Gehackt – was tun? Ein Fall aus unserer Praxis

Ein Fall aus unserer Praxis

Als aus einem verdächtigen Konto plötzlich ein ernster Sicherheitsvorfall wurde

Vor Kurzem meldete sich morgens ein Kunde bei uns, weil mit seinen Online-Konten offensichtlich etwas nicht stimmte. Zunächst war noch nicht klar, wie groß das Problem tatsächlich war.

Als wir uns die Situation vor Ort angesehen haben, zeigte sich schnell, dass es sich nicht nur um ein vergessenes Passwort oder eine einzelne verdächtige Anmeldung handelte. Das E-Mail-Postfach war praktisch nicht mehr nutzbar. Bei PayPal und auf dem Bankkonto waren bereits Abbuchungen vorhanden, die der Kunde nicht selbst veranlasst hatte.

Über das gehackte E-Mail-Konto hatte der Angreifer offenbar bereits begonnen, weitere Konten zu übernehmen. Passwörter bei anderen Diensten waren geändert worden, unter anderem bei Instagram und Netflix. Sogar über Lieferando wurde versucht, eine Bestellung auszulösen.

In diesem Moment wurde dem Kunden klar, wie ernst die Lage war. Er wurde sichtbar nervös, begann zu zittern und geriet zunehmend in Panik. Das ist nachvollziehbar: Wenn plötzlich das eigene Geld, das E-Mail-Konto und weitere Zugänge betroffen sind, fühlt sich der Kontrollverlust sehr real an.

Der eigentliche Angriff lag zu diesem Zeitpunkt vermutlich schon einige Tage zurück. Genau das macht solche Fälle schwierig. Zu Beginn weiß man häufig nicht, wann der erste Zugriff stattgefunden hat, welche Zugangsdaten bereits abgegriffen wurden und welche Konten der Angreifer in der Zwischenzeit erreicht hat.

Der erste Schritt

Nicht in Panik verfallen – aber auch keine Zeit verlieren

Unsere erste Empfehlung an den Kunden war deshalb ganz einfach: erst einmal Ruhe bewahren. Unsere Aufgabe war in diesem Moment nicht, möglichst viele technische Maßnahmen gleichzeitig anzustoßen, sondern Ordnung in die Situation zu bringen und die nächsten Schritte in der richtigen Reihenfolge abzuarbeiten.

Ruhe bedeutet dabei nicht, dass man abwarten darf. Bei einem ernsthaften Sicherheitsvorfall zählt Zeit. Wenn beispielsweise plötzlich kein Zugriff mehr auf das eigene Bankkonto besteht, ist das nicht nur ein technisches Problem. Dann kann es ganz praktisch schwierig werden, die Miete zu bezahlen, Rechnungen zu überweisen oder andere laufende Verpflichtungen zu erfüllen.

Bei Unternehmen können zusätzlich Lieferantenrechnungen, Löhne, Geschäftskonten oder wichtige Kundenzugänge betroffen sein. Ein solcher Vorfall kann deshalb bei Privatpersonen ebenso wie bei kleinen Firmen im schlimmsten Fall die wirtschaftliche Existenz bedrohen.

Deshalb gilt für uns in solchen Situationen: nicht hektisch werden, aber sofort strukturiert handeln.

Konten zuerst sichern

Das E-Mail-Konto war der Schlüssel zu weiteren Diensten

Wir haben zunächst von einem vertrauenswürdigen Gerät aus die wichtigsten Passwörter geändert. Das E-Mail-Konto hatte dabei oberste Priorität.

Der Grund ist einfach: Für viele Dienste ist das E-Mail-Postfach der zentrale Rücksetzpunkt. Wer darauf Zugriff hat, kann Passwort-Zurücksetzungen anstoßen, Sicherheitsmeldungen mitlesen und versuchen, weitere Konten zu übernehmen. Bei diesem Kunden war genau das bereits passiert: Instagram und Netflix waren betroffen, und selbst eine Lieferando-Bestellung wurde versucht.

