Datenwiederherstellung nach einem Ransomware-Angriff auf Microsoft 365

Bei einem Ransomware-Angriff werden Dateien verschlüsselt und geschäftskritische Daten können unzugänglich werden, was den normalen Betrieb stört. Um die Ausfallzeit zu minimieren, braucht es eine sofortige Eindämmung, wirksame Maßnahmen zum Datenschutz und zur Wiederherstellung sowie eine durchdachte Strategie für Microsoft 365 Ransomware-Schutz.

In diesem Leitfaden erfahren Sie, wie Sie Sicherheitsvorfälle schnell eindämmen, betroffene Workloads wiederherstellen und dauerhaften Datenverlust verhindern.

Sofortmaßnahmen zur Eindämmung und Wiederherstellung von Microsoft 365 nach Ransomware

Einen laufenden Angriff sofort einzudämmen, ist der wichtigste Schritt bei der Ransomware-Wiederherstellung in Microsoft 365 (früher Office 365), um großflächigen Datenverlust zu verhindern.

1. Infizierte Geräte identifizieren und isolieren.
   1. Trennen Sie betroffene Computer sofort von allen Netzwerken, um die Ausbreitung zu stoppen.
   2. Nutzen Sie Tools wie Microsoft Defender, um kompromittierte Geräte zu isolieren.
   3. Lassen Sie betroffene Geräte eingeschaltet, sofern das gefahrlos möglich ist, um Beweise für die weitere Untersuchung zu sichern.
2. Aktive Benutzersitzungen beenden.
   1. Beenden Sie aktive Sitzungen, um weiteren unbefugten Cloud-Zugriff zu verhindern.
   2. Administrator:innen sollten den PowerShell-Befehl Revoke-MgUserSignInSession ausführen.
   3. Dadurch werden Aktualisierungstoken und Browsersitzungen ungültig. Benutzer:innen müssen sich erneut authentifizieren, sobald ihre aktuellen Zugriffstoken ablaufen oder abgelehnt werden.
3. OneDrive- und SharePoint-Synchronisierung deaktivieren.
   1. Verhindern Sie, dass bösartige Verschlüsselung die Cloud erreicht.
   2. Öffnen Sie das SharePoint Admin Center und deaktivieren Sie vorübergehend die Synchronisierungsfunktion.
      • So können infizierte lokale Computer keine verschlüsselten Dateien hochladen und saubere Cloud-Daten überschreiben.
4. Kompromittierte Konten sperren.
   1. Sichern Sie kompromittierte Konten ab, um unbefugten Zugriff zu verhindern.
   2. Beschränken Sie den Zugriff betroffener Benutzer:innen, bis der Vorfall eingedämmt ist.
   3. Setzen Sie ihren Zugriff aus und erzwingen Sie ein Zurücksetzen des Passworts, bevor Sie sie wieder freischalten.

Siehe auch: Diebstahl von Anmeldeinformationen in Microsoft 365-Umgebungen erkennen und darauf reagieren

Den gesamten Schadensradius für die Ransomware-Wiederherstellung in Microsoft bewerten

Um den gesamten Schadensradius eines Angriffs zu bewerten, ist eine präzise forensische Untersuchung nötig, die genau zeigt, welche Daten kompromittiert wurden.

IT-Fachkräfte müssen das einheitliche Überwachungsprotokoll von Microsoft Purview auswerten, um den Umfang des Vorfalls zu untersuchen. Durch die Prüfung gehäufter FileModified– und FileDeleted-Ereignisse können Administrator:innen verdächtige Dateiaktivitäten erkennen und feststellen, welche Daten betroffen sein könnten.

Diese kompromittierten Dateien zu erfassen, ist eine Voraussetzung für die Datenwiederherstellung nach einem Ransomware-Angriff. Werden die betroffenen Bereiche präzise bestimmt, vermeiden Administrator:innen die Wiederherstellung kompromittierter Daten und können sich auf saubere, geprüfte Backups konzentrieren. Das stützt Ihre gesamte Strategie für Microsoft 365 Ransomware-Schutz.

Anatomie des Angriffs

Indikator für Kompromittierungen (IoC)	Betroffener Workload	Erforderliche Maßnahmen
Massenhafte Dateiendungen .encrypted	OneDrive / SharePoint	Massen-Wiederherstellung zu einem bestimmten Zeitpunkt
Postfachregeln mit „Weiterleitung“ nach extern	Exchange Online	Prüfung und Bereinigung der Regeln
Löschung von SharePoint-Websites	SharePoint	Wiederherstellung aus dem Papierkorb der zweiten Stufe

Die passende Wiederherstellungsmethode auswählen

Welcher Ansatz zur Datenwiederherstellung der richtige ist, hängt ganz vom Ausmaß des Angriffs ab, von integrierten kostenlosen Tools bis hin zu dedizierten Enterprise-Plattformen.

