Ransomware auf NAS: Qlocker, DeadBolt — Datenrettung · Brünn

Die Antwort sofort: Wenn Ihr NAS von Ransomware angegriffen wurde, schalten Sie es sofort aus und trennen Sie es vom Netzwerk. Manipulieren Sie nicht an den Datenträgern, löschen Sie nichts und zahlen Sie auf keinen Fall Lösegeld – es gibt keine Garantie, dass Sie Ihre Daten zurückerhalten. Es besteht tatsächlich eine Chance auf Datenrettung (unberührte Dateien, gelöschte Originale, Snapshots), aber der Umfang kann nie vorab garantiert werden. Wenden Sie sich an unser Labor, die Diagnose ist kostenlos und unverbindlich.

NAS nach einem Ransomware-Angriff vom Netzwerk getrennt, Festplatten nach Schächten gekennzeichnet und forensisch geklont im Labor von ITHOPE Brno
Nach einem Ransomware-Angriff wird das NAS zuerst vom Netzwerk isoliert. Mit den originalen Festplatten wird nicht weitergearbeitet — aus forensischen Klonen werden überlebende Snapshots und unverschlüsselte Datenreste gesucht.

Sie kommen morgens an den Computer, öffnen den freigegebenen Ordner auf Ihrem NAS, in dem Sie jahrelang Familienfotos, Projektdokumentation oder die Firmenbuchhaltung gespeichert haben, und statt der vertrauten Dateien erwartet Sie Leere und eine Textdatei mit einer Lösegeldforderung. Das ist der Albtraum eines jeden, der sich ein Netzwerkspeichergerät angeschafft hat. Obwohl NAS-Geräte von QNAP, Synology oder Asustor großartige Helfer sind, werden sie zu einem leichten Ziel für automatisierte Ransomware-Kampagnen, wenn Sie sie direkt dem Internet aussetzen (über Portweiterleitung, aktiviertes UPnP, mit einem schwachen Passwort oder veralteter Firmware). Diese Kampagnen durchsuchen das Internet nach verwundbaren Geräten und können innerhalb weniger Stunden Terabytes an Daten verschlüsseln. Die gute Nachricht ist, dass auch in einer solchen Situation eine reale Chance auf Rettung besteht – wenn Sie wissen, was zu tun ist, und vor allem, was nicht.

Wie Ransomware auf NAS funktioniert

Ransomware, die auf Netzwerkspeicher abzielt, hat sich in den letzten Jahren erheblich weiterentwickelt. Es handelt sich nicht um einen einzelnen Virus, sondern um mehrere spezialisierte Familien, die auf bestimmte Marken und deren bekannte Schwachstellen abzielen. Das gemeinsame Muster ist das schrittweise Durchlaufen der Verzeichnisstruktur, das Verschlüsseln (oder Archivieren) von Dateien und das anschließende Löschen der Originaldaten. Eben die Tatsache, dass Originale gelöscht und nicht überschrieben werden, gibt unserem Labor den Spielraum für eine forensische Wiederherstellung.

Qlocker – der stille Dieb, der in 7z archiviert

Qlocker zielte primär auf QNAP-Geräte ab. Statt den Inhalt von Dateien klassisch zu verschlüsseln, nutzte er eine andere Technik – er verschob Dateien in passwortgeschützte 7z-Archive. Der Benutzer fand dann plötzlich in den Ordnern statt Dokumenten nur noch Dateien mit der Endung .7z vor, für die er kein Passwort hatte. Da es sich um eine Verschiebeoperation handelte, wurden die Originaldaten von ihrem Speicherort gelöscht, existierten auf Dateisystemebene aber noch eine gewisse Zeit physisch – bis sie überschrieben wurden.

DeadBolt – Angriff auf Firmware und Daten

DeadBolt ist eine raffiniertere Bedrohung, die sowohl QNAP als auch Asustor getroffen hat. Sie nutzte nicht nur schwache Passwörter, sondern konnte Zero-Day-Schwachstellen in der Firmware selbst ausnutzen. Nach der Infektion verschlüsselte sie Dateien und fügte die Erweiterung .deadbolt hinzu. Charakteristisch war, dass sie neben den Dateien auch die Anmeldeseite des NAS manipulierte, auf der die Zahlungsaufforderung erschien. Auch hier gilt, dass durch die schrittweise Verschlüsselung ein Teil der Daten auf der Festplatte im Originalzustand verbleiben konnte, wenn der Angriff rechtzeitig gestoppt wurde.

eCh0raix / QNAPCrypt – ein erfahrener Akteur

Diese Ransomware-Familie zielt sowohl auf QNAP als auch auf Synology ab. Sie ist bekannt für ihre lange Geschichte und die Fähigkeit, bekannte Sicherheitslücken sowie Wörterbuchangriffe auf schwache Passwörter von Administratorkonten zu nutzen. Die Verschlüsselungsmethode ist klassisch, sie überschreibt den Inhalt von Dateien, jedoch gilt auch hier das Prinzip der schrittweisen Verarbeitung und Löschung von Originalen – ein früheres Eingreifen bedeutet eine höhere Chance auf Rettung.