Danach wurden weitere wichtige Zugänge und Zahlungsdienste abgesichert. Zusätzlich mussten bestehende Sitzungen, unbekannte Geräte, Wiederherstellungsadressen, Telefonnummern, Weiterleitungen und Filter kontrolliert werden. Gerade solche Einstellungen sind wichtig, weil ein Angreifer darüber versuchen kann, sich einen dauerhaften Zugang zu erhalten.

Wenn es bereits passiert ist

Wenn das Kind in den Brunnen gefallen ist, helfen keine Vorwürfe

Natürlich ist es besser, einen Sicherheitsvorfall vorher möglichst zu verhindern. Aber wenn das Kind bereits in den Brunnen gefallen ist, geht es nicht darum, dem Betroffenen zu erklären, was er hätte anders machen sollen.

Dann geht es darum, weiteren Schaden zu verhindern, wieder Kontrolle über Konten und Daten zu bekommen und Schritt für Schritt eine vertrauenswürdige Umgebung aufzubauen.

Es muss auch niemandem unangenehm sein, uns in so einer Situation zu kontaktieren. Solche Angriffe können Privatpersonen, Selbstständige und Unternehmen treffen. Auch Menschen, die grundsätzlich vorsichtig mit ihren Daten umgehen, können auf eine gut gemachte Phishing-Seite oder einen anderen Angriff hereinfallen.

Genau für solche Situationen sind wir da. Wir bringen Ruhe in die Lage, helfen bei der Reihenfolge und versuchen, das Schlimmste zu verhindern.

Der betroffene Rechner

Einen gefundenen Virus zu löschen reicht uns bei einem ernsthaften Befall nicht

Nachdem die wichtigsten Konten abgesichert waren, musste geklärt werden, ob dem betroffenen Computer überhaupt noch vertraut werden konnte.

Unsere Erfahrung ist hier ziemlich eindeutig: Wenn ein Rechner ernsthaft kompromittiert wurde, verlassen wir uns nicht darauf, einfach einen gefundenen Virus zu entfernen und anschließend mit dem System weiterzuarbeiten.

Das Problem ist nicht nur die Schadsoftware, die ein Virenscanner möglicherweise findet. Man weiß häufig nicht, was bereits verändert wurde, welche weiteren Programme installiert oder missbraucht wurden und welche Zugangsdaten möglicherweise abgegriffen worden sind.

Auch ein Virenscanner kann vor solchen Angriffen nicht immer schützen. Ein Angriff muss nicht aus einer bekannten Schadsoftware bestehen, die sofort erkannt wird. Zugangsdaten können über Phishing-Seiten abgegriffen werden, bestehende Browser-Sitzungen können missbraucht werden und neue oder speziell angepasste Schadsoftware wird nicht zwangsläufig sofort erkannt.

Ein aktueller Virenscanner ist deshalb weiterhin ein wichtiger Baustein, aber keine Garantie dafür, dass ein System nicht kompromittiert werden kann.

Sauberer Neustart

Deshalb haben wir das Betriebssystem neu installiert

Bei diesem Kunden haben wir uns dafür entschieden, das Betriebssystem vollständig neu zu installieren.

Das ist manchmal schmerzhaft. Programme müssen neu eingerichtet werden, Einstellungen können verloren gehen und ohne vernünftige Datensicherung besteht das Risiko, dass wichtige Dateien fehlen.

Trotzdem halten wir diesen Weg bei einem ernsthaft kompromittierten Rechner für sinnvoller, als anschließend ständig die Frage im Hinterkopf zu haben, ob wirklich alles entfernt wurde. Ein frisch installiertes Betriebssystem schafft wieder eine saubere und vertrauenswürdige Grundlage.

Datensicherung im konkreten Fall

Leider gab es keine aktuelle Datensicherung

In diesem Fall kam ein weiteres Problem hinzu: Der Kunde hatte keine aktuelle Datensicherung. Die wichtigen Daten konnten also nicht einfach aus einem bekannten sauberen Backup wiederhergestellt werden.

Deshalb haben wir zunächst eine Datensicherung des betroffenen Rechners angefertigt. Diese Daten wurden anschließend nicht einfach wieder auf das frisch installierte System kopiert.

