Malware & verdächtiges Verhalten · MAL-02
Rechner verhält sich ungewöhnlich
Das Gerät reagiert anders als sonst. Es wird ohne erkennbaren Grund langsam, der Lüfter läuft dauerhaft, Fenster öffnen sich von selbst, der Mauszeiger bewegt sich eigenständig oder Programme starten und beenden sich ohne Zutun.
Erste 15 Minuten
Sofortmaßnahmen.
- Mauszeiger bewegt sich ohne Zutun
- Dauerhaft hohe Auslastung ohne laufendes Programm
- Unbekannte Programme im Autostart
- Dateien sind umbenannt oder verschwunden
- 01
Gerät vom Netzwerk und WLAN trennen. Das unterbricht Fernzugriff und den Zugang zu Netzlaufwerken.
- 02
Gerät eingeschaltet lassen und nicht neu starten. Ein Neustart löscht Spuren, die für die Aufklärung gebraucht werden.
- 03
Nicht weiterarbeiten und keine Zugangsdaten mehr eintippen. Eingaben können mitgelesen werden.
- 04
Die IT von einem anderen Gerät oder telefonisch verständigen.
- 05
Notieren, was genau auffällt und seit wann, solange die Beobachtung frisch ist.
Melden
Wen informieren, und wie.
Wen
IT-Verantwortliche oder IT-Dienstleister, unverzüglich. Bei fremdgesteuertem Mauszeiger sofort telefonisch.
Wie
Telefonisch über den Notfallkontakt aus dem Kontaktblatt, nicht vom betroffenen Gerät aus.
Was bereithalten
- Welche Auffälligkeiten konkret auftreten
- Seit wann das Verhalten besteht
- Was du zuletzt geöffnet oder installiert hast
- Ob das Gerät noch am Netz hängt
- Ob auf Netzlaufwerke zugegriffen wurde
Häufige Fehler
Nicht tun.
-
Neu starten oder herunterfahren in der Hoffnung, dass es sich damit erledigt.
-
Selbst Programme deinstallieren oder Autostart-Einträge löschen, bevor die IT den Stand gesehen hat.
-
Weiterarbeiten und sich in andere Dienste einloggen.
-
Externe Datenträger anstecken, um schnell noch Dateien zu sichern.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die IT untersucht laufende Prozesse, Autostart und ausgehende Verbindungen und entscheidet über Bereinigung oder Neuaufsetzen.
-
Erreichbare Netzlaufwerke und Cloud-Ordner werden auf Veränderungen geprüft.
-
Anmeldedaten der auf dem Gerät genutzten Konten werden vorsorglich neu aufgesetzt.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Der fremdgesteuerte Mauszeiger ist ein eigener Alarm
Die meisten Auffälligkeiten auf diesem Blatt haben harmlose Erklärungen: Ein Update läuft im Hintergrund, ein Programm hängt, die Festplatte ist voll. Eine Beobachtung fällt aus diesem Rahmen heraus, und das ist der Mauszeiger, der sich ohne dein Zutun bewegt, oder das Fenster, das sich sichtbar selbst bedient.
Das bedeutet, dass jemand in diesem Moment auf dem Gerät arbeitet. Hier zählt nicht die Diagnose, sondern die Trennung: Netzkabel ziehen, WLAN aus. Alles Weitere klärt die IT, und zwar über ein anderes Gerät, weil die Meldung sonst mitgelesen wird.
Warum Ausschalten die Aufklärung kostet
Der Reflex beim gestörten Rechner ist der Neustart, und in diesem Fall ist er der teuerste Schritt. Im Arbeitsspeicher stehen die Informationen, aus denen sich rekonstruieren lässt, was ausgeführt wurde, welche Verbindungen nach außen liefen und welche Konten betroffen sind.
Nach einem Neustart ist das weg. Was bleibt, ist ein Gerät ohne Befund und die Unsicherheit, ob der Zugriff nicht längst auf andere Systeme weitergewandert ist. Vom Netz trennen erreicht dasselbe Ziel, ohne die Spuren zu vernichten.
Aufräumen vernichtet Beweise
Ein unbekannter Eintrag im Autostart oder ein fremdes Programm in der Liste wirkt wie etwas, das man selbst schnell entfernen kann. Für die IT sind genau diese Einträge die Ausgangspunkte: Sie zeigen, wie sich die Software festgesetzt hat und ob sie einen Neustart überlebt.
Deshalb ist das Notieren erlaubt und das Löschen nicht. Schreib auf, was dir auffällt, und lass den Zustand so, wie er ist. Das Gerät ist ohnehin vom Netz, also richtet es in dieser Zeit keinen weiteren Schaden an.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.