Wiederherstellung nach einem Angriff: sauberer Punkt, Isolation, Wiederverbindung

Jedes andere Modul dieses Tracks setzt voraus, dass die Umgebung vertrauenswürdig ist. Nach einem Angriff gilt das nicht mehr — und der Reflex, sofort zurückzuspielen, kann die Wiederherstellung scheitern lassen: Er alarmiert den Angreifer und überschreibt die Spuren, aus denen sich der Umfang ergibt. Dieses Modul zeigt, woher der saubere Zeitpunkt kommt, warum ein Systemabbild den Zugang des Angreifers mitbringt, wie ein sauberer Raum nur um Geprüftes wächst — und warum das Wiederverbindungs-Tor zwei Bedingungen hat, nicht eine.

Lehrtext · 11 Abschnitte · zuletzt geprüft: 2026-09-04

Eine Annahme fällt weg, und damit fällt fast alles

Alle bisherigen Module setzen etwas voraus, das nie ausgesprochen wird: Die Umgebung ist vertrauenswürdig. Der Server, auf den zurückgespielt wird, gehorcht nur seinen Betreibern. Die Anmeldung, mit der gearbeitet wird, kennt niemand sonst. Der Bestand, der zurückgeholt wird, enthält, was jemand hineingeschrieben hat.

Nach einem Angriff gilt keine dieser drei Annahmen. Das macht diesen Fall nicht nur schwerer, sondern anders: Die schnelle Wiederherstellung, die in jedem anderen Szenario die richtige Antwort ist, kann hier den Schaden vergrößern — und zwar auf eine Weise, die man erst Wochen später bemerkt.

Die Reihenfolge dieses ModulsErst wird gezeigt, warum der übliche Reflex schadet, dann, woher der Zeitpunkt kommt, auf den man zurückgeht, dann, wie ein Wiederaufbau abläuft, der die Kompromittierung nicht mitnimmt. Am Ende steht die Frage, an der jede Wiederherstellung nach einem Angriff hängt: Wann darf ein System wieder ans Netz?

Der Reflex, der die Wiederherstellung zunichtemacht

Wenn ein Angriff bemerkt wird, ist der erste Impuls, sofort zurückzuspielen. Der NIST-Leitfaden für die Wiederherstellung nach Cyberereignissen widerspricht dem mit einer Begründung, die man einmal gelesen haben muss.

Dort heißt es: Mit der Wiederherstellung zu beginnen, bevor die Untersuchung die Spur und die Ziele des Angreifers verstanden hat, kann ihn darauf aufmerksam machen, dass er entdeckt wurde — und einen Taktikwechsel auslösen, der die Wiederherstellung scheitern lässt. Ein solcher Wechsel könne den Verlust von Indikatoren und der Sichtbarkeit seiner Aktivitäten bedeuten und damit die Fähigkeit verringern, betroffene Ressourcen überhaupt zu finden.

Der zweite Satz aus derselben QuelleDer Leitfaden verlangt ausdrücklich, Erkennungs- und Reaktionsverfahren so anzupassen, dass die Wiederherstellung die Untersuchung nicht behindert — weder indem sie den Angreifer alarmiert noch indem sie versehentlich forensische Spuren zerstört. Damit sind die beiden häufigsten Fehler der ersten Stunde benannt: sofort zurückspielen und dabei überschreiben, was die Untersuchung gebraucht hätte.

Daraus folgt keine Lähmung. Der Leitfaden nennt die Auflösung: eine abgestimmte Reaktion, die zwischen wirksamer forensischer Untersuchung und schneller Wiederherstellung des Geschäftsbetriebs abwägt — eine Entscheidung, die jede Organisation für sich trifft. Wichtig ist, dass sie getroffen wird, und zwar von jemandem, der dafür benannt ist, statt sich aus der Eile zu ergeben.

