Im März dieses Jahres erreichte uns bei der IT-Guard GmbH ein dringender Notruf. Ein mittelständisches Unternehmen mit sechs deutschlandweiten Standorten meldete einen vollständigen Systemausfall. Der Grund: Ransomware – ein Kryptotrojaner hatte sämtliche Daten verschlüsselt. PCs, Server, Datenbanken und sogar die Backups – nichts war mehr zugänglich. Die digitale Infrastruktur des Unternehmens war zu diesem Zeitpunkt faktisch ausgelöscht.

Schon der erste Eindruck machte das Ausmaß des Angriffs deutlich. Doch was wir in den folgenden Tagen ans Licht brachten, war nicht nur alarmierend, sondern auch lehrreich – für uns, für das Unternehmen und für viele andere Organisationen, die sich bisher in falscher Sicherheit wiegen.

Keine Lösegeldzahlung – ein mutiger und richtiger Entschluss

Der Geschäftsführer des betroffenen Unternehmens stand unter enormem Druck. Mitarbeiter konnten nicht arbeiten, Produktions- und Logistikprozesse standen still. Doch er traf eine klare und mutige Entscheidung: Kein Lösegeld an Erpresser.

Ein wichtiges Zeichen, denn viele Unternehmen zahlen – in der Hoffnung, ihre Daten zurückzubekommen. Doch die Realität zeigt: Die Zahlung eines Lösegelds garantiert rein gar nichts. Vielmehr unterstützt sie ein Geschäftsmodell, das weiter wächst und floriert, solange es Abnehmer gibt.

Wie die Angreifer ins Netzwerk kamen

Unsere erste Aufgabe war die digitale Forensik: Wie kamen die Angreifer überhaupt ins Netzwerk? Die Antwort war ebenso erschreckend wie vermeidbar.

Ein Trojaner wurde durch einen internen IT-Mitarbeiter unbewusst ausgeführt – vermutlich durch eine manipulierte E-Mail oder ein verseuchtes Downloadpaket. Doch damit nicht genug: Was dann folgte, ist ein Paradebeispiel für ein vermeidbares Sicherheitsversagen.

Die IT-Abteilung nutzte einen sogenannten Password-Safe, ein digitales Tresorsystem, in dem Zugangsdaten sicher gespeichert werden sollen. Doch das Hauptkennwort für diesen Safe – also der Schlüssel zu sämtlichen Zugangsdaten – lag im Klartext auf einem frei zugänglichen Serververzeichnis. Mit anderen Worten: Der Angreifer hatte nach dem erfolgreichen Erstzugriff binnen Minuten vollständige Kontrolle über das gesamte Systemnetzwerk.

Wie die Angreifer ins Netzwerk kamen

Unsere erste Aufgabe war die digitale Forensik: Wie kamen die Angreifer überhaupt ins Netzwerk? Die Antwort war ebenso erschreckend wie vermeidbar.

Ein Trojaner wurde durch einen internen IT-Mitarbeiter unbewusst ausgeführt – vermutlich durch eine manipulierte E-Mail oder ein verseuchtes Downloadpaket. Doch damit nicht genug: Was dann folgte, ist ein Paradebeispiel für ein vermeidbares Sicherheitsversagen.

Die IT-Abteilung nutzte einen sogenannten Password-Safe, ein digitales Tresorsystem, in dem Zugangsdaten sicher gespeichert werden sollen. Doch das Hauptkennwort für diesen Safe – also der Schlüssel zu sämtlichen Zugangsdaten – lag im Klartext auf einem frei zugänglichen Serververzeichnis. Mit anderen Worten: Der Angreifer hatte nach dem erfolgreichen Erstzugriff binnen Minuten vollständige Kontrolle über das gesamte Systemnetzwerk.