Die ersten 30 Minuten sind entscheidend: Was Sie sofort tun sollten

Ihre Reaktion unmittelbar nach Feststellung des Angriffs beeinflusst maßgeblich, wie viele Daten gerettet werden können. Gehen Sie genau nach den folgenden Schritten vor:

  1. Schalten Sie das NAS sofort aus. Führen Sie durch langes Drücken des Netzschalters ein Hard Power-Off durch. Melden Sie sich nicht ab und starten Sie es nicht normal neu – jede Sekunde, die das System läuft, kann zum Überschreiben weiterer gelöschter Originale führen.
  2. Trennen Sie das Netzwerkkabel. Ziehen Sie das Ethernet-Kabel physisch vom Gerät ab, damit kein weiterer Verbindungsversuch zum Server des Angreifers oder eine Ausbreitung innerhalb Ihres lokalen Netzwerks erfolgen kann.
  3. Löschen Sie nichts und installieren Sie nichts neu. Versuchen Sie nicht, das System zu „bereinigen", verschlüsselte Dateien manuell zu löschen, das Gerät auf Werkseinstellungen zurückzusetzen oder die Firmware neu zu installieren. Durch diese Eingriffe überschreiben Sie unwiederbringlich die Strukturen, die das Labor für die forensische Rekonstruktion benötigt.
  4. Dokumentieren Sie den Bildschirminhalt. Falls die Forderung des Angreifers auf dem Monitor oder über die Weboberfläche noch sichtbar ist, fotografieren Sie diese. Jegliche Identifikatoren oder Texte können bei der späteren Analyse oder der Suche nach einem möglichen öffentlichen Entschlüsselungstool helfen.
  5. Stellen Sie forensische Klone sicher. Wir arbeiten niemals mit den Originaldatenträgern. Vor jeder Analyse muss eine Bit-für-Bit-Kopie (Klon) jeder Festplatte erstellt werden, und sämtliche Rettungsversuche werden ausschließlich auf diesen Klonen durchgeführt.
  6. Ziehen Sie Meldepflichten in Betracht. Bei Unternehmen und Organisationen kann der Vorfall je nach Umfang und Art der Daten einer Meldepflicht gegenüber Aufsichtsbehörden (z. B. gemäß DSGVO) oder dem NÚKIB unterliegen. Konsultieren Sie diese Pflicht mit Ihrem Rechtsbeistand oder Datenschutzbeauftragten.

Warum ein Teil der Daten oft noch zu retten ist

Die Datenrettung nach einem Ransomware-Angriff auf ein NAS ist keine schwarze Magie, sondern das Ergebnis geduldiger forensischer Arbeit unter Nutzung mehrerer Mechanismen. Der Umfang der Rettung kann jedoch nie im Voraus garantiert werden. Hier ist ein ehrlicher Blick darauf, womit wir im Labor arbeiten:

  • Nicht verschlüsselte Dateien: Ransomware durchläuft Dateien schrittweise. Wenn Sie den Angriff durch rechtzeitiges Ausschalten des NAS unterbrechen, bleibt ein Teil der Verzeichnisstruktur völlig unberührt. Typischerweise handelt es sich um große Archivdateien oder Verzeichnisse, die der Angreifer noch nicht erreicht hat.
  • Wiederherstellung gelöschter Originale: Dies ist der entscheidende Mechanismus. Nach der Verschlüsselung löscht die Ransomware die Originaldatei, überschreibt sie jedoch nicht. Auf Ebene des Dateisystems (typischerweise ext4 oder btrfs) verbleiben somit Metadaten und als frei markierte Datenblöcke. Solange das Betriebssystem oder neue Daten nicht in diese Blöcke schreiben, können die Originaldateien forensisch rekonstruiert werden. Je kürzer das NAS nach dem Angriff lief, desto höher ist die Chance.
  • Überlebende Snapshots: Moderne NAS-Geräte können Snapshots erstellen – Momentaufnahmen des Dateisystemzustands. Funktionen wie Synology Snapshot Replication oder QNAP Snapshots sind eine äußerst wirksame Verteidigung. Falls der Angreifer diese nicht gezielt gelöscht hat (was bei einigen fortgeschrittenen Kampagnen vorkommt), enthalten die Snapshots die Daten im Zustand kurz vor dem Angriff und unser Labor kann sie extrahieren.
  • Öffentliche Entschlüsselungstools: Bei einigen historischen Kampagnen tauchten nach einiger Zeit Entschlüsselungsschlüssel oder -tools im Internet auf (z. B. nach der Beschlagnahmung von Angreifer-Servern durch Sicherheitsbehörden). Teil unserer Diagnose ist auch die Überprüfung, ob für die konkrete Ransomware-Variante eine solche Lösung existiert.

