Ransomware-Recovery Wenn Backups die Schwachstellen wiederherstellen

Anbieter zum Thema

Omada GmbH c/o Omniturm

cidaas by Widas ID GmbH

secunet Security Networks AG

Backups bringen nach Ransomware-Angriffen oft auch verwaiste Konten, überprivilegierte Zugriffe und alte Schwachstellen zurück. Sichere Wie­der­her­stel­lung braucht deshalb Identitätsprüfung und Governance statt reinen Restore.

Ransomware-Angriffe können verheerend ausfallen. Umso verständlicher ist es daher, dass Unternehmen nach einem Betriebsstop über ihre Backups schnellstmöglich die Arbeit wieder aufnehmen wollen. Doch eine voreilige Wiederherstellung kann fatal enden. Denn die meisten Recovery-Pläne behandeln Ransomware als ein Backup-und-Restore-Problem. Backups konservieren aber die Identitätsumgebung im Zustand vor dem Angriff. Das schließt sämtliche Schwachstellen mit ein, die der Angreifer ausgenutzt hat und noch viel mehr: das verwaiste Konto, über das der Zugang erfolgte, das überprivilegierte Dienstkonto, das laterale Bewegung ermöglichte, die Zugangsdaten eines Drittanbieters, die längst hätten widerrufen sein müssen.

Das macht nicht nur den nächsten Angriff wahrscheinlicher, sondern ist auch umso gefährlicher, wenn man bedenkt, dass ein Drittel aller Unternehmen nach einem Ransomware-Angriff einen ganzen Monat braucht, um den Betrieb wiederherzustellen. Es vergeht also ein Monat, in dem kein Umsatz gemacht wird, und obendrein stellt man ein System wieder her, das weiterhin voller Schlupflöcher ist.

Wenn sie ihren Organisationen nach einem folgenschweren Ransomware-Angriff wieder auf die Beine helfen wollen, brauchen Sicherheitsverantwortliche einen Plan. Die folgende Übersicht hilft dabei, Kernaspekte der Cybersicherheit zu berücksichtigen, damit Unternehmen nicht niedergeschlagen, sondern gestärkt aus einem Sicherheitsvorfall hervorgehen.

Benutzerkonten im Active Directory härten

Privilegierte AD-Konten mit „Protected Users“ schützen

Nach dem Angriff ist vor dem Angriff

Weil Unternehmen bei der Wiederherstellung auch alte Sicherheitslücken zurückbringen, werden diejenigen, die Lösegeld zahlen, auch so häufig erneut angegriffen. Der „Ransomware Insights Report 2025“ zeigt: Knapp ein Drittel der Betroffenen wurde innerhalb von zwölf Monaten mindestens ein weiteres Mal getroffen. Unternehmen, die zuvor zahlten, standen mit höherer Wahrscheinlichkeit erneut im Visier. Sie brauchen daher ein Governance-System, das zwischen legitimem Zugriff und den ungesteuerten Identitäten unterscheiden kann, die den Angriff überhaupt erst möglich gemacht haben. Sonst bauen sie schlicht die Umgebung nach, die der Angreifer bereits kennt.

Eine kontrollierte Umgebung verfügt dagegen über ein verbindliches Zielbild und die Gewissheit, welcher Zugriff existieren sollte, verknüpft mit Rollen, Richtlinien und Geschäftskontext. Statt den Inhalt des Backups blind zu übernehmen, können Recovery-Teams die wiederhergestellte Umgebung gegen diesen Soll-Zustand abgleichen und Abweichungen gezielt korrigieren.

State of Ransomware 2025 von Sophos

Die Hälfte aller Unternehmen zahlt Lösegeld

Notfallzugriffe als neue Schwachstelle

Während der Reaktion auf einen Ransomware-Vorfall erhalten Incident Responder, forensische Berater und externe Dienstleister erweiterten Zugriff. Das liegt daran, dass Eindämmung und Wiederherstellung hochrangige Privilegien, temporäre Konten und Umgehungsberechtigungen erfordern. Unter normalen Governance-Bedingungen würden diese Zugriffsrechte natürlich nie eine Prüfung bestehen, im Notfall sind sie für „Ersthelfer“ aber unabdinglich.

Sobald die Krise überstanden ist, muss dieser gesamte Notfallzugriff jedoch überprüft und widerrufen werden. Ohne einen gesteuerten Prozess geschieht das aber selten lückenlos und Konten mit Administratorrechten bleiben aktiv, Zugriffe für Dienstleister bestehen ohne Ablaufdatum fort, manuelle Ausnahmen bleiben bestehen, weil kein Prozess existiert, der sie einkassiert.

Zeitgemäße Governance-Workflows müssen das direkt adressieren. Jeder Notfallzugriff sollte mit einem definierten Ablaufdatum und einer klaren Zuständigkeit erfasst werden. Automatisierte Ablaufrichtlinien müssen Zugänge planmäßig widerrufen und zudem sollten nach dem Vorfall Zertifizierungskampagnen durchgeführt werden, die sämtliche besagte Änderungen im Vorfallszeitraum überprüfen.

