Tag X – der Befall

Wenn alle Vorbereitungen und Schutzwälle durchdrungen wurden, ist guter Rat teuer. Meist wird der PC erst etwas langsam, ver­weigert Aktionen und zeigt danach plötzlich einen Textbildschirm, der den Nutzer informiert, dass seine Daten verschlüsselt seien und sie erst wieder entschlüsselt würden, wenn ein Lösegeld bezahlt werde. Zusätzlich wird oft ein Link zu einer Webseite eingeblendet, die einem erklärt, wie man die Kryptowährung Bitcoin kauft. Denn die Erpresser möchten, dass für die Entschlüsselungs-Keys eine gewisse Summe in Bitcoins in eine Bitcoin-Wallet eingezahlt wird. Einige Angreifer bieten sogar einen Link zu einem Chat, in dem die Angreifer ansprechbar sind. Das alles klingt zwar etwas verrückt, aber für die Cybergauner ist es ein Geschäft, bei dem sie Support zur Zahlung anbieten, Bild 2.

Bevor Sie sich aber mit einer Bezahlung, Bitcoins oder anderen Dingen beschäftigen, sollten Sie zuerst alles sichern und retten, was noch möglich ist. Denn niemand garantiert, dass nach der Bezahlung die Daten auch wirklich freigegeben werden. Nutzen Sie dazu unsere Anleitung.

Sobald Sie sicher sind, dass Ihre Daten verschlüsselt sind, sollten Sie Ihren PC erst einmal isolieren – und zwar möglichst schnell.

Eine aktive Ransomware verschlüsselt zwar die Daten auf dem PC, aber das können Sie in der Regel nicht mehr stoppen. Allerdings sucht der Angreifer (zum Beispiel ein Schädling wie Emotet) alle verfügbaren Laufwerke am PC – sowohl lokale als auch alle externen und Netzwerklaufwerke, Bild 3. Waren Sie schnell, sind diese Daten vielleicht noch nicht verschlüsselt. Aber: Selbst wenn die Daten noch normal da sind, kann es sein, dass der Angreifer weitere verseuchte Dateien für eine erneute Infizierung hinterlegt hat. Sie werden sie zur Sicherheit scannen müssen. Dazu später noch mehr.

Ganz wichtig ist das Löschen der gefährlichen E-Mail mit der Malware und das Ändern der E-Mail-Zugänge. Denn sobald Angreifer auf dem System sind, führen sie einige Aktionen parallel aus. Eine davon, wieder am Beispiel von Emotet, ist die Weiterverbreitung der Angriffs-Software. Dazu will der Angreifer Ihren guten Absendernamen missbrauchen und sendet vertrauenserweckende E-Mails an Ihre Kontakte.

Sind die Zugänge geändert, könnten Sie bei Bedarf den PC auch wieder ans Internet anschliessen. Der installierte E-Mail-Client kann keine gefährlichen E-Mails mehr versenden. Allerdings sollten Sie zuvor das Problem mit den Cloud-Services lösen (siehe dazu nächster Abschnitt), Bild 4.