Was Ransomware mit einem DMS macht
Eine Erpressersoftware verschlüsselt die Dateien, auf die sie Zugriff hat, und verlangt dann ein Lösegeld für den Schlüssel. In einem DMS handelt sie mit den Rechten des Kontos oder Arbeitsplatzes, den sie infiziert hat. Drei Mechanismen verschlimmern den Schaden:
- die Synchronisation: Der infizierte Arbeitsplatz verschlüsselt seine lokale Kopie, dann sendet der Synchronisationsclient die verschlüsselten Dateien wie eine gewöhnliche Änderung an den Server und von dort an die anderen Geräte;
- der Verlauf: Jede verschlüsselte Datei wird zu einer neuen Version. Die alte Version kann die Lage retten, außer wenn der Angreifer über ausreichende Rechte verfügt, um Verlauf und Papierkorb zu leeren;
- das Backup: Die ANSSI (französische Behörde für Cybersicherheit) beobachtet, dass ein Angreifer oft versucht, die Backup-Infrastruktur zu verschlüsseln, zu löschen oder unbrauchbar zu machen, um den Wiederaufbau zu verhindern.
Manche Angriffe kopieren außerdem Daten, bevor sie sie verschlüsseln. Die Wiederherstellung bringt die Dateien wieder in Ordnung. Diesen Teil löst sie nicht; er gehört zum Krisenmanagement und, wenn personenbezogene Daten betroffen sind, zur DSGVO.
Den Wirkungsradius verkleinern
Man kann nicht versprechen, dass kein Arbeitsplatz infiziert wird. Man kann begrenzen, was ein infizierter Arbeitsplatz oder ein infiziertes Konto erreichen kann.
Schreibrechte
Ein Konto, das einen Ordner nur lesen kann, kann ihn nicht verschlüsseln. Referenzordner (Vorlagen, Verfahrensanweisungen, unterschriebene Verträge) können für die meisten Personen schreibgeschützt sein. Berechtigungen werden pro Gruppe und pro Ordner vergeben, nicht nach dem Prinzip „jeder ändert alles“.
Administratorkonten
Die ANSSI empfiehlt, diese Konten auf das unbedingt Nötige zu beschränken. Sie müssen personenbezogen sein, durch Zwei-Faktor-Authentifizierung geschützt und dürfen nicht für die tägliche Arbeit verwendet werden.
Externe Links
Ein Link, der einem Unbekannten ein Bearbeitungsrecht gibt, ist eine Tür. Ausgehende Links haben ein Passwort, ein Ablaufdatum und in der Regel nur ein Leserecht.
Synchronisierte Arbeitsplätze
Synchronisieren Sie auf jedem Arbeitsplatz nur die nötigen Ordner. Belassen Sie sensible Ordner im Browser. Installieren Sie Updates zügig: Die ANSSI erinnert daran, dass es entscheidend ist, dies kurzfristig und nach einem kontrollierten Prozess zu tun. Das häufigste Einfallstor bleibt die E-Mail: siehe Anhänge, Links und Ransomware.
Warum das Backup außer Reichweite sein muss
Ein Backup, das mit demselben Konto wie das Produktivsystem zugänglich ist, wird mit ihm verschlüsselt. Drei Trennungen bringen es in Sicherheit:
- eine andere Kennung: Die ANSSI verlangt personenbezogene, dedizierte Administratorkonten für das Backup und eine von den Verzeichnisdiensten der Produktion unabhängige Infrastruktur;
- Unveränderlichkeit: Ein geschriebenes Backup kann während seiner Aufbewahrungsdauer weder verändert noch gelöscht werden;
- ein anderer Standort und nach Möglichkeit eine Offline-Kopie: Die ANSSI hält sie für unverzichtbar und für robuster als ein online verbliebenes unveränderliches Backup.
Bleibt die Tiefe. Ein Eindringen kann mehrere Wochen unbemerkt bleiben, bevor die Verschlüsselung beginnt. Ist die Aufbewahrung kürzer als dieser Zeitraum, können alle verfügbaren Backups den Angreifer oder bereits beschädigte Dateien enthalten.
Die Wiederanlaufreihenfolge
Die Wiederherstellung ist kein Knopfdruck. Sie ist eine Folge von Schritten, und die Reihenfolge zählt.
