Dokumente mit Sicherheitsbezug betroffen — Informationen, die sich durch keine Wiederherstellung zurückholen lassen, weil sie schlicht bekannt sind. Wer angesichts dessen fragt, ob Zahlen nicht das kleinere Übel gewesen wäre, stellt eine berechtigte Frage. Sicher beantworten lässt sie sich nicht, weil niemand weiß, ob nach einer Zahlung tatsächlich gelöscht worden wäre.

Warum der Fall mit der Veröffentlichung nicht endet

Viele denken, mit der Veröffentlichung sei das Schlimmste vorbei: Die Erpressung ist gescheitert, die Daten sind draußen, das Kapitel geschlossen. So funktioniert es nicht.

Was veröffentlicht wurde, steht ab diesem Moment allen zur Verfügung, nicht nur der ursprünglichen Gruppe. Enthalten die Daten Zugangsdaten, sind das Einstiegspunkte für den nächsten Angriff — und zwar für jeden, der sie findet. Der ursprüngliche Vorfall wird damit zum Ausgangspunkt weiterer Vorfälle, auch bei Dritten, deren Systeme in den Unterlagen auftauchen.

Deshalb gehört nach einem solchen Vorfall ein Schritt dazu, den viele vergessen: Tauschen Sie alle Zugangsdaten aus, die in den betroffenen Beständen gestanden haben könnten. Auch die, bei denen Sie sich nicht sicher sind. Das ist mühsam. Es ist deutlich weniger mühsam als der zweite Vorfall.

Der unbequeme Teil

Der Fall zeigt auch etwas, das in Ratgebern selten steht: Zwischen dem Beginn eines Angriffs und dem Trennen der betroffenen Systeme können Tage liegen. In dieser Zeit bewegen sich Angreifer im Netz und nehmen mit, was sie finden. Nicht der Einbruch selbst entscheidet über den Schaden, sondern die Zeit bis zum Bemerken.

Für kleine Betriebe ist das eine ernüchternde Nachricht, weil Erkennung genau das ist, was ohne eigene IT-Abteilung schwerfällt. Der Rat lautet deshalb nicht „führen Sie eine Angriffserkennung ein“, sondern: Sorgen Sie dafür, dass ein Einbruch möglichst wenig wert ist. Getrennte Zugänge, keine Kennwörter in Dateien, ein Backup außerhalb der Reichweite des Angreifers, und Rechte, die nur so weit reichen wie nötig. Das ist unspektakulär und wirkt.