Datenrettung · LanCologne

Was ist der Unterschied zwischen klassischer Datenrettung und Datenwiederherstellung im Rahmen einer Incident-Response nach einem Cyberangriff?

Nach einem Cyberangriff geht es um zwei verschiedene Fragen: Wie kommen wir wieder an unsere Daten? Und: Wie ist der Angreifer hineingekommen und was hat er getan? Datenrettung beantwortet die erste, Incident Response und Forensik die zweite. Wer nur wiederherstellt, riskiert, die Ursache nicht zu beseitigen und Beweise zu verlieren.

Kostenfreie Anfrage

Technischer Hintergrund

Bei Ransomware sind Daten verschlüsselt, Schattenkopien und Backups oft gezielt gelöscht. Eine Wiederherstellung aus Backups oder Rohdaten ist möglich, wenn unverschlüsselte Bestände existieren. Gleichzeitig enthalten die betroffenen Systeme Spuren wie Ereignisprotokolle, Anmeldungen, Fernwartungsverbindungen und Persistenzmechanismen, die für die Ursachenklärung, Versicherung und Meldepflichten benötigt werden.

Was Sie jetzt tun – und lassen sollten

  • Betroffene Systeme vom Netz trennen, aber nicht neu installieren oder formatieren.
  • Keine Wiederherstellung auf das kompromittierte System, solange der Zugangsweg unbekannt ist.
  • Lösegeldforderung, Erpressernotiz und Zeitpunkte dokumentieren.
  • Versicherung und Datenschutzbeauftragte frühzeitig einbinden.

So gehen wir vor

  • Klären, welche Daten unverschlüsselt vorliegen (Backups, Offline-Medien, Schattenkopien, Rohdaten).
  • Vor der Wiederherstellung forensische Sicherung der relevanten Systeme und Protokolle.
  • Wiederherstellung auf bereinigte Systeme; parallel Rekonstruktion des Angriffswegs.

Grenzen

  • Mit aktueller Verschlüsselung gesicherte Dateien lassen sich ohne Schlüssel in der Regel nicht entschlüsseln.
  • Wurden Protokolle überschrieben oder Systeme neu aufgesetzt, ist die Ursache oft nur eingeschränkt rekonstruierbar.
  • Eine Lösegeldzahlung garantiert weder Entschlüsselung noch Vollständigkeit.

Mögliche Ergebnisse

Je nach Auftrag: wiederhergestellte Datenbestände und/oder ein Bericht zu Angriffsweg, Zeitlinie und betroffenen Systemen.

So arbeiten wir bei der Datenrettung

Jeder Datenträger wird zuerst in unserem eigenen Labor in Köln diagnostiziert; die Diagnose ist kostenfrei. Danach erhalten Sie ein schriftliches Angebot und entscheiden, ob Sie es annehmen. Lehnen Sie ab, holen Sie den Datenträger nach Terminvereinbarung im Labor ab – dabei entstehen keine Versandkosten – oder wir senden ihn zurück; dafür können Versand- und Verpackungskosten anfallen. Gerettet wird an Abbildern, nicht am Original – mit professioneller Datenrettungs-Hardware wie PC-3000. Muss ein Laufwerk geöffnet werden, geschieht das an einer HEPA-H14-gefilterten Reinraumwerkbank (Clean Bench). Eine Erfolgsgarantie vor der Diagnose geben wir nicht, weil sie seriös nicht möglich ist. Ihr Datenträger und Ihre Daten bleiben vertraulich und werden nicht an Dritte weitergegeben.

1Anfrage und Einsendung oder persönliche Abgabe im Labor nach Terminvereinbarung
2Kostenfreie Diagnose der Schadensursache
3Schriftliches Angebot – erst nach Ihrer Freigabe geht es weiter; bei Ablehnung Abholung im Labor oder Rücksendung (Versand- und Verpackungskosten können anfallen)
4Rettung, Prüfung der Daten und vertrauliche Übergabe

Diagnose anfragen   Mehr zu Ablauf, Kosten und Vertraulichkeit →

Häufige Fragen

Reicht es, nur die Daten aus dem Backup zurückzuspielen?+
Nur wenn der Zugangsweg geschlossen ist. Sonst kann der Angreifer erneut zugreifen, und Spuren für Versicherung und Meldung gehen verloren.
Kann man Ransomware-verschlüsselte Dateien retten?+
Teilweise: über unverschlüsselte Kopien, Schattenkopien, nicht vollständig verschlüsselte Dateien oder bekannte Schwächen einzelner Schadsoftware-Familien. Für aktuelle Varianten mit sauberer Implementierung gibt es ohne Schlüssel in der Regel keinen Weg.
Wer entscheidet, ob eine Forensik nötig ist?+
Das Unternehmen, idealerweise mit Versicherung und Rechtsberatung. Wir erläutern, welche Fragen sich technisch beantworten lassen.

Weiterführende Themen

🔗 Verwandte Themen