Für die Praxis lässt sich daraus eine kurze Regel für die erste Stunde ableiten. Was den Angreifer nicht alarmiert und keine Spuren zerstört, darf sofort geschehen: Sicherungen prüfen und zusätzlich sichern, Bestände außer Reichweite bringen, Abbilder betroffener Systeme für die Untersuchung anlegen, das Ausmaß erfassen. Was in die laufende Umgebung eingreift — Systeme zurückspielen, Konten zurücksetzen, Verbindungen kappen — wartet auf eine Entscheidung. Diese Trennung ist der ganze Unterschied zwischen einer geordneten und einer improvisierten ersten Stunde.

Der saubere Punkt kommt aus der Untersuchung, nicht aus dem Katalog

Letzter bekannter guter Zustand — Der jüngste Stand, von dem belegt ist, dass er vor dem Eindringen liegt oder von ihm nicht berührt wurde. Er wird nicht aus dem Sicherungskatalog abgelesen, sondern aus dem Zeitverlauf des Vorfalls bestimmt.

Der NIST-Leitfaden formuliert das genau so: Der letzte bekannte gute Zustand der Daten wird auf Grundlage der Zeitangaben bestimmt, die das Untersuchungsteam bei der Aufklärung des Ereignisses gesammelt hat. Das Sicherungssystem liefert die verfügbaren Stände; welcher davon sauber ist, ergibt sich aus der Untersuchung.

Warum der jüngste Stand meist ausscheidet: Zwischen Eindringen und Entdeckung liegen in aller Regel Wochen. Die jüngsten Sicherungen enthalten den Angreifer bereits.
Warum das die Aufbewahrungstiefe entscheidet: Reicht die Aufbewahrung nicht weiter zurück als die Verweildauer des Angreifers, existiert kein sauberer Stand. Genau hier zahlt sich gestaffelte Tiefe aus.
Warum die Wahl teuer ist: Ein sauberer Stand von vor sechs Wochen bedeutet sechs Wochen Datenverlust — eine geschäftliche Entscheidung, keine technische.

Die zweite Zeile ist der Rückverweis auf das Schutzdesign: Die Frage „wie lange kann ein Fehler bei uns unbemerkt bleiben“ hatte dort schon die Aufbewahrungstiefe bestimmt. Hier zeigt sich, dass dieselbe Zahl auch die Verweildauer eines Angreifers abdecken muss — und die ist erfahrungsgemäß länger, als Betriebe annehmen.

Die Werkzeuge, die gegen die Wiederherstellung eingesetzt werden

Ein Angreifer, der Lösegeld erpressen will, hat ein klares Zwischenziel: die Wiederherstellung unmöglich machen. Der #StopRansomware-Leitfaden von CISA und MS-ISAC listet für die Untersuchung genau die Spuren auf, die dabei entstehen — und die Liste ist unangenehm vertraut.

Veränderungen an Endpunkten, die Sicherungen, Schattenkopien, Datenträgerjournale oder Startkonfigurationen beeinträchtigen.
Auffällige Nutzung mitgelieferter Windows-Werkzeuge: bcdedit.exe, fsutil.exe mit deletejournal, vssadmin.exe, wbadmin.exe und wmic.exe mit shadowcopy oder shadowstorage.
Der Grund dafür steht in derselben Quelle: Der Missbrauch dieser Werkzeuge sei eine verbreitete Technik, um die Wiederherstellung des Systems zu verhindern.
Die Konsequenz für den Betrieb: Diese Befehle sind Verwaltungswerkzeuge, keine Schadsoftware. Ihre Benutzung fällt nur auf, wenn jemand vorher festgelegt hat, wann sie erwartbar ist.

Was das für die Sicherungsarchitektur bedeutetDie Aufzählung liest sich wie eine Begründung für alles, was in den Modulen über Schutzdesign und Einrichtung stand. Genau gegen diese Werkzeuge helfen die drei Maßnahmen von dort: eine Kopie, die die kompromittierte Anmeldung nicht erreicht; ein Ziel, das nur Anlegen erlaubt; und eine Aufbewahrungssperre, die auch mit Rechten nicht aufzuheben ist. Wer sie hat, verliert lokale Schattenkopien und behält die Wiederherstellbarkeit.

