bizIT

Zusammenfassung vorweg (Answer first)

Wenn Sie den Verdacht haben, dass ein Trojaner, ein Fernzugriff oder ein „unsichtbarer“ Angreifer im Spiel ist: Trennen Sie das Gerät sofort vom Netzwerk, stoppen Sie jede weitere Nutzung und sichern Sie den Ist-Zustand, bevor Sie „aufräumen“. Denn bei solchen Fällen gehen Daten nicht nur durch Löschen verloren – sie verschwinden durch Manipulation, Sync-Konflikte, sabotierte Backups oder nachträgliche Löschjobs. In diesem Beitrag bekommen Sie einen klaren Plan: Erst stabilisieren, dann Beweise sichern, dann Daten wiederherstellen. Und wenn’s brennt: Mit strukturierter Analyse lässt sich oft mehr retten, als man im ersten Moment glaubt.

Inhalt

• Woran Sie Trojaner- oder Remote-Angriffe erkennen
• Die ersten 15 Minuten: Was Sie sofort tun sollten
• Was Sie auf keinen Fall tun sollten (auch wenn’s „naheliegt“)
• Daten retten – aber richtig: Welche Wege es gibt
• Spezialfall Cloud & Sync: OneDrive/Google Drive/Dropbox als Datenfalle
• E-Mail, Outlook & Postfächer: Wenn plötzlich Mails fehlen
• Wenn der Angreifer „mit Admin-Rechten“ unterwegs war
• So läuft professionelle Analyse & Datenrettung bei bizIT ab
• Mini-Checkliste zum Ausdrucken

Woran Sie Trojaner- oder Remote-Angriffe erkennen

Manchmal ist es nicht das große „Bumm“-Ereignis. Sondern eher so ein schleichendes Gefühl: „Irgendwas stimmt nicht.“ Typische Hinweise:

• Unbekannte Logins bei Microsoft/Google/Apple (Sicherheitsmail „Neues Gerät angemeldet“)
• Mauszeiger bewegt sich, Fenster öffnen sich, als würde jemand „mitklicken“
• Passwörter funktionieren plötzlich nicht mehr oder werden zurückgesetzt
• Neue Regeln im E-Mail-Postfach (z. B. „alle Rechnungen automatisch weiterleiten“)
• Unerklärliche Dateiänderungen: Dateinamen anders, Inhalte weg, Ordner leer
• Sicherheitssoftware deaktiviert oder „wurde angehalten“

Gerade in Büros rund um Treptow, Neukölln oder Adlershof sehen wir oft dieselbe Kette: Phishing-Mail → Login abgegriffen → Fernzugriff/Session-Hijacking → Datenmanipulation → Spuren verwischen.

Die ersten 15 Minuten: Was Sie sofort tun sollten

Ja, das ist der Teil, in dem man am liebsten hektisch klicken würde. Bitte nicht. Gehen Sie stattdessen so vor:

1. Netzwerk trennen

- LAN-Kabel raus, WLAN aus, VPN trennen.

- Wenn’s ein Firmen-Gerät ist: Auch andere Systeme im Blick behalten.

2. Gerät eingeschaltet lassen – aber nicht weiterarbeiten

- Klingt widersprüchlich, ist aber wichtig: Für Analyse und Beweissicherung zählt der Zustand.

3. Fotos/Screenshots machen

- Fehlermeldungen, verdächtige Fenster, ungewöhnliche Programme.

4. Wenn möglich: Zweites, sauberes Gerät nutzen

- Für Passwortänderungen und Konto-Checks.

5. Sofort Passwörter ändern – aber in richtiger Reihenfolge

- Erst E-Mail-Konto, dann Microsoft/Google/Apple, dann Banking/Shop-Konten.

- Überall 2FA aktivieren.

Wenn Sie in der Ecke Friedrichshain oder Kreuzberg sitzen und im Office gerade alles stillsteht: Lieber einmal zu früh stoppen als zehn Minuten „noch schnell was retten“ – diese zehn Minuten können Backups und Logs ruinieren.

Was Sie auf keinen Fall tun sollten (auch wenn’s naheliegt)

Ein paar Klassiker, die wir leider zu oft sehen:

• Kein „PC reinigen“-Tool drüberlaufen lassen, bevor Daten gesichert sind.
• Nicht neu installieren, nicht „Windows zurücksetzen“, nicht „einfach formatieren“.
• Keine wilde Jagd nach Dateien (jede Suche kann Sync/Index/Schreibvorgänge auslösen).
• Nicht alle Logs löschen („aus Datenschutzgründen“) – das hilft am Ende nur dem Angreifer.

Kurz gesagt: Erst sichern, dann sanieren.

Daten retten – aber richtig: Welche Wege es gibt

Bei Trojanern und Remote-Angriffen geht’s selten nur um „eine gelöschte Datei“. Es geht um Integrität: Was ist echt, was manipuliert, was nur versteckt?

1) Zustandskopie / Image statt Rumprobieren

Idealerweise wird zuerst ein forensisches Abbild erstellt (bitgenau). Das schützt vor Folgefehlern und hält Beweise fest.

2) Dateisystem-Analyse

• Wurden Dateien gelöscht?
• Nur verschoben?
• Ersetzt (z. B. durch leere Platzhalter)?
• Sind Schattenkopien vorhanden?