- Eindämmen. Infizierte Arbeitsplätze vom Netzwerk trennen, kompromittierte Konten sperren, Synchronisation und externe Links im betroffenen Bereich deaktivieren. Die ANSSI rät außerdem, ein Ereignisprotokoll mit Zeitstempeln zu führen, die Backup-Datenträger zu trennen, nachdem geprüft wurde, dass sie sauber sind, und die Geräte nicht vom Strom zu nehmen, da dies nützliche Spuren löschen kann.
- Den Beginn datieren. Die erste verschlüsselte Datei, das betroffene Konto und den betroffenen Arbeitsplatz ermitteln. Das legt den Wiederherstellungszeitpunkt fest.
- Den Wiederherstellungszeitpunkt wählen, vor der Verschlüsselung, mit einem Puffer, wenn das Datum unsicher ist.
- Wiederherstellen auf einer sauberen Umgebung. Die ANSSI empfiehlt, von einem bekannten Datenträger neu zu installieren und dann die Daten aus einem Backup vor der Kompromittierung wiederherzustellen. Wenn das Werkzeug es erlaubt, verhindert die Wiederherstellung nur des betroffenen Bereichs, dass die seitdem anderswo geleistete Arbeit überschrieben wird.
- Prüfen. Stichprobenartig Dateien öffnen, kontrollieren, dass keine verschlüsselte Datei übrig ist, die Eintrittslücke schließen, die Passwörter ändern.
- Die Zugriffe schrittweise wieder freigeben. Die Arbeitsplätze synchronisieren sich vom wiederhergestellten Server aus neu, niemals umgekehrt. Ein nicht bereinigter Arbeitsplatz, der sich wieder verbindet, sendet seine verschlüsselten Dateien zurück.
Parallel empfiehlt die ANSSI, niemals das Lösegeld zu zahlen, die verschlüsselten Daten aufzubewahren (ein Schlüssel kann später veröffentlicht werden), Strafanzeige zu erstatten und bei einer Verletzung des Schutzes personenbezogener Daten die CNIL durch den Krisenstab benachrichtigen zu lassen.
Was verloren geht: der RPO in der Praxis
Hypothetischer Fall. Eine Kanzlei mit zwanzig Personen sichert ihre Dokumente stündlich. Am Montag um 9:15 Uhr beginnt ein synchronisierter Arbeitsplatz, den Ordner „Kunden“ zu verschlüsseln. Der Alarm wird um 10:05 Uhr ausgelöst.
Der letzte saubere Zeitpunkt ist das Backup von 9:00 Uhr. Der Ordner „Kunden“ wird auf seinen Stand von 9:00 Uhr zurückgesetzt. Die Änderungen, die zwischen 9:00 und 9:15 Uhr in diesem Ordner vorgenommen wurden, sind verloren. Die in den anderen Ordnern vorgenommenen nicht, wenn sich die Wiederherstellung auf den betroffenen Ordner beschränkt. Die Sekretärin, die um 9:10 Uhr drei Schreiben abgelegt hat, findet sie in ihrem Postfach wieder und legt sie erneut ab.
Genau das misst der RPO, der maximal tolerierbare Datenverlust: den Abstand zwischen dem Wiederherstellungszeitpunkt und dem Vorfall. Der RTO, die maximal tolerierbare Ausfallzeit, misst etwas anderes: die Zeit, bis die Teams wieder arbeiten. Beide werden vor dem Vorfall festgelegt, nicht währenddessen.
Häufige Fehler
- Wiederherstellen, bevor eingedämmt ist. Der noch verbundene Arbeitsplatz verschlüsselt die wiederhergestellten Dateien erneut.
- Vom infizierten Arbeitsplatz aus neu synchronisieren. Die lokale Kopie ist die verschlüsselte Kopie.
- Auf den Papierkorb zählen. Er enthält keine geänderten Dateien, nur gelöschte.
- Die Aufbewahrungsdauer erst am Tag X entdecken. Liegt das Eindringen sechs Wochen zurück und beträgt die Aufbewahrung dreißig Tage, wird die Wahl des Wiederherstellungszeitpunkts schwierig.
Häufige Fragen
Reicht die Versionierung gegen Ransomware aus?