Die Sicherung kann den Angreifer enthalten

Eine unveränderbare, gut geschützte Sicherung löst das Problem der Verfügbarkeit und nicht das der Sauberkeit. Wenn der Angreifer seit sechs Wochen im System war, ist er seit sechs Wochen mitgesichert — als Schadprogramm, als angelegtes Konto, als geänderte Startkonfiguration, als hinterlassener Zugangsweg.

Der CISA-Leitfaden weist ausdrücklich darauf hin, dass Angreifer häufig zusätzliche Schadsoftware ablegen, um ihre Spuren zu verschleiern, und dass diese vor dem Wiederaufbau aus Sicherungen identifiziert werden muss, um fortgesetzte Kompromittierungen zu verhindern. Ein Restore ohne diese Prüfung stellt den Angreifer mit wieder her — mitsamt seinem Zugang.

Daten zurückholen: Meist unproblematisch, wenn der Zeitpunkt stimmt: Nutzdaten tragen selten den Angriffsweg.
Systeme zurückholen: Riskant: Betriebssystem, Konfiguration, Dienste und Konten können den Zugang des Angreifers enthalten.
Der übliche Ausweg: Systeme aus bekannten, sauberen Abbildern neu aufbauen und nur die Daten aus der Sicherung zurückholen — langsamer, dafür ohne mitgeschleppten Zugang.

Die Rechnung, die daraus folgtNeuaufbau statt Systemrestore klingt nach einer Sicherheitsentscheidung und ist vor allem eine Zeitentscheidung. Ein Systemrestore dauert Stunden, ein Neuaufbau aus Abbildern plus Konfiguration dauert Tage — es sei denn, es existieren gepflegte, geprüfte Abbilder und die Konfiguration liegt als Code vor. Genau deshalb empfiehlt der CISA-Leitfaden, aktuelle Abbilder kritischer Systeme vorzuhalten und Infrastruktur als Code zu beschreiben, deren Vorlagen offline gesichert werden. Diese Vorarbeit ist im Alltag schwer zu begründen und entscheidet nach einem Angriff über Tage.

Der saubere Raum

Der Wiederaufbau braucht einen Bereich, in den nur Geprüftes hineinkommt. Der CISA-Leitfaden formuliert die Regel dafür knapp und praktisch: Beim Wiederherstellen sei darauf zu achten, saubere Systeme nicht erneut zu infizieren — wenn etwa ein neues Netzsegment für die Wiederherstellung eingerichtet wurde, dürfen ausschließlich saubere Systeme hinzugefügt werden.

Ein getrenntes Netzsegment ohne Weg in die alte Umgebung→Neue Verwaltungsanmeldungen, nicht die bestehenden→Systeme aus geprüften Abbildern, nicht aus Systemsicherungen→Daten aus dem festgelegten sauberen Stand, geprüft vor der Übernahme→Jedes System einzeln freigegeben, bevor es hinzukommt

Der saubere Raum wächst nur um Geprüftes

Die Regel, an der es scheitertDer saubere Raum ist keine technische, sondern eine organisatorische Konstruktion, und er hält nur, solange die Regel ausnahmslos gilt. Der typische Bruch ist harmlos gemeint: Jemand braucht dringend eine Datei, eine Verbindung wird „nur kurz“ geöffnet, ein Administrationsrechner aus der alten Umgebung wird angeschlossen. Ab diesem Moment ist der Raum wieder unbestimmt — und niemand kann sagen, ab wann. Deshalb braucht der Raum eine benannte Person, die über jede Aufnahme entscheidet.

Praktisch beginnt der saubere Raum klein und wächst langsam: ein Netzsegment, ein Verwaltungsrechner, ein Verzeichnisdienst, dann die Dienste in der Reihenfolge ihrer Schutzklasse. Jede Aufnahme ist ein eigener Vorgang mit eigener Prüfung, und die Prüfung ist umso billiger, je früher sie stattfindet — ein System, das erst nach zwanzig anderen als kompromittiert erkannt wird, macht die Prüfung dieser zwanzig wertlos.