Methode A: Native Wiederherstellung zu einem bestimmten Zeitpunkt (KMU/Standard)

Dieser integrierte Ansatz eignet sich ideal für einzelne Benutzer:innen oder kleine Teams mit kürzlich erfolgten Infektionen. Er ermöglicht eine wirksame, lokal begrenzte Wiederherstellung, sofern Sie innerhalb von 30 Tagen handeln.

• Rollback einer kompletten OneDrive-Bibliothek auf ein Datum vor Beginn der Infektion.
• Nutzung der Versionsgeschichte, um verschlüsselte Dateien auf frühere, saubere Versionen zurückzusetzen.
• Abrufen gelöschter Elemente über das 93-tägige Sicherheitsnetz des SharePoint-Papierkorbs.

Methode B: Microsoft 365 Backup Service (nativ für Unternehmen)

Dieser native Backup-Dienst von Microsoft 365 ermöglicht eine schnelle Wiederherstellung großer Datenmengen. Er kann Unternehmen helfen, Daten nach Ransomware-Vorfällen und anderen Datenverlusten zügiger wiederherzustellen.

• Durchführung umfangreicher Wiederherstellungen direkt über den Tab Backup im Microsoft 365 Admin Center
• Schnellere Wiederherstellung großer Datenmengen im Vergleich zu herkömmlichen Methoden

Methode C: Unveränderliche Wiederherstellung über Drittanbieter

Externe Drittanbieter-Plattformen wie NinjaOne bieten eine bessere Compliance-Grundlage als native Tools allein. NinjaOne SaaS-Backup hilft dabei, historische Daten zu schützen, indem es separate Backups anlegt und so die Wiederherstellung unterstützt, falls die primären Microsoft 365-Daten kompromittiert werden.

• Unveränderliche WORM-Speicherung hilft zu verhindern, dass Backup-Daten während eines Angriffs verändert oder verschlüsselt werden.
• Einige Drittanbieter-Plattformen unterstützen außerdem die Wiederherstellung in einer isolierten Umgebung, um Daten vor der Rückführung in die Produktion zu prüfen. Prüfen Sie vor der Veröffentlichung dieser Aussage, ob NinjaOne diesen Workflow aktuell unterstützt.

Konkrete Wiederherstellungsverfahren für einzelne Workloads

Für eine effiziente Ransomware-Wiederherstellung in Microsoft 365 müssen Sie die spezifischen Wiederherstellungstools nutzen, die in jeder zentralen Anwendung integriert sind.

Microsoft 365-Workload	Schwerpunkt der Wiederherstellung	Praktische Handlungsschritte
Exchange Online	Ordner „Wiederherstellbare Elemente“	Nutzen Sie PowerShell, um infrage kommende gelöschte E-Mails wiederherzustellen und bösartige Posteingangsregeln aus betroffenen Postfächern zu entfernen.
SharePoint Online	Websitesammlungen vs. Bibliotheken	Stellen Sie frühere Dateiversionen in Dokumentbibliotheken wieder her oder holen Sie gelöschte SharePoint-Websites zurück, sofern verfügbar.
OneDrive for Business	Self-Service-Rollback	Weisen Sie Ihre Mitarbeiter:innen an, die Funktion OneDrive wiederherstellen zu nutzen, um persönliche Dateien auf einen früheren Zeitpunkt zurückzusetzen, sofern verfügbar.

Die Umgebung gegen künftige Ransomware-Vorfälle in Microsoft 365 härten

Um künftige Angriffe zu verhindern und langfristig widerstandsfähig zu bleiben, müssen Unternehmen ihre Microsoft 365-Umgebung proaktiv gegen neue Bedrohungen härten.

Eine schichtweise Verteidigung senkt das Ransomware-Risiko. Wiederherstellungstools helfen dabei, Daten nach einem Vorfall zurückzuholen. Präventive Sicherheitskontrollen begrenzen dagegen die Gelegenheiten für Angreifer:innen, sich Zugriff zu verschaffen und Schaden anzurichten.