3) Wiederherstellung aus Backups – aber mit Vorsicht

Backups können kompromittiert sein. Deshalb:

• Backup-Zeitpunkt prüfen (vor dem Angriff)
• Test-Restore in isolierter Umgebung
• Erst dann zurück in die Produktion

4) Daten-Export aus Anwendungen

Bei Datenbanken, Buchhaltung oder Projekttools ist der Dateifund oft nicht genug. Man braucht saubere Exporte und Konsistenzchecks.

Spezialfall Cloud & Sync: OneDrive/Google Drive/Dropbox als Datenfalle

Cloud-Sync ist super – bis er gegen Sie arbeitet. Denn ein Angreifer kann Löschungen oder Änderungen auslösen, die dann überall ankommen. Typische Effekte:

• Ordner werden geleert, und Sekunden später ist es auf allen Geräten weg.
• Es entstehen Konfliktdateien („Name (Computername).docx“).
• Versionen werden absichtlich „durchgenudelt“, bis die gewünschte Version aus der Historie fällt.

Was hilft?

• Sync pausieren (sofort!)
• Web-Portal prüfen: Papierkorb, Versionierung, Wiederherstellungsoptionen
• Geräte einzeln bewerten: Welches Gerät war zuletzt sauber?

Gerade bei Teams mit verteilten Standorten, z. B. in Potsdam oder Teltow, ist das wichtig: Ein einziges kompromittiertes Konto kann den Sync für alle ruinieren.

E-Mail, Outlook & Postfächer: Wenn plötzlich Mails fehlen

Ein sehr häufiger Schaden ist nicht „Datei weg“, sondern: Kommunikation weg.

Typische Angriffs-Spuren:

• Postfachregeln, die Mails weiterleiten oder löschen
• Ordner, die „verschwinden“
• Gesendete Elemente, die manipuliert sind

Rettungsansätze:

• Regeln und Weiterleitungen prüfen
• Wiederherstellungsfunktionen im Mail-System nutzen
• Lokale Outlook-Daten (PST/OST) sichern und analysieren

Wenn Sie aus Köpenick oder Schöneweide kommen und „nur schnell Outlook neu einrichten“ wollen: Bitte einmal kurz stoppen. Oft überschreibt das lokale Cache-Daten – und genau die sind später Gold wert.

Wenn der Angreifer „mit Admin-Rechten“ unterwegs war

Dann ist die zentrale Frage: Kann ich dem System noch trauen?

Ein Angreifer mit Admin-Rechten kann:

• Sicherheitssoftware deaktivieren
• Logs manipulieren
• Persistenz einbauen (Task Scheduler, Autostart, Dienste)
• Backups löschen oder still sabotieren

In solchen Fällen ist die beste Strategie meist zweigleisig:

1. Datenrettung / Datenextraktion aus dem kompromittierten System

2. Neuaufbau auf sauberer Basis (inkl. Passwortrotation und Rechtekonzept)

Ja, das klingt nach Arbeit. Aber es ist die Variante, die später nicht wieder um die Ohren fliegt.

So läuft professionelle Analyse & Datenrettung bei bizIT ab

Wenn Sie Unterstützung brauchen, ist ein klarer Ablauf beruhigend – gerade wenn der Puls hoch ist.

1. Erstgespräch & Lagebild

- Was ist passiert? Welche Systeme? Welche Konten? Welche Symptome?

2. Sichere Datensicherung

- Image/Backup der relevanten Datenträger und Datenstände

3. Analyse

- Angriffspfad, betroffene Datenbereiche, Wiederherstellungsoptionen

4. Wiederherstellung & Validierung

- Daten zurückholen und auf Vollständigkeit prüfen

5. Härtung (optional, aber sinnvoll)

- 2FA, Backup-Strategie, Rechte, Updates, Monitoring

Viele Kundinnen und Kunden kommen mit einem sehr menschlichen Satz: „Ich will einfach nur meine Daten zurück – und dass es wieder ruhig wird.“ Genau darauf ist der Ablauf ausgelegt.

Mini-Checkliste zum Ausdrucken

• [ ] Netzwerk trennen (WLAN/LAN/VPN)
• [ ] Gerät nicht weiter benutzen
• [ ] Screenshots/Fotos von Meldungen machen
• [ ] Sync pausieren (OneDrive/Dropbox etc.)
• [ ] Passwörter über sauberes Gerät ändern (E-Mail zuerst)
• [ ] 2FA aktivieren
• [ ] Nichts „bereinigen“/neu installieren, bevor Daten gesichert sind
• [ ] Profi-Analyse anstoßen, wenn Unsicherheit besteht

CTA: Wenn’s nach Angriff aussieht – lieber einmal sauber klären lassen

Wenn Sie den Verdacht auf Trojaner, Phishing-Folgeangriff oder unbefugten Fernzugriff haben und Daten fehlen (oder Sie nicht sicher sind, was manipuliert wurde): Melden Sie sich. Bei bizIT bekommen Sie einen strukturierten Blick auf den Schaden – und einen sauberen Plan zur Datenrettung und Wiederherstellung.

bizIT

Heidelberger Str. 64a , 12435 Berlin

Telefon: +49 30 588008800

Website: https://www.bizit.de/