Zugangsdaten gelten als kompromittiert

Wenn ein Angreifer über Wochen im Netz war, ist die Frage nicht, ob er Anmeldedaten hat, sondern welche. Für die Wiederherstellung heißt das: Der Wiederaufbau des Vertrauens geht dem Wiederaufbau der Dienste voraus — und die Notfallzugänge aus dem vorigen Modul stehen dabei selbst unter Verdacht.

Verwaltungskonten zuerst. Neue Anmeldedaten für alles, was den sauberen Raum betreten darf, ausgestellt außerhalb der kompromittierten Umgebung.
Dienstkonten und hinterlegte Geheimnisse. Sie stehen in Konfigurationsdateien, die der Angreifer lesen konnte, und werden beim Restore unverändert mit zurückgeholt.
Der Notfallzugang. Er war für den Ausfall gedacht, nicht für die Kompromittierung. Ob er noch vertrauenswürdig ist, muss beantwortet werden, bevor er benutzt wird.
Vertrauensstellungen zwischen Systemen. Sie überdauern die Wiederherstellung und können den Weg zurück in die neue Umgebung öffnen.

Der Aufwand dafür ist erheblich und lässt sich nicht abkürzen. Er ist zugleich der Grund, warum die Wiederanlaufzeit nach einem Angriff um ein Vielfaches über der eines Ausfalls liegt — und warum eine Zusage, die für den Ausfall gerechnet wurde, für diesen Fall nicht gilt. Das gehört in den Recovery-Vertrag, sonst wird im Ernstfall eine Zahl eingefordert, die für ein anderes Szenario vereinbart war.

Der Sonderfall VerzeichnisdienstIst der zentrale Verzeichnisdienst betroffen, wird aus der Wiederherstellung ein eigenes Vorhaben mit eigener Reihenfolge: Ohne ihn läuft nichts, und mit dem falschen Stand kehrt der Angreifer zurück. Die plattformspezifischen Verfahren dafür stehen im Track active-directory; hier zählt nur die Konsequenz für den Plan — dieser eine Dienst bestimmt die gesamte Wiederanlaufzeit, und seine Wiederherstellung gehört vor jede andere geübt.

Das Wiederverbindungs-Tor

Der gefährlichste Moment ist nicht die Wiederherstellung, sondern die Rückkehr ins Netz. Ein System, das den sauberen Raum verlässt oder in ihn aufgenommen wird, ohne dass jemand die Bedingungen geprüft hat, hebt die ganze Trennung auf.

Kurzcheck

Ein wiederhergestellter Dateiserver soll aus dem sauberen Raum in das produktive Netz zurückkehren. Welche Bedingung ist die entscheidende?

Dass belegt ist, wie das System kompromittiert wurde, und dass dieser Weg hier geschlossen ist.
Dass eine vollständige Schadsoftwareprüfung des Systems ohne Fund abgeschlossen wurde.
Dass alle Dienstkonten des Systems neue Kennwörter erhalten haben.
Dass der Fachbereich die Verfügbarkeit des Dienstes dringend benötigt.

Treffer. Richtig. Ohne diesen Beleg kehrt das System in dieselbe Lage zurück, die zum Vorfall geführt hat — mit demselben Ergebnis. Sauberkeit des Systems ist notwendig und ohne geschlossenen Eintrittsweg nicht hinreichend.

Das Tor ist damit inhaltlich anders als die Tore aus dem Modul über Orchestrierung: Dort ging es um Umkehrbarkeit, hier um Vertrauen. Die Entscheidung, ein System wieder zu verbinden, ist die einzige in diesem Track, die eine Aussage über den Angreifer voraussetzt — und sie darf deshalb nicht in der Automatisierung liegen.

Teilbetrieb ist ein Ziel, nicht ein Scheitern

Der NIST-Leitfaden hält einen Gedanken fest, der im Druck eines Vorfalls leicht untergeht: Die vollständige Wiederherstellung sei möglicherweise nicht das unmittelbare Ziel — Widerstandsfähigkeit könne bedeuten, dass eine Ressource in verminderter Leistungsfähigkeit weiterarbeitet.

