Datenvernichtung bezeichnet bei Cyberangriffen die gezielte, in der Regel nicht umkehrbare Zerstörung von Daten, etwa mittels Wiper-Malware, die Dateisysteme, Bootbereiche oder ganze Datenträger überschreibt oder unbrauchbar macht, um den Geschäftsbetrieb eines Opfers dauerhaft zu stören oder zu sabotieren.
Auf einen Blick
Bekannte Fälle richteten sich unter anderem gegen Energieunternehmen und Behörden, etwa durch Shamoon oder WhisperGate; NotPetya wurde 2017 in einem weltweiten Angriff eingesetzt.
Anders als bei Ransomware bleibt eine Zahlung wirkungslos, da bei Wiper-Malware wie NotPetya keine Wiederherstellung vorgesehen ist.
Weil sich die Zerstörung in der Regel nicht rückgängig machen lässt, unterscheidet sich das Schadenbild grundlegend von einem Ransomware-Vorfall, bei dem eine Entschlüsselung gegen Zahlung zumindest vorgesehen ist.
Was ist Datenvernichtung?
Datenvernichtung beschreibt im Kontext von Cyberangriffen das gezielte Löschen, Überschreiben oder Unbrauchbarmachen von Daten durch Angreifer, ohne dass eine Wiederherstellung vorgesehen ist. Wiper-Malware setzt dieses Ziel technisch um, indem sie Dateisysteme, Bootbereiche oder ganze Datenträger korrumpiert und dadurch den Zugriff auf gespeicherte Informationen in der Regel dauerhaft verhindert. Im MITRE-ATT&CK-Framework ist Datenvernichtung als Technik Data Destruction (T1485) der Taktik Impact (TA0040) zugeordnet, da sie nicht auf Datendiebstahl, sondern auf Störung und Sabotage abzielt. Angreifer setzen Datenvernichtung in der Regel ein, um den Geschäftsbetrieb eines Opfers nachhaltig zu stören oder ganze Infrastrukturen zu sabotieren; auf eine Zahlung ist sie nicht ausgelegt, da kein funktionierender Wiederherstellungsmechanismus vorgesehen ist.
Für einen Versicherer kann ein solcher Angriff den Verlust von Bestandsdaten oder Policendokumenten bedeuten; eine Lösegeldzahlung führt dabei nicht zu den Daten zurück. Anders als bei einem Ransomware-Vorfall existiert damit kein Verhandlungsspielraum über einen Entschlüsselungsschlüssel, weil die Angreifer bei einem Wiper-Angriff wie NotPetya keine Wiederherstellung vorsehen. Betroffene Bestände lassen sich in diesem Fall nur aus separat gesicherten Kopien wiederherstellen, sofern solche vor dem Angriff existierten.
Wie funktioniert Datenvernichtung?
Wiper-Malware zerstört Daten, indem sie Speicherbereiche überschreibt oder verschlüsselt, ohne eine Wiederherstellung vorzusehen. Nach der Kompromittierung eines Systems durchläuft die Schadsoftware je nach Variante angeschlossene Laufwerke und überschreibt Dateiinhalte, Dateisystemstrukturen oder den Master Boot Record mit zufälligen oder festen Datenmustern; ist der Bootbereich betroffen, startet das Betriebssystem nicht mehr. Manche Varianten tarnen sich zunächst als Ransomware und zeigen eine Lösegeldforderung an, ohne dass ein funktionierender Entschlüsselungsmechanismus existiert; die Zahlung bleibt damit wirkungslos, weil die Angreifer keine Wiederherstellung vorsehen.
Sicherungskopien im selben Netzwerk kann die Schadsoftware ebenfalls zerstören, sofern diese nicht getrennt oder unveränderlich gespeichert sind. Manche Varianten verbreiten sich vor der eigentlichen Zerstörung zusätzlich selbstständig über Netzwerkfreigaben oder Anmeldeskripte, wodurch mehrere Systeme innerhalb kurzer Zeit betroffen sein können, wenn diese nicht durch Segmentierung voneinander getrennt sind. Deshalb gilt eine getrennte, unveränderliche Sicherung als zentrale Voraussetzung dafür, dass ein Wiper-Angriff nicht auch die letzte verfügbare Kopie der Daten erfasst.
