Wenn Dateien sindan Ort und Stelle verschlüsselt, Undelete-Tools sehen Chiffretext – nicht Ihre Tabellenkalkulationen. Recuva kann Schattenkopien oder Vorverschlüsselungsversionen manchmal nur dann wiederherstellen, wenn diese Bytes noch unverändert vorhanden sind und das Betriebssystem die Cluster nicht wiederverwendet hat.
Ransomware-Familien unterscheiden sich: Einige kopieren die Originale und löschen sie dann, andere verschlüsseln an Ort und Stelle, andere missbrauchen hybride Ansätze. Entscheidend für die Wiederherstellungsplanung ist der beobachtbare Effekt auf die Festplatte, nicht der Marketingname der Sorte.
Wobei Recuva vielleicht noch helfen könnte
- Unverschlüsselte Schattenkopien oder Wiederherstellungspunkte, die nicht von der Malware gelöscht wurden.
- Sidecar-Dateien, die von der Ransomware nie berührt wurden – Exporte, PDF-Drucke oder Cache-Kopien in einem anderen Benutzerprofil.
- Teilweise überschriebene Originale, wenn das Skript des Angreifers mitten im Lauf abstürzte.
Deshalb sind Offline-Backups, Versionierung und Cloud-Verlauf die primären Antworten – und nicht ein weiterer Durchgang von Deep Scan. Wenn Sie sich nicht sicher sind, ob eine Verschlüsselung stattgefunden hat, überprüfen Sie die Dateiheader in einem Hex-Editor oder suchen Sie nach Lösegeldforderungen und Umbenennungen von Erweiterungen. Nehmen Sie dann Sicherheitsmaßnahmen in Anspruch, bevor Sie „wiederhergestellte“ Dateien massenhaft im Netzwerk kopieren.
Eindämmung vor der Genesung
Isolieren Sie betroffene Hosts vom LAN, bewahren Sie Firewall-Protokolle auf und vermeiden Sie die Anmeldung mit Domänenadministrator-Anmeldeinformationen von einer gefährdeten Workstation aus. Wiederherstellungstools ersetzen nicht die Reaktion auf Vorfälle. Sie werden ausgeführt, sobald Sie wissen, dass die aktive Infektion eingedämmt ist.
Strafverfolgungsbehörden und Cyber-Versicherungsträger verlangen manchmal Aufbewahrungsmaßnahmen, die einer schnellen Wiederherstellung entgegenstehen. Wenn Sie Zweifel haben, frieren Sie die Festplatte ein und lassen Sie sich beraten, bevor Sie SSDs mit hohem Speicherplatzbedarf mit explorativen Scans kürzen.
Lesen Sie auch die Erwartungen hinsichtlich der Verschlüsselung im Vergleich zu einfachen LöschvorgängenFAQ. DerArbeitsablaufSeite betont Backups und Versionierung als dauerhafte Lösung, sobald die akute Krise vorbei ist.
Backups, die Ransomware tatsächlich überstehen
Es gibt unveränderliche Objektspeicher-, Offline-Band- und einmal beschreibbare Sicherungsziele, da Online-Synchronisierungsordner häufig neben der Produktion verschlüsselt werden. Wenn es sich bei Ihrem „Backup“ lediglich um ein weiteres Verzeichnis auf derselben NAS-Freigabe handelt, gehen Sie davon aus, dass es sich im Zugriffsbereich des Angreifers befindet.
Was man nicht tun sollte (auch wenn man in Panik gerät)
- Bezahlen Sie Bedrohungsakteure nicht aus einer Laune heraus – ziehen Sie je nach Gerichtsbarkeit Rechtsbeistand und Strafverfolgungsbehörden hinzu.
- Führen Sie neben Produktionsanmeldeinformationen keine zufälligen Entschlüsselungsprogramme aus nicht vertrauenswürdigen Foren aus.
- Versenden Sie Exfil-Beispiele nicht massenhaft per E-Mail. Sie könnten Malware verbreiten oder personenbezogene Daten preisgeben.
Forensische Aufbewahrung vs. Geschwindigkeit
Schreibblocker und forensische Bilder klingen langsam, bis jemand den einzigen Hinweis auf Querbewegung löscht. Wenn Ihr Auftrag darin besteht, „die Fabriklinie zum Laufen zu bringen“, erstellen Sie dennoch Snapshots von flüchtigen Speicher- und Firewall-Protokollen, wenn die Richtlinien dies zulassen – das Wiederherstellen allein wird die Zeitpläne von Angreifern nicht wiederherstellen.
Anschließend: Vertrauen wiederherstellen
Rotieren Sie Anmeldeinformationen, machen Sie Sitzungen ungültig und patchen Sie den Eintrittsvektor, bevor Sie Daten wiederherstellen – andernfalls finanzieren Sie eine Fortsetzung. Führen Sie das Szenario vierteljährlich durch, damit Recuva nicht Ihr einziger trainierter Muskel ist.
Diese Website bietet keine Rechts-, Versicherungs- oder Zahlungsberatung; Entscheidungen liegen in der Verantwortung Ihrer Sicherheitsleitung und Ihres Sicherheitsberaters. Recuva bleibt ein Dateisystem-Tool – kein Entschlüsselungsorakel.