Kurzfassung
- Verschlüsselte Dateien lassen sich ohne passenden Schlüssel praktisch nicht öffnen
- Wiederherstellung gelingt am zuverlässigsten aus sauberen, getrennten Backups
- Für einige Ransomware-Familien gibt es kostenlose Decryptoren (z. B. No More Ransom)
- Eine Zahlung garantiert keine Entschlüsselung und ist juristisch und ethisch heikel
Was technisch passiert ist
Bei einem klassischen Krypto-Ransomware-Angriff wird für jede Datei ein symmetrischer Schlüssel erzeugt und mit einem öffentlichen Schlüssel der Angreifer geschützt. Ohne den passenden privaten Schlüssel bleiben die Dateien praktisch unlesbar. Das ist kein Sortier- oder Lesefehler, sondern eine bewusste, mathematisch belastbare Verschlüsselung.
Häufig ändern Angreifer zusätzlich die Dateiendungen, legen Erpresserschreiben (Readme-, How-to-decrypt-Dateien) ab und löschen oder beschädigen Schattenkopien und erreichbare Backups.
Typische Anzeichen
- Dateien lassen sich nicht mehr öffnen und tragen neue Endungen
- Erpresserschreiben mit Zahlungsanweisungen liegen in Ordnern
- Schattenkopien sind verschwunden oder beschädigt
- Backups erscheinen leer oder ebenfalls verschlüsselt
- Antivirus oder EDR meldet ungewöhnliche Prozessaktivität
Wiederherstellungsoptionen im Überblick
- Sauberes Backup: zuverlässigster Weg, sofern es vor dem Angriff entstand und unbeeinflusst ist
- Decryptor: möglich, wenn die Ransomware-Familie öffentlich gebrochen wurde (No More Ransom)
- Forensische Datenrettung: spezialisierte Dienstleister, kein Garantieerfolg
- Schattenkopien oder Cloud-Versionierung: häufig vom Angreifer entfernt, aber prüfen lohnt sich
- Neuaufbau ohne Datenwiederherstellung: in Einzelfällen die einzige saubere Option
Was Sie nicht tun sollten
- Keine fragwürdigen Entschlüsselungs- oder Cleaner-Tools aus Suchergebnissen oder Foren installieren
- Verschlüsselte Dateien nicht umbenennen, kopieren oder mit Office-Programmen reparieren
- Nicht eigenmächtig das System neu installieren, bevor Beweise gesichert sind
- Keine Zahlung ohne juristische und forensische Beratung
Datenabfluss mitdenken
Moderne Angriffe stehlen Daten häufig schon Tage bis Wochen vor der Verschlüsselung. Die Wiederherstellung der Dateien löst dieses Problem nicht. Eine forensische Analyse, ob und welche Daten abgeflossen sind, ist besonders im Unternehmenskontext essenziell - Stichwort Double Extortion und Exfiltration.
Lösegeld zahlen?
Behörden wie BSI und BKA raten konsequent von Zahlungen ab. Es gibt keine Garantie für einen funktionierenden Decryptor, gestohlene Daten können trotz Zahlung veröffentlicht werden, und je nach Empfänger drohen rechtliche Folgen. Eine ausführliche Abwägung steht unter Lösegeld zahlen.
Wichtiger Hinweis
Diese Seite ersetzt keine individuelle Incident-Response-, Forensik- oder Rechtsberatung. Bei einem akuten Vorfall sollten möglichst früh ein spezialisierter Dienstleister, die Polizei und gegebenenfalls eine Cyber-Versicherung eingebunden werden.