Sie hilft, wenn der Verlauf intakt ist. Sie reicht nicht, wenn der Angreifer ihn leeren konnte. Der Unterschied wird in Versionierung, Replikation und Backup erklärt.
Sollte man das Lösegeld zahlen?
Die ANSSI empfiehlt, es niemals zu zahlen. Eine Zahlung garantiert weder den Schlüssel noch, dass kein neuer Angriff folgt.
Wie begrenzt man, wer einen Ordner ändern darf?
Durch Berechtigungen pro Gruppe und pro Ordner. Siehe festlegen, wer welche Dokumente sieht.
Wie verhindert man, dass ein Link zum Einfallstor wird?
Mit einem Passwort, einem Ablaufdatum und einem reinen Leserecht. Siehe Freigabelinks, Partner und Downloads.
Wo Klytic steht
Für Klytic Docs erfolgen die Backups stündlich. Sie sind verschlüsselt, unveränderlich, an mehrere Standorte repliziert, überwacht und werden 30 Tage aufbewahrt; Wiederherstellungen werden jeden Monat getestet. Angestrebt werden ein RPO von unter 2 Stunden für die Dokumente und ein RTO von unter 4 Stunden. Die Wiederherstellung wird beim Klytic-Support beantragt, mit Angabe des Umfangs und des ungefähren Datums. Sie ist inbegriffen, wenn der Verlust auf eine Störung des Klytic-Dienstes zurückgeht. Nach einem Ransomware-Angriff oder einem gehackten Konto bei Ihnen ist der Wiederanlauf ebenfalls inbegriffen, wenn Ihre Arbeitsplätze korrekt geschützt waren: Updates installiert, Virenschutz aktiv. Waren sie unzureichend geschützt, wird sie über ein kostenpflichtiges Support-Ticket abgewickelt, wie eine Wiederherstellung nach einer Fehlbedienung. Einzelheiten finden Sie auf der Seite Sicherheit und Backup.
Zur Vorbeugung bietet Klytic Docs Berechtigungen pro Person, pro Gruppe und pro Ordner, Zwei-Faktor-Authentifizierung, ein Zugriffsprotokoll und passwortgeschützte Links mit Ablaufdatum. Auf Seiten von Klytic sind technische Zugriffe auf Betriebs- und Support-Tätigkeiten beschränkt, personenbezogen und protokolliert.
Die Grenzen: Dreißig Tage Aufbewahrung decken keine Kompromittierung ab, die später entdeckt wird. Klytic stellt seine Dienste wieder her; die Bereinigung Ihrer Arbeitsplätze, Ihres Netzwerks und Ihres Verzeichnisdienstes ist Sache Ihres IT-Teams oder Ihres Dienstleisters. Klytic ist kein SecNumCloud-qualifiziertes Angebot.
Diese Seite beschreibt einen allgemeinen Rahmen. Folgen Sie im Fall eines Vorfalls Ihrem Wiederanlaufplan und den Anweisungen der zuständigen Behörden.
Quellen
Abgerufen im Oktober 2026.
- ANSSI und französisches Justizministerium (DACG), „Attaques par rançongiciels, tous concernés“ (Angriffe durch Erpressersoftware: Alle sind betroffen), 2020: getrennte Backups, Beschränkung der Administratorkonten, zügige Updates; im Vorfall Ereignisprotokoll, Isolierung, kein Abschalten der Stromversorgung, Aufbewahrung der verschlüsselten Daten, nicht zahlen, Strafanzeige, Wiederherstellung aus einem Backup vor der Kompromittierung. messervices.cyber.gouv.fr
- ANSSI, „Sauvegarde des systèmes d’information“ (Sicherung von Informationssystemen), Leitfaden ANSSI-BP-100, v1.1: Der Angreifer zielt oft auf die Backup-Infrastruktur; dedizierte Konten; offline robuster als Online-WORM; PDMA und DMIA. messervices.cyber.gouv.fr
- Klytic, Sicherheit und Backup: unveränderliche, verschlüsselte, replizierte Backups, 30 Tage, monatlich getestete Wiederherstellungen, RTO unter 4 Std., RPO unter 2 Std. klytic.com
- Klytic, Hosting und Souveränität: technische Zugriffe auf Betrieb und Support beschränkt, personenbezogen und protokolliert. klytic.com
