Auf dem PC eines Mitarbeiters ändern sich nacheinander die Dateiendungen, und ein Bildschirm mit einer Lösegeldforderung erscheint. Was sollte dieser Mitarbeiter als Erstes tun?

Antwort: A. Den PC vom Netzwerk trennen, etwa durch Ziehen des LAN-Kabels und Abschalten des WLANs, den Bildschirminhalt und andere Details festhalten und umgehend an die zuständige Meldestelle (etwa das CSIRT) melden

Besteht Verdacht auf eine Ransomware-Infektion, wird der PC zuerst vom Netzwerk getrennt, damit sich der Schaden nicht auf andere PCs oder Dateiserver ausbreitet. Danach werden der angezeigte Bildschirm, der Zeitpunkt der Entdeckung, unmittelbar zuvor geöffnete E-Mails oder Dateien usw. festgehalten und umgehend an die von der Organisation festgelegte Meldestelle (CSIRT oder IT-Abteilung) gemeldet. Ob der Rechner ausgeschaltet wird, richtet sich nach den Abläufen der Organisation oder den Anweisungen der Meldestelle, da Hinweise im Arbeitsspeicher verloren gehen können. Sofortiges Zurücksetzen vernichtet die Spuren (Protokolle und Spuren in Dateien), die nötig sind, um den Eindringweg und weitere gestohlene Daten zu ermitteln, und lässt das Risiko eines erneuten Eindringens über denselben Weg bestehen. Eine verzögerte Meldung lässt den Schaden in der Zwischenzeit wachsen. Da eine Untersuchung den Ablauf rekonstruiert, indem sie die Protokolle der einzelnen Geräte chronologisch abgleicht, ist es wichtig, schon im Normalbetrieb die Uhren aller Geräte zu synchronisieren (etwa per NTP) und Protokolle für einen festgelegten Zeitraum an einem separaten, manipulationsgeschützten Ort aufzubewahren.