Zerstörung per Knopfdruck: Der Angriff auf die Virtualisierungsinfrastruktur

Mit den gestohlenen Zugangsdaten verschafften sich die Cyberkriminellen Zugriff auf den zentralen VMware ESXi Host, also das Herzstück der virtuellen Serverstruktur. Sie stellten den Host ins Internet – ein fataler Schritt – und starteten darüber ein Verschlüsselungsskript, das systematisch sämtliche virtuellen Maschinen lahmlegte.

Die Folge: Ein kompletter System-Crash. Produktionssteuerung, Buchhaltung, Lagerverwaltung, E-Mail-Systeme – alles war betroffen. Der wirtschaftliche Schaden ging in die Hunderttausende.

Wiederaufbau in Rekordzeit – mit Standards und Struktur

Trotz der Schwere des Angriffs konnte IT-Guard GmbH innerhalb kürzester Zeit einen strukturierten Notfallplan in Gang setzen.

Der Wiederaufbau umfasste:

• 400 neue PCs (teilweise turnusgemäß ohnehin fällig)
• 40 Server im Cluster
• Standardisierte Windows-Images für schnelle Rollouts
• Einführung von Microsoft Office 365
• Standortübergreifende Neuinstallation aller Systeme – in unter einer Woche

Wir setzten auf erprobte Prozesse und eine konsequente Standardisierung. Dies ermöglichte es uns, innerhalb kürzester Zeit die IT-Infrastruktur des Unternehmens wieder auf ein modernes, sicheres Niveau zu heben – diesmal mit deutlich besserem Schutz.

Sicherheitsarchitektur neu gedacht

Im Rahmen des Wiederaufbaus wurden entscheidende Sicherheitskomponenten eingeführt oder modernisiert:

• Hornetsecurity als professioneller Spam- und Malwarefilter
• Vaultwarden (self-hosted Bitwarden) für Passwortsicherheit und MFA bei allen Mitarbeitern
• Austausch veralteter Firewalls gegen gemanagte Sicherheitslösungen
• Implementierung eines Cloud-Backup-Konzepts zusätzlich zu lokalen Datensicherungen in physisch getrennten Brandabschnitten

So wurde aus einem desolaten System ein zukunftsfähiges Sicherheitskonzept mit Fokus auf Verfügbarkeit, Transparenz und Resilienz.

Finanzielle Folgen – und was wirklich teuer ist

Ein Angriff dieser Größenordnung verursacht immense Kosten. In diesem Fall sprechen wir über:

• Gesamtschaden: ca. 600.000 – 700.000 €
• Davon 250.000 € durch Investitionen, die ohnehin bald angestanden hätten (Hardware, Software)
• 350.000 – 450.000 € an reinen Schadenskosten durch Ausfall, Datenverlust, Arbeitsunterbrechungen, Neuaufbau

Hinzu kommen Imageschäden und Vertrauensverluste, die sich nicht in Euro beziffern lassen.

Was können andere Unternehmen daraus lernen?

Dieser Vorfall ist kein Einzelfall – er ist ein Muster, das wir bei IT-Guard GmbH immer wieder sehen. Unternehmen wiegen sich in Sicherheit, bis es zu spät ist. Die meisten Angriffe lassen sich auf menschliches Versagen, fehlende Standards und unzureichende Prozesse zurückführen.

Daher unser Appell:

• Setzen Sie auf proaktive Sicherheit statt reaktiver Panik.
• Schulen Sie Ihre Mitarbeiter regelmäßig.
• Lagern Sie kritische Dienste an zertifizierte Partner aus.
• Nutzen Sie Multi-Faktor-Authentifizierung, Zero Trust, regelmäßige Backups (lokal UND in der Cloud).
• Und vor allem: Testen Sie Ihre Notfallpläne, bevor Sie sie brauchen.

Ein Lichtblick – Forensik bringt Teilerfolge

Dank der Zusammenarbeit mit einem spezialisierten Forensikunternehmen konnten zumindest einzelne kritische Datenbanken und Systeme rekonstruiert werden. Dies hat den Neustart zusätzlich beschleunigt – auch wenn es das Gesamtbild nicht vollständig aufhellen konnte.