Die Datenrettung nach Ransomware-Angriffen in virtuellen Umgebungen und Serverumgebungen gehört zu unseren Spezialgebieten. Wir stellen Daten nach Ransomware-, Hacker- oder anderen zerstörerischen Malware-Angriffen wieder her – von Hypervisoren wie Hyper-V und VMware vSphere / ESXi über Veeam Backup & Replication bis hin zu NAS / SAN-Speicher, Proxmox und Nutanix. Alle Arbeiten erfolgen ausschließlich in unserem zertifizierten und physisch gesicherten Labor, mit über 35 Jahren Erfahrung in der Branche.
Virtuelle Infrastruktur ist zum primären Ziel von Cyberangreifern geworden – unabhängig von ihrer Motivation. Die Kompromittierung eines einzigen Hypervisors ermöglicht es, Dutzende oder Hunderte virtueller Maschinen gleichzeitig zu verschlüsseln, zu löschen oder anderweitig unbrauchbar zu machen. Ransomware ist dabei nur eines der möglichen Szenarien – neben Lösegeldforderungen begegnen wir zunehmend rein destruktiven Angriffen, deren Ziel maximaler Schaden ist: gelöschte Daten, neu formatierte Speicher, vernichtete Backups.
Den initialen Zugang verschaffen sich Angreifer durch Ausnutzung ungepatchter Schwachstellen (CVEs in ESXi, OpenSLP, vCenter), Kompromittierung von VPN oder RDP, Phishing oder Angriffe über anfällige Backup-Agenten. Nach lateraler Bewegung durch das Netzwerk und Privilegienerweiterung werden Backup-Systeme – einschließlich Veeam-Repositorys – gezielt als erstes angegriffen, um den einfachsten Wiederherstellungsweg zu eliminieren.
Hochentwickelte Ransomware-Gruppen exfiltrieren Daten vor der Verschlüsselung – die Bedrohung ist daher zweifacher Natur: Verlust der Datenverfügbarkeit und Datenleck an Dritte. Die Datenrettung adressiert die Verfügbarkeit; forensische Analyse und rechtliche Schritte adressieren den Datenleck. Beide Aspekte müssen getrennt voneinander behandelt werden.
| Phase | Aktivität des Angreifers | Sichtbarkeit | Risiko |
|---|---|---|---|
| 1. Initialer Zugang | RDP-, VPN-, Phishing-Exploit, anfälliger vCenter / OpenSLP | Niedrig | Kritisch |
| 2. Persistenz | Backdoor, SSH-SchlĂĽssel, Deaktivierung der Multi-Faktor-Authentifizierung | Minimal | Kritisch |
| 3. Laterale Bewegung | Netzwerkerkundung, Privilegienerweiterung, AD-Kompromittierung | Mittel | Kritisch |
| 4. Backup-Zerstörung | Löschen von Veeam-Repositorys, Schattenkopien, Neuformatierung von NAS | Niedrig | Kritisch |
| 5. Exfiltration | Kopieren sensibler Daten auf die Infrastruktur des Angreifers | Niedrig | Kritisch |
| 6. Verschlüsselung oder Zerstörung | Massenverschlüsselung von VMDK, VHDX; Datenlöschung; Volume-Neuformatierung | Hoch | Destruktiv |
In ESXi-Umgebungen stoppen Angreifer zunächst laufende virtuelle Maschinen mit dem Befehl
esxcli vm process kill, wodurch die Sperren auf .vmdk-Festplatten aufgehoben werden. Im Fall von Ransomware werden Dateien in-place verschlüsselt – die ursprünglichen Datenblöcke bleiben unter der Verschlüsselungsschicht auf dem Medium erhalten und sind unter den richtigen Bedingungen wiederherstellbar. Destruktive Angriffe hingegen formatieren Volumes neu oder überschreiben sie, was die Datenwiederherstellung grundlegend erschwert.
In Windows-Hyper-V-Umgebungen zielen Angreifer auf .vhd
und .vhdx-Dateien ab, die auf NTFS- oder SMB-Volumes gespeichert sind. Ein Standardschritt vor Beginn der VerschlĂĽsselung ist die Eliminierung von Schattenkopien (Volume Shadow Copies)
mittels vssadmin oder wmic shadowcopy
sowie die Deaktivierung von Windows Server Backup – Angreifer verschließen damit bewusst den schnellsten Weg zur Datenwiederherstellung.
Die Zahlung des Lösegelds garantiert keine Datenwiederherstellung. Etwa ein Drittel der Opfer erhält auch nach der Zahlung keinen funktionierenden Entschlüsselungsschlüssel – und die bereits erfolgte Datenexfiltration bleibt eine Tatsache, unabhängig davon, ob der Angreifer seine Zusage einhält.
