# Ransomware im Netzwerk erkennen

> Die Warnzeichen im Netzwerk vor einer Ransomware-Verschlüsselung, nach MITRE ATT&CK zugeordnet, und was Netzwerkerkennung leisten kann und was nicht.

Source page: https://netsenx.com/de/detect-ransomware-on-the-network

Zuletzt geprüft: 7. November 2026

Ransomware im Netzwerk zu erkennen heißt, den Angriff in den Schritten zu erwischen, die vor der Verschlüsselung der ersten Datei liegen. Ein Angreifer muss zuerst einen Rechner erreichen, seinen eigenen Server kontaktieren, Dateiserver und Backups finden, sich dorthin bewegen und bei den meisten heutigen Angriffen Daten nach außen kopieren, um ein zweites Druckmittel zu haben. Jeder dieser Schritte geht über das Netz und hinterlässt ein Muster: regelmäßige Verbindungen zu einem externen Server, ein Host, der viele andere scannt, neue Administratorsitzungen, ein großer Upload in der Nacht. Die Verschlüsselung ist der letzte Schritt und der, den das Netz am wenigsten sieht.

## Der Fakt, mit dem Sie planen sollten

In der gemeinsamen Warnung AA24-131A, erstmals veröffentlicht am 10. Mai 2024, berichteten CISA, FBI und Partnerbehörden, dass Affiliates von Black Basta weltweit mehr als 500 Organisationen getroffen hatten, nach dem Modell der doppelten Erpressung Systeme verschlüsselten und Daten abzogen und RClone nutzten, um Daten vor der Verschlüsselung auszuleiten.

Quelle: [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)

## Warnzeichen im Netzwerk, in der Reihenfolge, in der sie meist auftreten

Keines davon beweist für sich allein Ransomware. In dieser Reihenfolge oder gemeinsam verdienen sie noch am selben Tag eine Untersuchung.

1. **Ein neuer externer Server, regelmäßig kontaktiert** Ein Arbeitsplatzrechner verbindet sich alle paar Minuten, Tag und Nacht, mit einem Ziel, das sonst niemand nutzt. Das ist oft der Command-and-Control-Kanal des Angreifers oder ein nicht genehmigtes Fernzugriffswerkzeug.
2. **Ein Host scannt das interne Netz** Der kompromittierte Rechner prüft interne Adressbereiche auf offene SMB- (445), RDP- (3389) und Datenbankports und sucht nach Dateiservern, Backups und Domänencontrollern.
3. **Neue Administratorsitzungen zu vielen Servern** Remote-Sitzungen über SMB, RDP oder WinRM von einem Arbeitsplatzrechner zu Servern, die er nie genutzt hat, oft außerhalb der Arbeitszeit, zeigen, dass sich der Angreifer den Daten nähert.
4. **Ein großer Upload, bevor etwas verschlüsselt wird** Das Kopieren von Daten in einen Cloud-Speicher, etwa mit RClone, zeigt sich als ungewöhnliche ausgehende Datenmenge eines Servers, der sonst wenig sendet, oft nachts.
5. **Intensives Lesen und Überschreiben auf Dateifreigaben** Beginnt die Verschlüsselung, liest und überschreibt ein Client in kurzer Zeit große Datenmengen auf Netzwerkfreigaben. Jetzt hat die Eindämmung Vorrang.

## Zugeordnet zu MITRE ATT&CK

Namen und IDs der Techniken stammen von MITRE. Die letzte Spalte nennt die Erkennungskategorie von NetSenX, zu der dieser Verkehr gehört; sie bedeutet nicht, dass jede Variante der Technik erkannt wird.

| Technik | Wie es im Netzwerk aussieht | Erkennung in NetSenX |
|---|---|---|
| [T1046](https://attack.mitre.org/techniques/T1046/) Network Service Discovery (Discovery) | Ein Host verbindet sich in kurzer Zeit mit vielen internen Adressen auf SMB-, RDP- oder Datenbankports. | Scan |
| [T1021.002](https://attack.mitre.org/techniques/T1021/002/) Remote Services: SMB/Windows Admin Shares (Lateral Movement) | Ein Arbeitsplatzrechner öffnet SMB-Sitzungen mit Administratorfreigaben auf Servern, die er nie genutzt hat. | Lateral Movement |
| [T1071](https://attack.mitre.org/techniques/T1071/) Application Layer Protocol (Command and Control) | Kleine, regelmäßige Verbindungen zu einem externen Ziel über HTTPS, Tag und Nacht. | C2-Beaconing |
| [T1567.002](https://attack.mitre.org/techniques/T1567/002/) Exfiltration Over Web Service: Exfiltration to Cloud Storage (Exfiltration) | Ein Server lädt weit mehr Daten als üblich zu einem Cloud-Speicherdienst hoch. | Ungewöhnliche ausgehende Datenmenge |
| [T1486](https://attack.mitre.org/techniques/T1486/) Data Encrypted for Impact (Impact) | Die Verschlüsselung läuft auf den Hosts. Trifft sie Netzwerkfreigaben, liest und überschreibt ein Client große Datenmengen über SMB. | Keine eigene Erkennung: NetSenX beobachtet die Schritte davor |

