Wenn nichts mehr geht: Forensik nach Ransomware-Angriffen

Wenn Unternehmen von Hacker-Gruppierungen verschlüsselt werden, führt das in den meisten Fällen dazu, dass der reguläre Geschäftsbetrieb nicht mehr aufrechterhalten werden kann oder sogar stillsteht und das zu großen Reputations- und finanziellen Verlusten führt. Um dann schnell in die Krisenbewältigung einsteigen zu können und die Arbeitsfähigkeit wiederherzustellen, ist es in der Regel essentiell den IT-Tatort zu untersuchen und Erkenntnisse über das Vorgehen der Angreifenden zu gewinnen. Nur so kann sichergestellt werden, dass ein sicherer Wiederaufbau gewährleistet werden kann.

Forensische Untersuchungen sind dabei häufig gar nicht einfach durchzuführen, da meist Beweisspuren durch die Angreifenden und deren Verschlüsselungstools vernichtet wurden oder durch Konfigurationen gar nicht erst vorhanden waren. Immer wieder sehen wir diesem Fall, dass so gut wie keine forensischen Untersuchungen möglich sind. Häufig hätten diese Spuren jedoch gesammelt werden können – es mangelte nur an Vorbereitung.

Die wichtigste forensische Frage ist nach Ransomware-Angriffen meistens, ob Daten an die Angreifenden abgeflossen sind und was der initiale Einfallsvektor war, über den die Kompromittierung stattfinden konnte. Die forensischen Untersuchungen sowie die nötigen Artefakte, um diese nötigen Erkenntnisse zu gewinnen, können vorbereitet werden, in dem präventive Schritte zur Spurensicherung durchgeführt werden. Das erleichtert die Arbeit im Ernstfall massiv, um eine schnellere, effizientere und vor allem sichere Wiederherstellung der Arbeitsfähigkeit zu ermöglichen.