Ransomware verschlüsselt Daten, solange das System läuft – jede Sekunde verlängert den Schadensumfang. Betroffene Hosts sofort abschalten. Je früher die Abschaltung erfolgt, desto größer ist der Anteil der Daten, der unversehrt bleibt.
Die Datenrettung nach einem Cyberangriff auf virtuelle Infrastruktur erfordert spezialisierte Vorgehensweisen – kontaktieren Sie uns so schnell wie möglich. Unsere Notfallhotline ist rund um die Uhr erreichbar.
Ein Cyberangriff ist eine Straftat. Erstatten Sie Strafanzeige bei der Polizei, idealerweise bei der Zentralen Ansprechstelle Cybercrime (ZAC) Ihres Bundeslandes. Sofern Sie als regulierte Einrichtung unter das NIS-2-Umsetzungsgesetz fallen, sind Sie verpflichtet, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden beim BSI zu melden – über das BSI-Portal (portal.bsi.bund.de). Die Meldung kann zudem im Hinblick auf DSGVO und Versicherungsleistungen relevant sein.
Jede Virtualisierungsplattform zeichnet sich durch eine spezifische Datenstrukturarchitektur, virtuelle Festplattenformate sowie Snapshot- und Replikationsmechanismen aus. Die Rettungsverfahren werden stets an die konkrete Technologie, die Hypervisor-Version und die Art des Angriffs angepasst.
Virtuelle Festplatten im Format .vhd / .vhdx auf NTFS- oder ReFS-Volumes; Snapshots als Ketten von .avhd / .avhdx-Differentialfestplatten.
Virtuelle Maschinen werden als Dateipaket auf einem VMFS-Datenspeicher abgelegt -flat.vmdk (Datenvolume), .vmdk (Deskriptor), .vmx (Konfiguration), -delta.vmdk / .sesparse (Snapshots).
Backup-Dateien .vbk (Vollbackups), .vib / .vrb (inkrementell), verwaltet durch die VeeamBackup-SQL-Datenbank (MDF/LDF). Angreifer zielen gezielt auf beide Schichten ab.
Gemeinsam genutzter Speicher ist ein attraktives Angriffsziel – er enthält häufig sowohl Betriebsdaten als auch Backups.
Proxmox VE speichert VMs als qcow2- oder Raw-Images auf LVM-, ZFS- oder Ceph-RBD-Volumes; LXC-Container als Verzeichnisbäume oder ZFS-Datasets.
Nutanix speichert VM-Festplatten als vDisk-Objekte im verteilten AOS-Speicher mit nativer Replikation und Schutz ĂĽber Protection Domains.
Moderne Ransomware kombiniert asymmetrische Verschlüsselung (RSA-2048 bis RSA-4096, Curve25519) mit symmetrischer Verschlüsselung (AES-256, ChaCha20). Eine Entschlüsselung ohne den Schlüssel des Angreifers ist kryptografisch nicht realisierbar. Die Datenrettung stützt sich daher nicht auf Kryptoanalyse, sondern auf die Analyse von Datenstrukturen, Dateisystemen, Snapshots und Replikationskopien – einschließlich Remnants im nicht zugewiesenen Speicherbereich.
Die aufgeführten Plattformen decken die große Mehrheit der Fälle ab, mit denen wir konfrontiert werden – Datenrettung nach einem Cyberangriff ist jedoch unsere Spezialität, unabhängig von der konkreten Technologie. Wir arbeiten mit dem gesamten Spektrum an Virtualisierungsplattformen, Hypervisoren und Speichersystemen, einschließlich Citrix Hypervisor / XenServer, physischer Server, RAID-Arrays und weiterer Umgebungen.
Alle Arbeiten werden ausschließlich in unserem zertifizierten und physisch gesicherten Labor (ISO 9001, ISO 27001, Class 100 Cleanroom) durchgeführt – wir geben Daten und Datenträger niemals an Subunternehmer weiter. Wir verfügen über eigene Forschung, Werkzeugentwicklung und eine vollständige Rettungsinfrastruktur.
Nach Eingang des Geräts beurteilen wir die Möglichkeiten und den Aufwand der Wiederherstellung der benötigten Daten – technisch, zeitlich und finanziell. Die Diagnose während der Geschäftszeiten ist kostenlos. Die Abholung des Geräts organisieren wir auf Wunsch kostenlos.
Die Datenrettung erfolgt ausschließlich auf einer Bit-für-Bit-Kopie des Originaldatenträgers. Die Originaldatenträger bleiben unverändert und dienen als forensisches Beweismittel für ein etwaiges Strafverfahren.
Durch Analyse der Struktur verschlüsselter Datenblöcke, der verwendeten Algorithmen und der Systemartefakte identifizieren wir die konkrete Ransomware-Familie und -Version. Auf dieser Grundlage wählen wir die optimale Strategie zur Datenwiederherstellung.