Woran erkenne ich Datenvernichtung?
| Signal | Woran erkennbar |
|---|---|
| Massenhafte Dateizugriffsfehler | Mehrere Dateien lassen sich plötzlich nicht mehr öffnen, obwohl kein Verschlüsselungshinweis angezeigt wird. |
| Totalausfall ohne oder mit nur vorgetäuschter Lösegeldforderung | Systeme starten nicht mehr; eine Zahlungsaufforderung fehlt oder ist wie bei WhisperGate nur vorgetäuscht. |
| Bootfehler nach Neustart | Betroffene Rechner zeigen nach einem Neustart Fehlermeldungen des Bootloaders statt des Betriebssystems. |
| Ungewöhnliche Schreibaktivität auf Systemlaufwerken | Sicherheitswerkzeuge protokollieren massenhafte, kurz aufeinanderfolgende Schreibzugriffe auf Datenträger, die nicht zum normalen Betrieb gehören. |
Schutz im Ernstfall
Vorbeugen
- Offline- oder unveränderliche Backups (Air-Gap, Immutable Storage) getrennt vom Produktivnetzwerk vorhalten.
- Zugriffsrechte für Backup-Systeme von den Konten der regulären IT-Administration trennen.
- Wiederherstellungsprozesse regelmäßig testen, um die tatsächliche Recovery-Zeit im Ernstfall zu kennen.
Was tun im Ernstfall
- Betroffene Systeme sofort vom Netzwerk isolieren, um eine Ausbreitung auf weitere Datenträger zu verhindern.
- Vor der Wiederherstellung prüfen, welche forensisch relevanten Spuren gesichert werden sollen, und diese nach Lage und Priorität sichern.
- Wiederherstellung nur aus getrennt gespeicherten, als sauber verifizierten Backups vornehmen.
- Vorfall an die zuständige Meldestelle (etwa das BSI oder ein nationales CERT) melden.
Beispiele aus der Praxis
- Die Wiper-Malware NotPetya zerstörte 2017 in einem weltweiten Angriff Daten und Festplattenstrukturen, ohne dass die Angreifer eine Wiederherstellung vorsahen.
- Shamoon löschte 2012 bei einem großen Energieunternehmen auf der Arabischen Halbinsel die Daten von rund 30.000 Rechnern und überschrieb dabei Dateien und Partitionstabellen.
- WhisperGate wurde Anfang 2022 gegen ukrainische Behörden eingesetzt und tarnte sich als Ransomware, vernichtete Daten jedoch irreversibel ohne funktionierenden Entschlüsselungsmechanismus.
- Bei einem Versicherer könnte ein vergleichbarer Wiper-Angriff auf das Bestandssystem Policendaten und Vertragsdokumente unwiederbringlich zerstören, ohne dass eine Lösegeldzahlung eine Wiederherstellung ermöglicht.
Die Varianten im Detail (3)
Datenzerstörung Datenzerstörung ist eine andere Bezeichnung für Datenvernichtung, also das gezielte Unbrauchbarmachen von Daten.
Der Begriff wird gleichbedeutend verwendet. Er hebt das Ergebnis hervor, nämlich dass Informationen nicht mehr lesbar oder nutzbar sind, unabhängig davon, ob Löschbefehle, Überschreiben oder Hardwareschäden die Ursache sind.
Löschung von Backups Löschung von Backups ist das gezielte Entfernen von Sicherungskopien durch Angreifer.
Täter beseitigen Sicherungen, Schattenkopien oder Replikate, bevor sie weitere Schritte ausführen. Damit entfällt die Möglichkeit zur Wiederherstellung, und der Schaden eines Angriffs wird deutlich größer.
Nutzdaten-Vernichtung Nutzdaten-Vernichtung bezeichnet die Zerstörung der eigentlichen Anwendungs- und Geschäftsdaten.
Im Unterschied zu Systemdateien betrifft sie Dokumente, Datenbanken und Projektdaten, die für den Betrieb und die Aufgaben einer Organisation maßgeblich sind. Betriebssysteme lassen sich oft neu aufsetzen, diese Inhalte meist nicht.
Häufiger Irrtum
Mythos „Manche gehen davon aus, dass Datenvernichtung nur eine aggressivere Form von Ransomware ist, bei der eine Zahlung die Daten am Ende doch noch retten kann.“
Richtig Bei Wiper-Malware wie NotPetya ist keine Wiederherstellung vorgesehen: Laut MITRE ATT&CK war der Hauptzweck von NotPetya die Zerstörung von Daten, und die Angreifer beabsichtigten nie, die verschlüsselten Daten wiederherstellbar zu machen. Eine Zahlung führt dort deshalb nicht zu den Daten zurück.