Wir haben sie zunächst in einer getrennten Umgebung unter Linux und zusätzlich mit verschiedenen Virenscannern geprüft. Erst danach wurden die benötigten Daten auf den sauberen Rechner zurückgespielt.

Auch eine solche Prüfung kann keine absolute Garantie liefern. Sie reduziert aber das Risiko, Schadsoftware oder auffällige Dateien direkt wieder auf das neu eingerichtete System zu übernehmen.

Gerade bei einem Sicherheitsvorfall ist das wichtig, weil man häufig nicht genau weiß, zu welchem Zeitpunkt der Angriff begonnen hat. Wenn der erste Zugriff möglicherweise bereits mehrere Tage zurückliegt, muss auch eine vorhandene Sicherung aus diesem Zeitraum mit Bedacht behandelt werden.

Eine wichtige Lehre daraus

Regelmäßige Backups sparen im Ernstfall Zeit, Geld und Nerven

Dieser Fall hat wieder sehr deutlich gezeigt, warum wichtige Dokumente, Fotos, geschäftliche Unterlagen und andere persönliche Daten niemals ausschließlich auf einem einzigen Rechner liegen sollten.

Dabei reicht es nicht, irgendwann einmal Dateien auf eine externe Festplatte kopiert zu haben. Eine Datensicherung sollte regelmäßig erfolgen, und im Ernstfall sollte nachvollziehbar sein, aus welchem Zeitraum die jeweilige Sicherung stammt.

Nach einem Sicherheitsvorfall spielen wir Sicherungen nicht blind zurück. Bevor wichtige Daten wieder auf ein sauberes System kommen, werden sie geprüft. Denn wenn niemand genau weiß, wann der Angriff begonnen hat, kann auch eine ältere Sicherung bereits Dateien aus dem betroffenen Zeitraum enthalten.

Aus unserer Praxis

Die ersten zehn Schritte in so einem Fall

Aus diesem Praxisfall ergibt sich eine Reihenfolge, die wir bei vergleichbaren Vorfällen für sinnvoll halten. Die Details können sich je nach Situation unterscheiden, aber die Priorität bleibt: zuerst weitere Zugriffe und Schäden begrenzen, dann das System sauber wieder aufbauen.

Besser vorher absichern

Wir helfen lieber bevor etwas passiert

Am besten ist natürlich, wenn ein solcher Vorfall gar nicht erst entsteht. Deshalb helfen wir auch im Vorfeld dabei, Computer, E-Mail-Konten und wichtige Zugänge sinnvoll abzusichern.

Dazu gehören unterschiedliche und sichere Passwörter, Zwei-Faktor-Authentifizierung, regelmäßige Datensicherungen, aktuelle Systeme und sinnvoll eingerichtete Konten. Gerade bei kleinen Unternehmen lohnt es sich außerdem, vorher einmal zu prüfen, was passieren würde, wenn der wichtigste Rechner oder das zentrale E-Mail-Postfach plötzlich nicht mehr verfügbar wäre.

Viele Risiken lassen sich mit überschaubarem Aufwand deutlich reduzieren. Sicherheit muss dabei nicht technisch überheblich oder unnötig kompliziert sein. Sie muss zum Alltag passen und im Ernstfall funktionieren.

Und wenn es schon passiert ist

Auch wenn das Kind bereits in den Brunnen gefallen ist, helfen wir

Wenn bereits Konten übernommen wurden, Abbuchungen auftauchen oder ein Rechner nicht mehr vertrauenswürdig ist, müssen Sie sich dafür nicht schämen. Es kann jedem passieren.

Dann helfen wir dabei, Ruhe in die Situation zu bringen, die wichtigsten Zugänge zu sichern, Zahlungswege zu kontrollieren, Daten zu retten, betroffene Geräte sauber neu aufzubauen und Schritt für Schritt wieder eine vertrauenswürdige Arbeitsumgebung herzustellen.

Genau dafür sind wir da: möglichst vorher für Sicherheit zu sorgen – und wenn es doch passiert ist, gemeinsam das Schlimmste zu verhindern.