Was das praktisch heißt: Ein Dienst, der nur lesend läuft, ein Ersatzverfahren auf Papier, eine Teilmenge der Standorte — jeweils mit klarer Ansage, was gerade nicht geht.
Warum es die bessere Wahl sein kann: Es verschafft Zeit für eine saubere Untersuchung, ohne den Geschäftsbetrieb vollständig anzuhalten — und nimmt den Druck aus der Entscheidung über den Wiederverbindungszeitpunkt.
Was es kostet: Einen zweiten Betriebszustand, den jemand erklären, betreiben und wieder beenden muss — und der Rückweg daraus ist ein eigener, oft unterschätzter Vorgang.

Der Teilbetrieb ist zugleich die Antwort auf den Druck, der jede Entscheidung dieses Moduls verzerrt. Solange gar nichts läuft, wächst die Forderung nach schneller Wiederverbindung mit jeder Stunde, bis das Tor überstimmt wird. Läuft ein Ersatzverfahren, sinkt dieser Druck — und die Entscheidung über den Wiederverbindungszeitpunkt lässt sich anhand ihrer Kriterien treffen statt anhand der Erschöpfung der Beteiligten. Das ist der eigentliche Grund, warum Ersatzverfahren in den Plan gehören: nicht wegen der überbrückten Stunden, sondern wegen der Entscheidungen, die sie ermöglichen.

Wer entscheidet, und woran

Weil die Abwägung zwischen Untersuchung und Wiederherstellung im Einzelfall getroffen werden muss, verlangt der Leitfaden, die Rahmenbedingungen vorher festzuschreiben: unter welchen Bedingungen der Wiederherstellungsplan ausgelöst wird, wer die Befugnis dazu hat und wie das Wiederherstellungspersonal benachrichtigt wird.

Auslösekriterien, damit nicht jede Störung als Angriff und kein Angriff als Störung behandelt wird.
Benannte Befugnis, damit die Entscheidung zwischen Untersuchung und Geschäftsbetrieb einen Eigentümer hat.
Benachrichtigungsweg, der ohne die eigenen Systeme funktioniert — bei einem Angriff sind E-Mail und Chat womöglich Teil des Problems.
Zwischenziele und ein Ende, denn der Leitfaden verlangt ausdrücklich, auch Meilensteine und die Beendigung der aktiven Wiederherstellung zu definieren.

Der letzte Punkt wird am häufigsten vergessenOhne definiertes Ende läuft der Ausnahmezustand weiter, bis er ausfranst: Ein Teil des Teams arbeitet noch im Krisenmodus, ein anderer ist längst im Alltag, und niemand kann sagen, ob die Lage beendet ist. Ein formal beendeter Vorfall mit einer Liste offener Punkte ist besser als ein Vorfall, der nie zu Ende geht — und er ist die Voraussetzung dafür, dass die Nachbereitung überhaupt stattfindet.

Der Aufwand dafür ist gering und liegt vollständig in der ruhigen Zeit: eine Seite, vier Absätze, ein Verteiler. Er wirkt aber nur, wenn er außerhalb der Systeme liegt, über die er entscheidet — ausgedruckt, in einem zweiten Speicher, auf einem Gerät außerhalb der Umgebung. Ein Krisenplan in einem Portal, das der Angreifer erreicht hat, ist im entscheidenden Moment weder verfügbar noch vertrauenswürdig.

Abgrenzung

Hier geht es um die Wiederherstellung unter der Annahme, dass die Umgebung kompromittiert war. Die Führung der Lage — Rollen, Kommunikation, Priorisierung über viele Dienste hinweg — ist Gegenstand des Moduls über Disaster Response.

NachbartracksErkennung, Untersuchung und Eindämmung eines Angriffs stehen in monitoring-incident-operations und den Sicherheitsmodulen der Plattform-Tracks; Angriffspfade in Verzeichnisdiensten in active-directory. Hier interessiert nur, was sich an der Wiederherstellung ändert, wenn die Umgebung nicht mehr vertrauenswürdig ist.

Jetzt anwenden

Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.

Zum Modul →

Quellen & Aktualität4 Primärquellen · zuletzt geprüft: 2026-09-04