Wie lange dauert die Wiederherstellung nach einem Ransomware-Angriff?

Wie lange dauert die Wiederherstellung nach Ransomware?

Bei den meisten Organisationen zwischen einigen Tagen und mehreren Wochen. Wie schnell Sie wieder arbeiten, hängt weit mehr von Ihrer Vorbereitung ab als von der Ransomware-Variante. Deshalb gehört die Wiederherstellung in Ihren Disaster-Recovery-Plan.

Montag, 9:47 Uhr: Dateien in SharePoint ändern ihre Endung, ein Nutzer meldet eine Lösegeldforderung, und das Telefon des Service Desks steht nicht mehr still. Ob Sie am Mittwoch wieder arbeiten oder erst in drei Wochen, wurde Monate vorher entschieden.

• Im Sophos State of Ransomware 2025 hatten sich 53 % der Opfer innerhalb einer Woche erholt, nach 35 % im Jahr davor.
• Bei kompromittierten Backups stellten nur 26 % innerhalb einer Woche vollständig wieder her, bei intakten Backups 46 %, so die Sophos-Analyse von 2024. Angreifer versuchten in 94 % der Angriffe, Backups zu kompromittieren.
• Ransomware ist laut dem Verizon Data Breach Investigations Report 2026 an 48 % aller Datenpannen beteiligt.

Wiederherstellung und Untersuchung laufen nicht auf derselben Uhr. Der IBM Cost of a Data Breach Report 2025 stellte fest, dass das Erkennen und Eindämmen einer Datenpanne über alle Arten hinweg im Schnitt 241 Tage dauerte. Planen Sie deshalb, dass Ihre Systeme lange vor dem Ende der forensischen Arbeit wieder laufen.

Welche Phasen hat die Wiederherstellung nach Ransomware?

Die Wiederherstellung durchläuft fünf Phasen, und die Meldepflichten laufen ab der ersten Stunde parallel. Die Zeiten unten sind Planungsziele für eine vorbereitete Organisation, keine Richtwerte.

Die Phasen folgen dem Zyklus aus dem Incidentresponsplan Ransomware des niederländischen NCSC: Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung und Auswertung. Das NCSC rät, betroffene Systeme in den Ruhezustand zu versetzen statt sie auszuschalten, um Beweise zu sichern. Das BSI rät in seiner Checkliste für IT-Sicherheitsvorfälle, betroffene Systeme vom Netzwerk zu trennen und ein Gerät nicht herunterzufahren oder auszuschalten, sofern eine technische Analyse beabsichtigt ist.

Die Meldefristen

Nach Art. 23 Abs. 4 der NIS2-Richtlinie (EU) 2022/2555 senden besonders wichtige und wichtige Einrichtungen innerhalb von 24 Stunden nach Kenntnis von einem erheblichen Sicherheitsvorfall eine Frühwarnung, innerhalb von 72 Stunden eine Meldung des Vorfalls und spätestens einen Monat nach dieser Meldung einen Abschlussbericht. In Deutschland gilt das seit dem 6. Dezember 2025 über das NIS2UmsuCG und das BSIG: Nach § 32 BSIG gehen die Meldungen an die gemeinsame Meldestelle von BSI und BBK, und das BSI nennt für die Abschlussmeldung 30 Tage. Sind personenbezogene Daten betroffen, ergänzt Art. 33 DSGVO die Meldung an die Datenschutzaufsichtsbehörde innerhalb von 72 Stunden, wenn möglich. Zum Vergleich: In den Niederlanden gilt seit dem 15. August 2026 die Cyberbeveiligingswet. Wer unter NIS2 fällt, erklärt unser NIS2-Ratgeber.

Wie sehen die ersten vier Stunden in Microsoft 365 aus?

In Microsoft 365 entscheiden die ersten vier Stunden, ob Sie von einem sauberen Zeitpunkt wiederherstellen oder weiter dem Angreifer hinterherjagen. Dämmen Sie zuerst die Identitäten ein, sichern Sie dann die Beweise und stellen Sie danach nach Priorität wieder her.

Minute 0–15: erkennen, ausrufen, isolieren

• Bestätigen Sie die Anzeichen: massenhafte Dateiänderungen in SharePoint oder OneDrive, ungewöhnliche Anmeldungen, Lösegeldforderungen.
• Rufen Sie einen Vorfall aus und benennen Sie eine verantwortliche Person für den Vorfall.
• Deaktivieren Sie verdächtige Konten, widerrufen Sie Sitzungen und isolieren Sie betroffene Endgeräte.
• Pausieren Sie die OneDrive-Synchronisierung und Exchange ActiveSync, wie es Microsofts Ransomware-Playbook empfiehlt, damit sich die Verschlüsselung nicht auf andere Geräte ausbreitet.

Minute 15–60: widerrufen, sichern, Wiederherstellung starten

• Setzen Sie die Passwörter privilegierter Konten zurück und widerrufen Sie OAuth-App-Zustimmungen, die Sie nicht kennen.
• Exportieren Sie Audit-Protokolle, bevor sie ablaufen.
• Wählen Sie einen Wiederherstellungspunkt vor der ersten schädlichen Änderung und beginnen Sie mit den wichtigsten Websites und Postfächern.

Stunde 1–4: wiederherstellen und absichern

• Stellen Sie die übrigen OneDrive-Konten, Postfächer und Teams-Daten nach Priorität wieder her.
• Deaktivieren Sie die Legacy-Authentifizierung und verschärfen Sie bedingten Zugriff und externes Teilen.
• Prüfen Sie die wiederhergestellten Daten, bevor sich Nutzer wieder verbinden.