Wir führen eine eingehende Analyse der Dateisysteme (VMFS, NTFS, ReFS, ZFS, ext4, Btrfs), virtueller Festplattenstrukturen und Backup-Dateien durch. Wir identifizieren verfügbare Snapshots, Replikationskopien, differenzielle Backups und Restdaten im nicht zugewiesenen Speicherbereich – und überprüfen die Konsistenz jeder potenziellen Wiederherstellungsquelle.
Die Rettung umfasst die Rekonstruktion virtueller Festplatten, die Dateiextraktion und die Reparatur beschädigter Dateisystem-Metadaten. Das Ergebnis ist eine funktionsfähige virtuelle Maschine oder ein Dateisystem in möglichst vollständiger Form, mit Beibehaltung der ursprünglichen Verzeichnisstruktur und Dateiattribute.
Datenrettung nach einem Cyberangriff auf virtuelle Infrastruktur gehört zu den anspruchsvollsten Fällen der Branche – eine eingehende Analyse kann Dutzende bis Hunderte von Stunden Facharbeit umfassen. Unser Preismodell trägt dieser Tatsache Rechnung.
Die Diagnose während der Geschäftszeiten ist kostenlos. Wir beurteilen die Möglichkeiten und den Aufwand der Wiederherstellung und legen ein Angebot vor.
In komplexen Fällen berechnen wir eine nicht erstattungsfähige Gebühr für die eingehende Analyse, deren Umfang Dutzende bis Hunderte von Arbeitsstunden erreichen kann. Der Betrag wird vorab als Teil des Angebots vereinbart.
Sie zahlen fĂĽr die Datenrettung nur bei erfolgreicher Wiederherstellung. Die VergĂĽtung ist im Angebot nach der Diagnose festgelegt.
Diagnose und Datenrettung sind rund um die Uhr im Express-Modus mit vorrangiger Aufnahme verfĂĽgbar. Bitte wenden Sie sich direkt an unser Labor fĂĽr Konditionen und VerfĂĽgbarkeit.
Die Identifizierung der Ransomware-Familie beeinflusst die Wahl der Wiederherstellungsstrategie maßgeblich. Nachfolgend eine Übersicht der Gruppen, mit deren Aktivitäten wir am häufigsten konfrontiert werden.
| Familie | Primäre Ziele | Verschlüsselung | Hinweise |
|---|---|---|---|
| Akira | ESXi, Hyper-V, Veeam | ChaCha20 + RSA-4096 | Aktiv seit 2023, zielt auf KMU und Enterprise. Erweiterung .akira. |
| BlackCat / ALPHV | ESXi, vCenter, NAS | AES-256 + RSA-2048 | In Rust geschrieben, spezialisierte Variante fĂĽr ESXi/Linux. |
| LockBit 3.0 | ESXi, Hyper-V, AD | AES + RSA hybrid | Eine der verbreitetsten Familien. Version 3.0 hat ein ESXi-spezifisches Modul. |
| Royal / BlackSuit | ESXi, Windows Server | AES-256 CBC | Hohe Lösegeldforderungen, zielt auf Gesundheitswesen und kritische Infrastruktur. |
| Rhysida | Hyper-V, Veeam | RSA-4096 + AES-256 | Zielt auf öffentlichen Sektor und Gesundheitswesen. |
| Play | ESXi, Veeam | AES-256 + RSA | Nutzt aktiv Schwachstellen in Backup-Agenten aus. |
| ESXiArgs | ESXi (OpenSLP CVE) | Sosemanuk | Massive Kampagne 2023, zielte auf ungepatchte ESXi-Hosts. |
Eine erfolgreiche Datenrettung ist erst der Anfang. Ohne systemische Maßnahmen besteht die Gefahr einer Wiederholung des Vorfalls – Angreifer kehren regelmäßig in kompromittierte Netzwerke zurück. Nachfolgend die wichtigsten Empfehlungen speziell für virtuelle Infrastruktur.
Drei Kopien der Daten, auf zwei verschiedenen Medien, eine außerhalb des Standorts und eine offline oder immutable – Veeam Hardened Repository auf Hardened Linux, Object Storage mit WORM-Policy oder Tape. Immutable Storage muss vom Produktivumfeld netzseitig isoliert sein.
ESXi- und vCenter-Schwachstellen werden innerhalb von Tagen nach CVE-Veröffentlichung aktiv ausgenutzt. Legen Sie einen Patch-Zyklus mit einer maximalen Latenz von 30 Tagen nach Veröffentlichung fest; bei kritischen Schwachstellen (CVSS ≥ 9.0) unverzĂĽglich.
