Ransomware: die Kette, nicht das einzelne Werkzeug
Zwischen dem ersten Alarm und dem Trennen des befallenen Rechners liegt die Zeit, in der sich der Schaden entscheidet. Diese Seite zeigt, welche Schritte dafür ineinandergreifen müssen und wo sie in isidaten sitzen.
Was Ransomware fordert
Ein Verschlüsselungsangriff scheitert selten an einem einzelnen Produkt und gelingt selten wegen eines einzelnen Versäumnisses. Er läuft in Phasen ab, und jede Phase hat ihr eigenes Zeitfenster: Der Zugang entsteht Tage oder Wochen vor der Verschlüsselung, die Ausbreitung dauert Stunden, die Verschlüsselung selbst Minuten. Wer nur auf die letzte Phase schaut, kommt immer zu spät. Die vier Schritte unten sind deshalb nicht als Produktliste gedacht, sondern als Prüfliste: Für jeden Schritt sollte im Haus beantwortbar sein, wer ihn ausführt, womit, und wie lange er dauert.
Wie isidaten Ransomware abbildet
Jede Anforderung trifft auf ein Modul, das auf derselben Objektbasis arbeitet wie das Risikoregister. So bleibt der Nachweis verbunden, statt über Werkzeuge kopiert zu werden.
Frühwarnung ohne Fehlalarm
Köder-Dateien in Freigaben und Nutzerprofilen, Honeytoken-Konten im Verzeichnis und Täuschsysteme mit emulierten Diensten. Ein Köder hat keinen betrieblichen Zweck, deshalb entfällt die Frage, ob der Alarm etwas bedeutet.
Zum Modul: Deception – IT-FrühwarnsystemMassen-Verschlüsselung erkennen
Die Datei-Aktivitätswache wertet aus, wie viele Dateien in welcher Zeit verändert werden, und schlägt bei den Mustern an, die eine Verschlüsselungswelle hinterlässt. Die Governance sitzt davor: Das Modul bleibt gesperrt, bis eine Rechtsgrundlage dokumentiert ist.
Zum Modul: UEBAEreignisse zusammenführen, auch aus der Cloud
Datei-Ereignisse aus dem Windows-Protokoll und das einheitliche Überwachungsprotokoll aus Microsoft 365 fließen in dieselben Kennzahlen. Ohne die zweite Quelle endet die Erkennung am Rand des eigenen Netzes.
Zum Modul: SIEM-IntegrationHost isolieren, Konto sperren, Sitzung beenden
Der Eingriff entsteht im Vorfall, wartet auf die Freigabe einer zweiten Person und wird protokolliert. Ausgeführt wird er über den eigenen Agenten oder über Konnektoren zu Verzeichnisdienst und Endpunktschutz.
Zum Modul: SofortmaßnahmenAus dem Alarm wird eine Maßnahme, ohne Zwischenruf
Eine Regelkette verbindet den Köder-Alarm mit dem Vorfall und der Sofortmaßnahme. Automatische Anfragen sind gedrosselt und brauchen weiterhin eine freigebende Person: Regel und Mensch sind die beiden Augenpaare.
Zum Modul: Security AutomationAuf dem Gerät handeln
Die Quarantäne über die lokale Firewall lässt nur noch die Verbindung zur Plattform zu, damit sich der Rechner später aus der Ferne wieder freischalten lässt. Der härtere Modus kappt den Netzwerkadapter und braucht einen Vor-Ort-Termin.
Zum Modul: Client ManagementNotbetrieb und Wiederanlauf
Die Business Impact Analyse liefert, wie lange welcher Prozess ausfallen darf, und die Wiederanlaufpläne die Reihenfolge. Ohne diese Zahlen ist die Frage, was zuerst zurückkommt, eine Frage der Lautstärke.
Zum Modul: Notfallmanagement (BCM)Häufige Fragen
Ersetzt das einen Endpunktschutz?
Nein, und es versucht es auch nicht. isidaten erkennt nicht auf dem Endpunkt, sondern über Köder, Datei-Aktivität und Protokolle, und steuert den Eingriff. Defender, CrowdStrike und SentinelOne werden als ausführende Hand angebunden, nicht abgelöst: isidaten setzt die Isolation über ihre API ab und nimmt sie dort auch wieder zurück. Ihre eigenen Erkennungen wertet isidaten nicht aus, die bleiben in der jeweiligen Konsole.
Wie schnell wirkt eine Kontosperre wirklich?
Ehrlicher als die Werbung: Eine Sperre im Active Directory widerruft keine Kerberos-Tickets, eine laufende Sitzung arbeitet bis zu deren Ablauf weiter, üblicherweise bis zu zehn Stunden. Entra ID braucht einige Minuten, bis die Sperre überall greift. Wer sofort abschneiden muss, isoliert zusätzlich den Host oder beendet die Sitzung.
Was passiert, wenn der falsche Rechner isoliert wird?
Zwei Vorkehrungen greifen davor. Findet die Suche nach dem Gerät keinen oder mehr als einen Treffer, bricht die Maßnahme ab und nennt die Zahl, statt zu raten. Und jede Maßnahme lässt sich zurücknehmen; die Rücknahme braucht ihre eigene Freigabe und gilt erst als erledigt, wenn das Gerät sie quittiert hat.
Brauchen wir alle Module dieser Kette?
Nein. Die Kette funktioniert in Stufen. Wer nur Frühwarnung und Vorfallsdokumentation hat, gewinnt bereits die wichtigste Zeit. Die Sofortmaßnahmen sind der Schritt, der die Reaktionszeit von Stunden auf Minuten bringt, und der Wiederanlauf der, der den zweiten Ausfall verhindert.
Wo bleibt die Meldepflicht?
Sie hängt am selben Vorfall. Die Meldeketten für NIS2 und die Datenpanne nach DSGVO greifen auf dessen Daten zu, und der Eindämmungszeitpunkt, den die Sofortmaßnahme setzt, ist eine der Angaben, nach denen gefragt wird.
Mehr dazu im isidaten-Journal
Bereit, Ihre Compliance zu vereinfachen?
Vereinbaren Sie eine unverbindliche Demo und erleben Sie isidaten an Ihren eigenen Anwendungsfällen – persönlich und ohne Verpflichtung.