Auch Microsofts eigene Tools haben Grenzen. Der Papierkorb in Microsoft 365 hält gelöschte Elemente bis zu 93 Tage, und Microsoft dokumentiert, dass OneDrive Files Restore „einen früheren Zeitpunkt innerhalb der letzten 30 Tage“ abdeckt. Begann der Angriff früher oder löschte der Angreifer Daten mit Administratorrechten, brauchen Sie ein unabhängiges Microsoft-365-Backup. Warum, erklären wir in Wie stellen Sie Microsoft 365 nach einem Ransomware-Angriff wieder her?

Wovon hängt die Dauer der Wiederherstellung ab?

Fünf Faktoren bestimmen die Dauer der Wiederherstellung, und alle liegen vor dem Angriff in Ihrer Hand.

1. Ob Ihre Backups überlebt haben. Das ist der größte einzelne Faktor in den Sophos-Daten. Unveränderliche Kopien und Air-Gap-Kopien kann ein Angreifer mit Administratorrechten weder verschlüsseln noch löschen.
2. Ob Sie einen sauberen Ort zum Wiederherstellen haben. Wer auf kompromittierte Server zurückspielt, riskiert eine zweite Verschlüsselung. Mit einer isolierten Wiederherstellungsumgebung in einem separaten Netzwerk stellen Sie wieder her, während die Forensik weiterläuft.
3. Ob Sie wissen, was zuerst wiederhergestellt wird. Eine mit dem Fachbereich abgestimmte Prioritätenliste, die Abhängigkeiten berücksichtigt (Identität vor Anwendungen, Datenbanken vor Frontends), spart Stunden an Diskussion.
4. Ob der Plan getestet wurde. Ungetestete Pläne scheitern an Details: fehlende Zugangsdaten, veraltete Notfallhandbücher, Wiederherstellungen, die fünfmal länger dauern als erwartet.
5. Ob Sie den Einstiegspunkt finden. Solange Sie nicht wissen, wie der Angreifer hineingekommen ist, droht wiederhergestellten Systemen eine erneute Kompromittierung.

Die Identität ist am Anfang am wichtigsten. Sophos berichtet im State of Ransomware 2026, dass 79 % der Angriffe mit einem identitätsbasierten Vorgehen begannen und 56 % die Daten erfolgreich verschlüsselten. Die Eindämmung der Konten kommt deshalb vor jeder Wiederherstellung.

Beschleunigt die Zahlung des Lösegelds die Wiederherstellung?

Meist nicht. Eine Zahlung fügt eine Verhandlungsphase hinzu und liefert Ihnen einen Entschlüsseler unbekannter Qualität, während Sie weiterhin jedes System neu aufbauen, bereinigen und prüfen müssen.

• Die Entschlüsselung läuft System für System und kann bei beschädigten Dateien scheitern.
• Sie müssen weiterhin den Einstiegspunkt finden und den Zugang des Angreifers entfernen, bevor Sie wieder verbinden.
• Die Meldefristen nach NIS2 und DSGVO gelten, ob Sie zahlen oder nicht.

Das FBI, das niederländische NCSC und No More Ransom raten alle von einer Zahlung ab. Die Belege fassen wir in Sollten Sie nach einem Ransomware-Angriff das Lösegeld zahlen? zusammen.

Wie verkürzen Sie die Wiederherstellungszeit nach Ransomware?

Legen Sie pro System einen realistischen RTO (Recovery Time Objective) fest und bauen und testen Sie dann das Setup, das ihn erreicht. Der RTO ist die Zeit, die ein System ausfallen darf; der RPO (Recovery Point Objective) ist die Arbeit, die Sie verlieren dürfen.

1. Klassifizieren Sie Systeme in kritisch (Stunden), wichtig (ein bis zwei Tage) und den Rest. Orientieren Sie sich daran, was Ausfallzeit kostet: Dabei hilft unser Rechenmodell für die Kosten eines Ausfalls.
2. Schützen Sie die Backups mit Unveränderlichkeit und einer Air-Gap-Kopie, nach der 3-2-1-1-0-Regel.
3. Bereiten Sie eine saubere Wiederherstellungsumgebung vor, damit kritische VMs starten können, während das Produktivnetz noch untersucht wird.
4. Schreiben Sie das Notfallhandbuch, mit Kontakten, Entscheidungsbefugnissen, den Meldevorlagen für 24 und 72 Stunden und der Wiederherstellungsreihenfolge.
5. Testen Sie es, bei kritischen Systemen mindestens vierteljährlich, und halten Sie die tatsächlichen Wiederherstellungszeiten fest.

Mehr zum Festlegen der Ziele lesen Sie in RTO und RPO erklärt.

Ihre nächsten Schritte

Wie lange die Wiederherstellung nach Ransomware dauert, hängt von Ihrer Vorbereitung ab. Mit intakten Backups, einem sauberen Ort zum Wiederherstellen und einem getesteten Notfallhandbuch dauert sie Tage; ohne sie kann sie Wochen dauern, während die Fristen nach NIS2 und DSGVO weiterlaufen.

Mit Mindtime sind Backups unveränderlich, mit einer Air-Gap-Kopie, werden auf Malware gescannt und nach jedem Job automatisch geprüft. VMs starten sofort in einer isolierten Wiederherstellungsumgebung in einem separaten, sauberen Netzwerk, und kritische Workloads stellen wir mit einem SLA von 4 Stunden wieder her. Bei Microsoft 365 stellen wir auf Elementebene wieder her, und unser Disaster-Recovery-Service ergänzt eine Standby-Infrastruktur und jedes Quartal automatisierte DR-Tests mit Nachweisen für Prüfer.

Wollen Sie sehen, wie schnell Sie wieder arbeiten könnten? Kostenlose 15-minütige Demo vereinbaren.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.