Nach einem Befall ist die Versuchung groß, die gefundenen Dateien zu löschen und weiterzumachen. Das behebt das Symptom und lässt den Zugangsweg offen.
Die Reihenfolge
Erstens vom Netz nehmen oder in den Wartungsmodus schalten. Zweitens Beweise sichern: Protokolle, Dateiliste mit Zeitstempeln, Datenbankstand. Drittens Zugangsdaten ändern. Viertens sauberen Stand wiederherstellen. Fünftens Ursache schließen. Sechstens Prüfung.
Der zweite Schritt wird fast immer übersprungen und ist der, ohne den die Ursache nicht zu finden ist. Wer zuerst bereinigt, löscht die Spuren.
Der dritte Schritt umfasst alle Zugänge: Anmeldung, Datenbank, Dateiübertragung, Anbieterkonto, Postfächer. Fünf Bereiche, von denen häufig nur der erste geändert wird.
Warum Bereinigen selten reicht
Ein Angreifer hinterlässt in der Regel mehrere Wege zurück: veränderte Dateien, ein zusätzliches Benutzerkonto, ein Eintrag in einer zeitgesteuerten Aufgabe, eine Änderung in der Datenbank.
Werden nur die gefundenen Dateien gelöscht, bleibt der Rest. Der Befall erscheint nach Tagen erneut, und dann meist mit dem Hinweis, die Bereinigung habe nicht funktioniert.
Deshalb ist die Wiederherstellung eines sauberen Stands der sicherere Weg. Voraussetzung ist, dass mehrere Stände vorliegen und der Zeitpunkt des Befalls bekannt ist.
| Punkt | Regel oder Wert |
|---|---|
| Schritt 1 | vom Netz nehmen oder Wartungsmodus |
| Schritt 2 | Beweise sichern |
| Zu sichern | Protokolle, Dateiliste, Datenbankstand |
| Schritt 3 | Zugangsdaten ändern |
| Betroffene Bereiche | Anmeldung, Datenbank, Dateiübertragung, Anbieterkonto, Postfächer |
| Schritt 4 | sauberen Stand wiederherstellen |
| Schritt 5 bis 6 | Ursache schließen, prüfen |
| Übersprungen wird meist | Schritt 2 |
| Typische Hintertüren | veränderte Dateien, Zusatzkonto, zeitgesteuerte Aufgabe, Datenbankeintrag |
| Zeitpunkt bestimmen über | Dateizeitstempel, Protokolle, erste auffällige Meldung |
| Standwahl | deutlich vor dem Zeitpunkt |
| Sicherungsstände | 7 Tage, 4 Wochen, 6 Monate |
| Meldefrist | unverzüglich, möglichst binnen 72 Stunden |
| Zusätzlich bei hohem Risiko | Benachrichtigung der Betroffenen |
| Zu dokumentieren | 4 Angaben, auch ohne Meldung |
Den Zeitpunkt bestimmen
Über Dateizeitstempel, Zugriffsprotokolle und den Zeitpunkt der ersten auffälligen Meldung. Drei Quellen, die zusammen den Zeitraum eingrenzen.
Wählen Sie einen Stand deutlich vor diesem Zeitpunkt, nicht knapp davor. Ein Schadprogramm liegt häufig Wochen im System, bevor es sichtbar wird.
Genau deshalb gehören mehrere Stände zur Sicherung: 7 Tages-, 4 Wochen- und 6 Monatsstände decken zusammen rund ein halbes Jahr ab.
Die Meldepflichten
Sind personenbezogene Daten betroffen, ist eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko.
Bei einem hohen Risiko für die betroffenen Personen sind zusätzlich diese zu benachrichtigen. Beides ist zu prüfen, bevor die Website wieder online geht, nicht danach.
Dokumentieren Sie den Vorfall vollständig: Zeitpunkt der Feststellung, betroffene Daten, getroffene Maßnahmen, Ergebnis. Vier Angaben, die auch dann anzufertigen sind, wenn keine Meldung erfolgt.
Quellen
Häufige Fragen
Welcher Schritt wird am häufigsten übersprungen?
Das Sichern der Beweise. Wer zuerst bereinigt, löscht die Spuren.
Warum reicht Löschen der Dateien nicht?
Weil meist mehrere Wege zurück bestehen, etwa ein Zusatzkonto oder eine zeitgesteuerte Aufgabe.
Welchen Sicherungsstand wählt man?
Einen deutlich vor dem vermuteten Zeitpunkt, weil Schadprogramme oft Wochen unentdeckt bleiben.
Welche Frist gilt für die Meldung?
Unverzüglich und möglichst binnen 72 Stunden, wenn personenbezogene Daten betroffen sind.