Die wichtigste Checkliste fürs Hardening

• Phishing-resistente MFA durchsetzen:
  • Lösen Sie Ihre Benutzer:innen von anfälligen SMS-Nachrichten oder Push-Benachrichtigungen.
  • Setzen Sie robuste Verfahren wie FIDO2-Sicherheitsschlüssel oder Windows Hello ein, um das Risiko eines Diebstahls von Anmeldeinformationen zu senken.
• Richtlinien für bedingten Zugriff anwenden:
  • Beschränken Sie, wer von wo aus auf Ihre Microsoft 365-Umgebung zugreifen darf.
  • Konfigurieren Sie Richtlinien so, dass Anmeldeversuche von nicht konformen Geräten oder aus unerwarteten, risikoreichen Regionen automatisiert blockiert werden.
• Unveränderliche Aufbewahrungsrichtlinien einführen:
  • Unveränderlichkeit von Daten ist ein Kernbestandteil verlässlicher Microsoft 365 Daten-Backup-Strategien gegen Ransomware.
  • Versehen Sie Aufbewahrungsrichtlinien mit einer Beibehaltungssperre, damit Administrator:innen datenschützende Aufbewahrungseinstellungen nicht deaktivieren oder abschwächen können.
• Alarmierungen in Purview konfigurieren:
  • Bei einem Angriff zählt jede Minute. Konfigurieren Sie unterstützte Alarmierungsrichtlinien in Microsoft Purview, damit Ihr IT-Team über verdächtige Aktivitäten informiert wird, etwa ungewöhnliche Dateilöschungen oder -änderungen.

RPO und RTO für das Unternehmen definieren

Wer seine Wiederherstellungskennzahlen definiert, übersetzt technische Notfallwiederherstellung in klare betriebswirtschaftliche Rechnungen. Sie wägen die Kosten der Ausfallzeit gegen Ihre technischen Möglichkeiten ab und stellen sicher, dass Ihre Microsoft 365 Daten-Backup-Strategien gegen Ransomware zu den realen Rahmenbedingungen passen.

Ziel des Wiederherstellungspunktes (RPO)

Es legt fest, wie viele Daten Ihr Unternehmen maximal verlieren darf. Gemessen wird rückwärts ab dem Vorfall. Ein RPO von vier Stunden bedeutet zum Beispiel, dass das Unternehmen den Verlust von bis zu vier Stunden an Daten verkraften kann.

Zeitvorgabe für Wiederherstellungszeit (RTO)

Sie gibt vor, wie lange Systeme maximal ausfallen dürfen, bevor sie wieder online sein müssen. Gemessen wird vorwärts ab dem Zeitpunkt des Vorfalls. Ein RTO von sechs Stunden heißt etwa, dass die IT alle Schritte der Ransomware-Wiederherstellung in Microsoft 365 innerhalb von sechs Stunden abschließen muss.

Wiederherstellungsprioritäten berechnen

Um die Reihenfolge der Systemwiederherstellung während eines Vorfalls festzulegen, sollten IT-Teams für jede Anwendung die geschäftlichen Auswirkungen und die Wiederherstellungsanforderungen bewerten. Ein möglicher Ansatz ist ein Priorisierungswert wie dieser:

Beispiel: Prioritätswert = (Kritikalität x Auswirkung auf Benutzer:innen) / geschätzte Wiederherstellungsdauer

Verbreitete Irrtümer über die Ransomware-Wiederherstellung in Microsoft 365

Wer gängigen Cloud-Mythen glaubt, verzögert häufig eine wirksame Reaktion auf Vorfälle und gefährdet die gesamte Strategie zur Datenwiederherstellung nach Ransomware.

Verbreiteter Irrtum	Die technische Realität
Die Cloud wird automatisiert gesichert.	Microsoft ist für den Betrieb des Microsoft 365-Dienstes verantwortlich. Im Shared Responsibility Model bleiben Unternehmen jedoch selbst dafür zuständig, ihre eigenen Daten zu schützen und wiederherzustellen.
Cloud-Synchronisierung ist dasselbe wie ein Backup.	Synchronisierung ist kein Backup. Verschlüsselt Ransomware ein lokales Dokument, können diese Änderungen in die Cloud synchronisiert werden und Ihre Dateien beeinträchtigen.
Mit Standard-MFA bin ich nicht angreifbar.	Angreifer:innen können klassische MFA-Schutzmechanismen umgehen, etwa durch den Diebstahl von Sitzungstoken, und so auf aktive Cloud-Sitzungen zugreifen, ohne Anmeldeinformationen erneut einzugeben.

Die Wiederherstellung mit Microsoft 365 Ransomware-Schutz absichern

Einen Angriff zu überstehen, erfordert schnelle Eindämmung und einen strukturierten Wiederherstellungsprozess. Da native Tools bei schweren Vorfällen oft an ihre Grenzen stoßen, sind dedizierte Backups Ihre verlässlichste Verteidigung.

Ein proaktiver Microsoft 365 Ransomware-Schutz hilft Unternehmen dabei, saubere Daten effizienter wiederherzustellen und das Risiko eines dauerhaften Datenverlusts zu senken.

Verwandte Themen:

• Die beste Software für Daten-Backup und Wiederherstellung: 13 Lösungen für 2026
• So erklären Sie Kund:innen das Shared Responsibility Model von Microsoft 365
• Wichtige Ransomware-Statistiken, Trends und Fakten
• So bereiten Sie sich auf ein Microsoft 365-Sicherheitsaudit über mehrere Tenants hinweg vor
• So triagieren und begrenzen Sie Ransomware-Vorfälle bei mehreren Kund:innen