Was die Chance auf Rettung zunichtemacht

Im Laufe der Jahre stoßen wir auf Fälle, in denen sich eine ursprünglich vielversprechende Situation in einen unwiederbringlichen Datenverlust verwandelt hat. Der Grund dafür sind fast immer die folgenden Fehler:

  • Weiterer Betrieb des Geräts: Der Versuch, „nur noch zu sichern, was geht", oder das Durchsuchen von Dateien auf der befallenen Festplatte im Computer führt zum Überschreiben von Sektoren, in denen sich die gelöschten Originale befanden.
  • Neuinstallation der Firmware und „Bereinigung": Reparaturversuche durch Neuinstallation des Systems oder Löschen verschlüsselter Dateien übergeben die Festplatte dem Betriebssystem zum Schreiben, was die Überreste der Originaldaten zerstörerisch überschreibt.
  • Formatierung der Datenträger: Ein absolut fataler Schritt, der alle Strukturen des Dateisystems löscht und jegliche Wiederherstellung gelöschter Daten unmöglich macht.
  • Verlassen auf die Lösegeldzahlung: Von der Zahlung des Lösegelds raten wir grundsätzlich ab. Sie finanzieren damit nicht nur kriminelle Aktivitäten, sondern haben auch keinerlei Garantie, dass Sie einen funktionierenden Entschlüsselungsschlüssel erhalten oder dass der Schlüssel auf Ihre Daten funktioniert, ohne sie zu beschädigen.

Wie das Labor ITHOPE vorgeht

Unser spezialisierter Standort in Brünn-Židenice verfügt über Erfahrung mit der Datenwiederherstellung von angegriffenen NAS-Geräten. Wir gehen methodisch vor, mit Schwerpunkt auf Sicherheit und maximal möglicher Datenausbeute. Das Prinzip „No Recovery – No Fee“ gilt auch für diese komplizierten Fälle.

  1. Forensisches Klonen: Der erste und unabdingbare Schritt ist die Erstellung von 1:1-Klonen aller Datenträger aus dem NAS auf unsere sterilen Arbeitsmedien. Danach bearbeiten wir die Originaldatenträger physisch nicht mehr.
  2. Analyse des Dateisystems: Auf den Bit-für-Bit-Kopien führen wir eine Tiefenanalyse der ext4/btrfs-Strukturen durch. Wir suchen nach nicht verschlüsselten Dateiresten, Verweisen auf gelöschte Originale und überlebenden Snapshots. Dazu nutzen wir spezialisierte Software und manuelle forensische Verfahren.
  3. Rekonstruktion der RAID-Ebene: Handelt es sich um ein NAS mit mehreren Festplatten, müssen wir vor der Datenanalyse zunächst das RAID-Array virtuell rekonstruieren (ob es sich nun um RAID 0, 1, 5, 6 oder proprietäres Hybrid-RAID handelt). Dieser Schritt ist kritisch – ohne die korrekte Zusammensetzung der Stripes über die Datenträger hinweg sind die Daten nur ein wirres Durcheinander bedeutungsloser Fragmente. Mehr über diesen Prozess erfahren Sie im Artikel über die Datenrettung von RAID- und NAS-Arrays oder in der Anleitung Wie man Daten aus einem NAS extrahiert.
  4. Export der rettbaren Daten: Alle gefundenen und rekonstruierten Dateien exportieren wir auf ein Ersatzmedium. Das Ergebnis ist eine Verzeichnisstruktur, die dem Zustand vor dem Angriff entspricht, wenn auch oft unvollständig. Der Umfang der Rettung lässt sich bei Ransomware wirklich nicht im Voraus zusichern – die kostenlose Diagnose sagt Ihnen genau, was in Ihrem konkreten Fall realistisch ist.