Vordefinierte Benutzerkonten und Initialkennwörter

SAP-Standardbenutzer als Angriffsvektor

Forensische Nachweisketten

Sobald die Eindämmung abgeschlossen ist, müssen Vorstand, Aufsichtsbehörden, Versicherer und Rechtsberater den Umfang des Vorfalls verstehen. Da Angreifer sich mit kompromittierten Identitäten durch Umgebungen bewegen, ist die forensische Aufklärung im Kern eine „Identitätsaufklärung“: Worauf hat der Angreifer zugegriffen? Wie hat er sich bewegt? Welche Daten waren erreichbar? Was hat sich verändert, und wer hat es autorisiert?

Ohne ein einheitliches Identity-Audit-Trace müssen Teams Zugriffsprotokolle aus Dutzenden voneinander getrennten Systemen zusammenführen. Jede Lücke in der Protokollierung ist dabei eine Lücke im forensischen Nachweis. Wie aufwändig das werden kann, zeigt der Fall von Change Healthcare: Die forensische Analyse dauerte fast elf Monate, bis sie als „im Wesentlichen abgeschlossen“ galt, und die Zahl der betroffenen Personen wurde mehrfach nach oben korrigiert. Am Ende waren es 192,7 Millionen.

Mit einem kontinuierlichen Identity-Audit-Trace arbeiten forensische Teams von einem einzigen konsistenten Datensatz aus. Aufsichtsbehörden erhalten belastbare Berichte mit dokumentierten Nachweisen statt bestmöglicher Schätzungen.

Die Möglichkeiten der digitalen Forensik für Unternehmen

Daten aus zerstörter Technik gewinnen

Nach der Ursachenforschung braucht es klare Botschaften ans Management

Die technische Ursachenanalyse muss die ausgenutzte Schwachstelle und den Angriffsweg identifizieren. Für das Sicherheitsteam ist diese Aufarbeitung unverzichtbar. Dem Vorstand liefert sie aber selten das, was er braucht: eine unmissverständliche Erklärung, warum der Vorfall passiert ist und was sich ändern muss.

Ein Angreifer, der über ein verwaistes Kontraktoren-Konto eingedrungen ist, hat keine „gestohlenen Anmeldedaten“ ausgenutzt, sondern eine Lücke im Joiner-Mover-Leaver-Prozess, die ein stillgelegtes Konto aktiv und zugänglich ließ. Gleichsam hat ein Angreifer, der ein Dienstkonto ohne Eigentümer, mit vollen Administratorrechten und ohne Multi-Faktor-Authentifizierung nutzte, keine „Privilege Escalation“ betrieben, sondern eine Governance-Lücke bei nicht-menschlichen Identitäten ausgenutzt.

Der Vorstand muss nicht verstehen, wie Ransomware virtuelle Maschinen verschlüsselt. Er muss verstehen, dass ein Kontraktoren-Konto, das vor sechs Monaten hätte deaktiviert werden sollen, Administratorrechte in drei Cloud-Umgebungen besaß und nie Teil einer Zugriffsprüfung war. Das ist die Analyse, die das Gespräch von der technischen Behebung zur Governance-Investition verschiebt und Wiederholungstätern den Weg abschneidet.

Security Best Practices

Prävention und Wiederherstellung nach einem Ransomware-Angriff

Härtung der Kontrollen gegen erneute Vorfälle

Auch wenn Unternehmen nach einem Vorfall die Zugriffskontrollen verschärfen, liegt der Fokus meist auf menschlichen Mitarbeiterkonten. Nicht-menschliche Identitäten und Zugriffe Dritter verbleiben meist unzureichend gesteuert. Genau diese Kategorien nehmen Angreifer aber als Nächstes ins Visier. Anmeldedaten müssen deswegen planmäßig rotiert, Eigentümerschaft zugewiesen und zertifiziert und Zugriff auf den geschäftlichen Bedarf zugeschnitten werden. Konten von Drittanbietern müssen unter zeitlich begrenzter Governance stehen, die an den aktiven Auftragsstatus gekoppelt ist und nicht an jährliche Checklisten.

Der bedeutsamste Wandel in der Härtung nach einem Vorfall ist jedoch der Übergang von periodischen Zugriffsprüfungen zu kontinuierlicher Analyse. Jährliche oder vierteljährliche Zertifizierungszyklen schaffen Zeitfenster, in denen sich Risiken unbemerkt ansammeln. Kontinuierliche Analysen sind deswegen umso unverzichtbarer, weil sie Anomalien und schleichende Privilegienerweiterung bereits erkennen, sobald sie entstehen.

Die meisten Ransomware-Angriffe treffen den Mittelstand

Cyber-Erpressung treibt Mittelständler in die Insolvenz

Wer Wiederherstellung als Governance-Prozess begreift, baut Resilienz auf

Unternehmen, die sich am stärksten von einem Ransomware-Angriff erholen, sind nicht die mit den schnellsten Backup-Wiederherstellungszeiten. Es sind die, die ihre Identitätsumgebung als sauber verifizieren können, rekonstruieren, was passiert ist, und die Erkenntnisse direkt in ihre Governance-Programme einspeisen. Damit das cyberkriminelle Geschäft mit Datenklau und -erpressung trocken gelegt wird, müssen Angriffswege vor der Wiederherstellung ein für alle Mal geschlossen werden. Denn Backups lernen nicht aus Fehlern, Angreifer schon.

Über den Autor: Thomas Müller-Martin ist Field Strategist DACH bei Omada Identity.

Cyber-Resilienz stärken

Digitale Forensik und Incident Response sichern Unternehmen

(ID:50994020)