Malware & verdächtiges Verhalten · MAL-01
Virenmeldung oder Sicherheitswarnung
Auf dem Bildschirm erscheint eine Warnung über einen Virus, eine Bedrohung oder ein Sicherheitsproblem. Unklar ist, ob die Meldung vom installierten Schutzprogramm stammt oder von einer Website, die eine Warnung nur nachbaut.
Erste 15 Minuten
Sofortmaßnahmen.
- Warnfenster im Browser mit Telefonnummer zum Support
- Meldung des Virenscanners über eine blockierte Datei
- Aufforderung, ein Reinigungsprogramm zu installieren
- Dauerhafter Warnton mit Vollbildmeldung
- 01
Prüfen, wo die Meldung steht. Alles innerhalb eines Browserfensters ist keine Meldung deines Schutzprogramms.
- 02
Keine Telefonnummer aus der Meldung anrufen und keine angebotene Software installieren.
- 03
Browserfenster oder Tab schließen. Lässt es sich nicht schließen, den Browser über den Task-Manager beenden.
- 04
Kommt die Meldung nachweislich vom Schutzprogramm: nichts wegklicken, Screenshot machen und melden.
- 05
Wurde bereits etwas installiert oder eine Nummer angerufen: Gerät vom Netz trennen und die IT anrufen.
Melden
Wen informieren, und wie.
Wen
IT-Verantwortliche oder IT-Dienstleister. Bei echter Scanner-Meldung zeitnah, bei installierter Fremdsoftware sofort.
Wie
Über den internen Meldeweg aus dem Kontaktblatt. Wurde etwas installiert, telefonisch und von einem anderen Gerät.
Was bereithalten
- Wortlaut der Meldung, am besten als Screenshot
- Ob sie im Browser oder ausserhalb erschienen ist
- Welcher Dateiname oder Bedrohungsname genannt wurde
- Was du unmittelbar davor geöffnet hast
- Ob du etwas installiert oder angerufen hast
Häufige Fehler
Nicht tun.
-
Die angezeigte Support-Nummer anrufen. Sie führt zu den Urhebern der Meldung.
-
Ein empfohlenes Reinigungs- oder Optimierungsprogramm installieren.
-
Eine echte Scanner-Meldung wegklicken und weiterarbeiten, ohne sie zu melden.
-
Die blockierte Datei erneut öffnen oder aus der Quarantäne holen.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die IT prüft die Protokolle des Schutzprogramms und ordnet ein, ob es sich um einen Einzelfund oder eine Welle handelt.
-
Bei installierter Fremdsoftware wird das Gerät untersucht und im Zweifel neu aufgesetzt.
-
Häufen sich gefälschte Warnfenster, werden die auslösenden Adressen zentral gesperrt.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Der Ort der Meldung entscheidet
Die wichtigste Unterscheidung in diesem Fall braucht keine technischen Kenntnisse: Wo steht die Meldung. Ein installiertes Schutzprogramm meldet sich über eine Systembenachrichtigung oder ein eigenes Fenster, in der Regel am Rand des Bildschirms, ohne Telefonnummer und ohne Zeitdruck.
Eine Warnung, die innerhalb einer Webseite steht, stammt niemals vom Schutzprogramm. Sie kann den Bildschirm füllen, einen Warnton abspielen und den Browser blockieren. Was sie nicht kann: auf dein System zugreifen. Sie ist eine Anzeige, und mit dem Schließen des Browsers ist der Fall beendet.
Die gefälschte Warnung verkauft den zweiten Schritt
Der Zweck solcher Fenster ist selten das Fenster selbst. Es verkauft einen Anruf oder eine Installation, und erst dieser zweite Schritt ist der Angriff: Am Telefon folgt die Bitte um Fernwartung, in der Installation folgt die Software, die tatsächlich Zugriff nimmt.
Deshalb ist die Reihenfolge in den Sofortmaßnahmen so gebaut. Solange nur geschlossen wurde, ist nichts passiert. Sobald angerufen oder installiert wurde, wechselt der Fall die Kategorie und das Gerät gilt als nicht mehr vertrauenswürdig.
Eine echte Scanner-Meldung ist eine gute Nachricht mit Nachspiel
Wenn das Schutzprogramm eine Datei blockiert, hat es funktioniert. Die offene Frage ist, wie die Datei auf das Gerät kam: aus einer Mail, von einem Datenträger, aus einem Download oder von einem Netzlaufwerk. Diese Herkunft entscheidet, ob weitere Geräte betroffen sind.
Deshalb wird auch der erfolgreiche Fund gemeldet, und deshalb steht der Bedrohungsname in der Meldeliste. Er sagt der IT, ob es sich um einen harmlosen Einzelfund handelt oder um den Vorboten einer Welle, die gerade durchs Haus läuft.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.