Multi-Faktor-Authentifizierung ist fĂĽr vCenter, die Veeam-Konsole und VPN obligatorisch. Die Verwaltung von Hypervisoren sollte ausschlieĂźlich von einer dedizierten Privileged Access Workstation (PAW) erfolgen, die netzseitig vom Benutzernetz getrennt ist. Deaktivieren Sie den direkten SSH-Zugang zu ESXi-Hosts, sofern er nicht unbedingt erforderlich ist.
Das Management-Netzwerk der Hypervisoren muss strikt vom Produktiv- und Benutzernetzwerk getrennt sein – idealerweise physisch oder über dedizierte VLANs mit ACLs. Keine VM sollte direkten Zugang zum ESXi-Management-Interface oder zu Veeam-Backup-Servern haben.
Zentralisieren Sie ESXi-Host-Logs (hostd, vpxa, esxcli) in einem SIEM. Alarmieren Sie bei ungewöhnlichen Massen-VM-Abschaltungen, unerwarteten Firewall-Regeländerungen, massivem Zugriff auf VMDK-Dateien und nicht autorisiertem SSH-Login. Setzen Sie EDR auf Veeam- und Hyper-V-Servern ein.
Eine Backup-Strategie ohne regelmäßig getestete Wiederherstellung ist reine Theorie. Überprüfen Sie tatsächliche RPO und RTO unter realistischen Bedingungen. Dokumentieren und üben Sie den Ablauf der Reaktion auf einen Cybervorfall – einschließlich Eskalationsmatrix und Kommunikationsplan.
In vielen Fällen ja – es hängt von der konkreten Ransomware-Familie, der Verfügbarkeit von Snapshots oder Replikationskopien, die vor dem Angriff erstellt wurden, sowie dem Gesamtzustand der Backup-Infrastruktur ab. Jeder Fall erfordert eine individuelle Analyse; eine genaue Einschätzung geben wir nach der Diagnose.
Das hängt vom Umfang der Infrastruktur, dem Datenvolumen und dem Schweregrad des Angriffs ab. Die Wiederherstellung aus einem gültigen Snapshot oder einer Replikationskopie kann Stunden dauern; eine eingehende forensische Rekonstruktion eines umfangreichen Datenspeichers kann Tage in Anspruch nehmen. Eine konkrete Schätzung geben wir nach der Diagnose. Für dringendste Fälle steht Express-Bearbeitung mit vorrangiger Aufnahme und Rund-um-die-Uhr-Betrieb zur Verfügung.
Angreifer greifen den Backup-Server gezielt als ersten Schritt an – dies ist das schwerwiegendste Szenario, jedoch nicht zwingend ein hoffnungsloses. Die Analyse von Backup-Dateien auf Raw-Block-Ebene kann unverschlüsselte Datenschichten oder ältere Inkremente aufdecken. Wenn das Repository als Immutable konfiguriert war (Veeam Hardened Repository) oder als Scale-Out Backup Repository mit einem Capacity Tier in Cloud-Storage mit WORM-Policy, können Teile der Daten noch intakt sein. Entscheidend ist, alle Schreibvorgänge auf die kompromittierten Speicher sofort zu stoppen und uns so schnell wie möglich zu kontaktieren.
Ein korrekt konfiguriertes Veeam Hardened Repository (Linux mit Immutability Flag) bietet ein sehr hohes Schutzniveau – Dateien mit einer gültigen Immutability-Frist können auch mit Root-Zugang weder gelöscht noch überschrieben werden. Voraussetzungen sind Single-Use Credentials für das Backup-Konto, Netzwerkisolierung des Repositorys, kein direkter SSH-Zugang zum Storage-Konto und ein aktualisiertes Betriebssystem. Wenn diese Bedingungen erfüllt sind und die Immutability-Frist noch gültig ist, sind Ihre Backups vor Ransomware geschützt.
Ja, alle Datenrettungsarbeiten finden ausschließlich in unserem Labor statt. Wir organisieren die Abholung kostenlos; bei dringenden Fällen ist auch eine persönliche Übergabe möglich. Kontaktieren Sie uns und wir vereinbaren die schnellstmögliche Übergabemethode.
Unsere Erfolgsquote bei der Datenwiederherstellung nach Ransomware-Angriffen liegt bei über 98 %; bisher konnten wir alle Fälle von Unternehmenssystemen erfolgreich bewältigen. Die entscheidenden Faktoren sind die Verfügbarkeit von Snapshots oder Replikationen aus der Zeit vor dem Angriff, der Zustand der Backup-Speicher und die Geschwindigkeit, mit der kompromittierte Systeme abgeschaltet werden. Eine konkrete Einschätzung für Ihren Fall geben wir nach der Diagnose.
Kontaktieren Sie uns sofort. Erstberatung und Einschätzung sind kostenlos und unverbindlich. Wir sind 24 Stunden täglich, 7 Tage die Woche einschließlich Feiertagen erreichbar.