So vermeiden Sie Ransomware auf Ihrem NAS in Zukunft

Die beste Datenrettung ist die, der Sie sich nicht unterziehen müssen. Die Prävention ist dabei in den meisten Fällen einfach und kostet nur Ihre Zeit, kein Geld.

  • Setzen Sie das NAS niemals direkt dem Internet aus. Deaktivieren Sie UPnP auf dem Router und leiten Sie keine Ports für die Administrationsoberfläche oder Dienste wie SMB manuell weiter. Verwenden Sie für den Fernzugriff grundsätzlich einen VPN-Server (z. B. auf dem Router oder einem separaten Gerät).
  • Halten Sie die Firmware aktuell. Hersteller wie QNAP und Synology veröffentlichen Sicherheitspatches oft gerade als Reaktion auf aktive Angriffe. Automatische Updates sind ein Muss.
  • Verwenden Sie starke Passwörter und Zwei-Faktor-Authentifizierung (2FA). Ein Passwort wie „admin/admin“ oder „qnap123“ ist für Angreifer eine offene Tür.
  • Nutzen Sie aktiv Snapshots. Planen Sie deren regelmäßige Erstellung, idealerweise mehrmals täglich. Sie sind Ihre letzte Verteidigungslinie.
  • Befolgen Sie die 3-2-1-Backup-Strategie. Haben Sie mindestens 3 Kopien Ihrer Daten, auf 2 verschiedenen Medientypen, wobei sich mindestens 1 Kopie extern (offsite) befindet (außerhalb des Hauses/Büros). Eine detaillierte Anleitung finden Sie in unserem Artikel Externe HDD als Backup und die 3-2-1-Strategie.

Häufige Fragen

Soll ich das Lösegeld bezahlen? Von der Zahlung des Lösegelds raten wir grundsätzlich ab. Es gibt keinerlei Garantie, dass der Angreifer den Entschlüsselungsschlüssel tatsächlich bereitstellt, dass er funktioniert oder die Daten damit nicht beschädigt werden. Zudem finanzieren Sie damit weitere kriminelle Aktivitäten. Nutzen Sie lieber die kostenlose Diagnose in unserem Labor, die die realen Möglichkeiten der Rettung überprüft.

Ich habe das NAS nach dem Angriff ausgeschaltet – verliere ich Daten in Snapshots? Im Gegenteil, schnelles Ausschalten ist die bestmögliche Reaktion. Snapshots sind als Teil des Dateisystems gespeichert. Wenn der Angreifer sie nicht rechtzeitig löschen konnte, bleiben sie nach dem Ausschalten des Geräts auf den Datenträgern vollständig erhalten und unser Labor hat bei der forensischen Analyse vollen Zugriff darauf. Durch einen Neustart oder weiteren Betrieb würden Sie hingegen riskieren, dass sie überschrieben werden.

Hilft eine Neuinstallation der Firmware? Nein, eine Neuinstallation der Firmware rettet keine Daten. Im Gegenteil, sie verringert die Chance auf eine Wiederherstellung erheblich, da die Initialisierungsprozesse des neuen Systems auf die Datenträger schreiben und genau jene gelöschten, aber noch rettbaren Originaldaten überschreiben können. Manipulieren Sie nach einem Angriff nicht an den Datenträgern.

Retten Sie Daten auch von RAID-NAS nach Ransomware-Befall? Ja, wir sind auch auf NAS-Systeme mit mehreren Festplatten spezialisiert. Entscheidend ist die korrekte Rekonstruktion des RAID-Arrays, ohne die die Daten unlesbar sind. Wir haben Erfahrung mit spezifischen Angriffen auf Synology und QNAP und arbeiten sowohl mit Firmen- als auch mit Heimanwendergeräten, bei denen RAID 0, 1, 5, 6 oder SHR zum Einsatz kam.

Falls Ihr NAS von Ransomware angegriffen wurde, geraten Sie nicht in Panik. Vertrauen Sie den Fall Spezialisten an, die sich sowohl mit Dateisystemen als auch mit RAID-Technologien auskennen. Senden Sie uns die Datenträger per Post oder Kurier von jedem Ort in der Tschechischen Republik zu oder beraten Sie sich vorab mit uns telefonisch/per WhatsApp unter +420 775 556 063 oder per E-Mail an zachranadat@ithope.cz. Unser Labor in Brünn-Židenice führt eine kostenlose und unverbindliche Diagnose durch, damit Sie genau wissen, woran Sie sind. Mehr zu Preisen und Bedingungen finden Sie in unserer Preisliste für Datenrettung.