## Was NetSenX heute leistet

- Erkennt Scans, Lateral Movement, C2-Beaconing und ungewöhnliche ausgehende Datenmengen am Verhalten im Netz, in jedem Plan, auch im Free-Plan.
- Erklärt jeden Alarm in verständlicher Sprache, mit den Netzwerkmerkmalen, die seine Bewertung bestimmt haben, sodass ein kleines Team einen Einbruch von einem neuen Backup-Job unterscheiden kann.
- Nennt am Alarm die MITRE-ATT&CK-Technik, wo eine Erkennung einer entspricht, und zeigt in einer Abdeckungsansicht, welche Techniken Ihre aktiven Erkennungen abdecken.
- Verfolgt die Fristen nach Art. 23 NIS2, falls ein Vorfall erheblich ist, und bereitet für Ihren Datenschutzbeauftragten eine Meldung nach Art. 33 DSGVO vor.

## Was NetSenX nicht leistet

NetSenX stoppt keine Verschlüsselung auf einem Host, stellt keine Dateien wieder her und hat keine eigene Erkennung für den Verschlüsselungsschritt selbst: Dafür sind Endpunktschutz (EDR) und Offline-Backups da. Es sieht nur die Segmente, die Sie überwachen, und entschlüsselt Verkehr nie. Ein Angriff, der auf einem einzigen Rechner beginnt und endet, gibt dem Netz wenig zu sehen, und ein Alarm ist ein Anlass zur Prüfung, kein Beweis für Ransomware.

## Fragen von Käufern

### Was sind frühe Warnzeichen für Ransomware im Netzwerk?

Regelmäßige Verbindungen eines Arbeitsplatzrechners zu einem neuen externen Server, ein Host, der interne Bereiche nach SMB-, RDP- oder Datenbankports scannt, neue Administratorsitzungen zu vielen Servern und ein großer Upload in einen Cloud-Speicher von einem Server, der sonst wenig sendet. Sie kommen meist in dieser Reihenfolge, bevor eine Datei verschlüsselt wird.

### Kann Netzwerküberwachung Ransomware vor der Verschlüsselung erkennen?

Oft ja, weil die Schritte vor der Verschlüsselung über das Netz laufen: Command-and-Control-Verbindungen, Scans, Lateral Movement und Datendiebstahl. In diesem Zeitfenster lässt sich ein Angriff noch stoppen. Nicht jeder Angriff zeigt alle Schritte, und ein Angriff, der auf einem Rechner bleibt, gibt dem Netz wenig zu sehen.

### Stoppt NetSenX Ransomware?

Nein. NetSenX meldet das Netzwerkverhalten, das Ransomware meist vorausgeht, damit Ihr Team handeln kann, solange noch Zeit ist. Hosts isolieren, den Angreifer entfernen und Daten wiederherstellen bleibt Aufgabe Ihres Teams, Ihres Endpunktschutzes und Ihrer Backups.

### Was sollten wir zuerst tun, wenn wir diese Zeichen sehen?

Die betroffenen Hosts vom Netz trennen, ihre Logs sichern, die dort verwendeten Zugangsdaten zurücksetzen und Ihren Incident-Response-Dienstleister anrufen. Fällt Ihre Organisation unter NIS2, beginnt die 24-Stunden-Frist für die Frühwarnung, sobald Sie von einem erheblichen Vorfall Kenntnis erlangen.

## Quellen

- [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)
- [MITRE ATT&CK — Data Encrypted for Impact (T1486)](https://attack.mitre.org/techniques/T1486/)
- [Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)

Diese Seite dient der allgemeinen Information und ist keine Rechtsberatung. Klären Sie Ihre Pflichten mit Ihrer nationalen Behörde oder Ihrer Rechtsberatung.

## Verwandte Seiten

- [Laterale Bewegung und C2-Beaconing erkennen](https://netsenx.com/de/detect-lateral-movement-c2-beaconing)
- [Woran Sie erkennen, ob jemand in Ihrem Netzwerk ist](https://netsenx.com/de/is-someone-inside-your-network)
- [NIS2-Netzwerküberwachung](https://netsenx.com/de/nis2-network-monitoring)
- [Was ist NDR?](https://netsenx.com/de/what-is-ndr)
- [Preise und der Free-Plan](https://netsenx.com/de/pricing)