Warum nicht zahlen?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Polizei raten übereinstimmend davon ab, Lösegeldforderungen zu erfüllen. Eine Zahlung ist keine Garantie dafür, dass Sie tatsächlich einen funktionierenden Entschlüsselungsschlüssel erhalten – in vielen Fällen bleiben Daten trotz Zahlung verschlüsselt oder beschädigt. Zudem finanziert jede Zahlung die Infrastruktur der Täter und macht weitere Angriffe auf andere Opfer wahrscheinlicher. Wer nicht zahlt, durchbricht dieses Geschäftsmodell und verschafft sich gleichzeitig Zeit, um seriöse Alternativen zu prüfen.

Kostenlose Entschlüsselungstools prüfen

Bevor Sie andere Schritte einleiten, lohnt sich ein Blick auf nomoreransom.org. Das Projekt wurde von Europol gemeinsam mit IT-Sicherheitsfirmen und Strafverfolgungsbehörden ins Leben gerufen und stellt kostenlose Entschlüsselungswerkzeuge für zahlreiche bekannte Ransomware-Varianten bereit. Über den „Crypto Sheriff" auf der Seite können Sie eine verschlüsselte Beispieldatei hochladen, um zu prüfen, ob für Ihre konkrete Ransomware-Variante bereits ein Entschlüsseler existiert. Ist Ihre Variante gelistet, ist dies der zuverlässigste und kostenlose Weg zurück an Ihre Daten.

Schattenkopien als Rettungsanker

Windows legt über die Volumeschattenkopie (Volume Shadow Copy) automatisch Wiederherstellungspunkte früherer Dateiversionen an. Löscht die Ransomware diese Schattenkopien nicht gezielt – manche Varianten tun dies bewusst, andere nicht –, lassen sich Dateien und Ordner über die Windows-Funktion „Vorgängerversionen wiederherstellen" oder die Systemwiederherstellung auf einen Stand vor der Verschlüsselung zurücksetzen. Ein Prüfen lohnt sich in jedem Fall, bevor Sie andere Maßnahmen ergreifen.

Was Recovery-Software leisten kann – und was nicht

Datenrettungssoftware wie Recoverit ist kein Entschlüsselungstool und kann verschlüsselte Dateien nicht direkt lesbar machen. Ihr möglicher Nutzen liegt an anderer Stelle: Manche Ransomware-Varianten löschen beim Verschlüsseln die ursprünglichen, unverschlüsselten Dateien, anstatt sie zu überschreiben. In solchen Fällen kann Recovery-Software gelöschte, noch nicht überschriebene Originalversionen auf der Festplatte aufspüren und wiederherstellen. Ob das funktioniert, hängt von der jeweiligen Ransomware-Variante und davon ab, wie viel seit dem Angriff bereits auf den Datenträger geschrieben wurde. Eine Garantie gibt es nicht – ein Versuch ist aber meist unschädlich, solange Sie keine neuen Daten auf das betroffene Laufwerk schreiben.

Häufige Fragen

Die Empfehlung von BSI und Polizei lautet klar: nicht zahlen. Es gibt keine Garantie für einen funktionierenden Schlüssel, und jede Zahlung finanziert weitere Angriffe. Prüfen Sie zuerst nomoreransom.org, Schattenkopien und professionelle Unterstützung, bevor Sie über eine Zahlung überhaupt nachdenken.

Meist gibt die Lösegeldforderung selbst oder die Dateiendung verschlüsselter Dateien Hinweise auf die Variante. Auf nomoreransom.org können Sie über den „Crypto Sheriff" eine verschlüsselte Datei sowie die Lösegeldforderung hochladen, um die Variante zu identifizieren und zu prüfen, ob ein passendes Entschlüsselungstool verfügbar ist.

Trennen Sie das Gerät zunächst vom Netzwerk, bevor Sie weitere Schritte unternehmen. Ein Herunterfahren kann in manchen Fällen sinnvoll sein, um eine laufende Verschlüsselung zu stoppen, birgt aber auch das Risiko, dass Spuren für eine spätere Analyse verloren gehen. Im Zweifel empfiehlt sich, das System im aktuellen Zustand zu belassen und fachkundige Unterstützung sowie die Polizei hinzuzuziehen, bevor Sie eigenständig weitere Änderungen vornehmen.