Verdacht auf Virus oder Ransomware – was jetzt?

Worum es geht

Diese Seite ist die einzige in diesem Bereich, bei der es wirklich auf Minuten ankommt. Ransomware verschlüsselt Dateien – zuerst lokal, dann auf allen Netzlaufwerken, die Ihr Benutzer erreichen kann. Je früher das Gerät vom Netz getrennt ist, desto kleiner bleibt der Schaden. Lesen Sie die folgenden Schritte einmal in Ruhe, damit Sie sie im Ernstfall nicht erst suchen müssen.

Sofortmaßnahmen – in dieser Reihenfolge

Trennen Sie das Gerät vom Netzwerk. Netzwerkkabel abziehen und WLAN ausschalten (am schnellsten über Windows-Taste + A → Flugmodus). Das stoppt die Ausbreitung auf Server und gemeinsame Ordner.
Schalten Sie den PC nicht aus und starten Sie ihn nicht neu. Das fühlt sich falsch an, ist aber richtig: Im Arbeitsspeicher stehen Informationen, die wir für die Aufklärung und manchmal sogar für die Entschlüsselung brauchen.
Öffnen, löschen oder benennen Sie keine Dateien um. Versuchen Sie keine eigene Reparatur und starten Sie keinen zusätzlichen Virenscanner.
Ziehen Sie angesteckte USB-Sticks und externe Festplatten ab – aber nur, wenn gerade nicht darauf geschrieben wird.
Melden Sie sich sofort: E-Mail an support@acronum.com von einem anderen Gerät aus, zum Beispiel vom Handy. Rufen Sie zusätzlich an, wenn Sie eine Nummer zur Hand haben.
Informieren Sie Ihre Kolleginnen und Kollegen, wenn gemeinsame Laufwerke betroffen sein könnten. Wer gerade eine Datei geöffnet hat, sollte sie schließen und nicht speichern.

Typische Warnzeichen

Dateinamen bekommen eine zusätzliche, fremde Endung – aus Angebot.docx wird Angebot.docx.locked oder Ähnliches.
In vielen Ordnern liegt plötzlich eine Textdatei mit einer Zahlungsaufforderung, oder es öffnet sich ein Vollbildfenster mit einer Frist.
Der PC wird ohne erkennbaren Grund extrem langsam, während die Festplatte dauerhaft arbeitet.
Dateien lassen sich nicht mehr öffnen, obwohl sie da sind.
Kolleginnen und Kollegen erhalten E-Mails in Ihrem Namen, die Sie nie geschrieben haben.
Programme oder Fenster starten, ohne dass Sie etwas angeklickt haben.

Was Sie auf keinen Fall tun sollten

Nicht zahlen und nicht verhandeln. Weder direkt noch über einen „Entschlüsselungsdienst“ aus dem Internet.
Keine Programme installieren, die eine Reparatur versprechen. Ein erheblicher Teil davon macht die Lage schlimmer.
Das Gerät nicht an ein anderes Netzwerk hängen, um „schnell noch etwas zu sichern“.
Keine Backups überschreiben und keine Sicherung von diesem Gerät aus starten.

Warum Ausschalten die falsche Reaktion ist

Der Reflex ist verständlich, denn Ausschalten fühlt sich nach „stoppen“ an. Tatsächlich stoppt aber bereits das Trennen vom Netzwerk die Ausbreitung – und der Arbeitsspeicher, der beim Ausschalten gelöscht wird, enthält oft genau die Spuren, mit denen sich Umfang und Einfallstor bestimmen lassen. In günstigen Fällen liegt dort sogar der Schlüssel.

Ein Fehlalarm ist kein Problem

Wenn sich herausstellt, dass es nur ein hängendes Programm war: umso besser. Wir sind lieber zehnmal umsonst da als einmal zu spät. Melden Sie deshalb im Zweifel immer.

Wenn nichts davon hilft: Ticket per E-Mail

Dann übernehmen wir. Schreiben Sie einfach eine E-Mail an support@acronum.com – daraus wird automatisch ein Ticket, und Sie bekommen eine Eingangsbestätigung. Ein Anruf ist dafür nicht nötig, und Sie müssen auch kein Formular ausfüllen.

Je mehr von den folgenden Punkten in der Mail steht, desto seltener müssen wir nachfragen – und desto schneller ist die Sache erledigt:

Was genau Sie sehen – ein Handyfoto vom Bildschirm ist ideal, weil Sie am PC ja nichts mehr tun sollen.
Ob und wann Sie einen Anhang geöffnet oder einen Link angeklickt haben.
Auf welche Netzlaufwerke Sie üblicherweise zugreifen.
Ob Sie das Gerät bereits vom Netz getrennt haben (und ob es noch läuft).
Ob externe Datenträger angesteckt waren.
Ihren Namen und Ihren Standort sowie – wenn Sie ihn zur Hand haben – den Gerätenamen. Sie finden ihn unter Einstellungen → System → Info im Feld „Gerätename“ (die Einstellungen öffnen Sie mit Windows-Taste + I).
Seit wann das Problem auftritt und ob es vorher funktioniert hat. „Seit dem Update am Montag“ ist eine wertvollere Information, als es klingt.
Ob es nur Sie betrifft oder auch Kolleginnen und Kollegen.
Welche der obigen Schritte Sie bereits probiert haben – auch die, die nichts gebracht haben. Das erspart uns, dieselben Dinge noch einmal durchzugehen.
Einen Screenshot der Fehlermeldung, falls es eine gibt: Windows-Taste + Umschalt + S, den Bereich mit der Maus aufziehen, dann in der E-Mail Strg + V drücken.
Wie dringend es ist: Blockiert es Ihre Arbeit vollständig, oder kommen Sie vorerst weiter?

Ein guter Betreff nennt in einer Zeile, was nicht geht und wo. Zum Beispiel: DRINGEND – Verdacht auf Ransomware, PC vom Netz getrennt, läuft noch