Domain Controller nach Ransomware wiederherstellen: Backups, Forest Recovery und Reihenfolge der Wiederherstellung

Domain Controller nach Ransomware wiederherstellen

Nach Ransomware kommt der Verzeichnisdienst vor allem anderen zurück, denn die meisten Server, Anwendungen und Administratoranmeldungen hängen von ihm ab. Stellen Sie je Domäne einen beschreibbaren Domänencontroller (Domain Controller, DC) aus einem Backup wieder her, das vor der Kompromittierung erstellt wurde, und zwar in einer isolierten Wiederherstellungsumgebung. Setzen Sie dort die administrativen Passwörter und das Konto für Kerberos-Ticket-Granting-Tickets (krbtgt) zurück, bevor ein weiterer Domänencontroller installiert wird. Die übrigen Domänencontroller werden danach neu installiert und replizieren vom wiederhergestellten; ihre alten Backups werden nicht wiederverwendet.

Der #StopRansomware Guide der CISA (September 2023) warnt: „Böswillige Akteure nehmen DCs häufig ins Visier und nutzen sie als Ausgangspunkt, um Ransomware im gesamten Netzwerk zu verbreiten.“ Der Leitfaden des Herstellers des Verzeichnisdienstes zur Forest Recovery beschreibt die Abläufe, hält aber fest, dass er „keine Sicherheitsempfehlungen dazu enthält, wie ein Forest wiederhergestellt wird, der gehackt oder kompromittiert wurde“. Nach Ransomware ergibt sich der Wiederherstellungspunkt deshalb aus der Zeitleiste der Untersuchung, der wiederhergestellte Verzeichnisdienst bleibt isoliert, bis die Stützpunkte des Angreifers entfernt sind, und jedes Geheimnis, das der Angreifer besitzen könnte, wird neu gesetzt. Die Reihenfolge der Arbeiten über den ganzen Vorfall beschreibt unser Leitfaden zu den ersten 72 Stunden der Wiederherstellung nach Ransomware; dieser Leitfaden behandelt den Verzeichnisdienst.

Domänencontroller für eine Forest Recovery sichern

Der Leitfaden des Herstellers zur Forest Recovery (Seite aktualisiert am 10. Juli 2023) rät: „Sichern Sie regelmäßig mindestens zwei beschreibbare DCs für jede Domäne, damit Sie mehrere Backups zur Auswahl haben.“ Der Domänencontroller, den Sie als ersten wiederherstellen wollen, muss beschreibbar sein, und der Leitfaden bevorzugt einen, der DNS für die Forest- und Domänenzonen betreibt, den globalen Katalog hält und ein gutes vollständiges Server-Backup hat. Mit dem Backup eines schreibgeschützten Domänencontrollers lässt sich kein beschreibbarer wiederherstellen. Die FAQ des Leitfadens (22. Oktober 2025) empfiehlt vollständige Backups, die sowohl eine Bare-Metal- als auch eine System-State-Wiederherstellung erlauben.

Die Tombstone Lifetime begrenzt, wie alt ein verwendbares Backup sein darf. Die Backup-Leitlinien des Herstellers (2. Dezember 2025) sagen, dass das Alter des Backups sie nicht überschreiten darf, und nennen 180 Tage als Standardwert; lesen Sie den konfigurierten Wert aus dem Verzeichnis aus, statt ihn vorauszusetzen. Ist der Papierkorb des Verzeichnisdienstes aktiviert, setzt der Leitfaden zur Forest Recovery die Nutzungsdauer eines Backups auf die Lebensdauer gelöschter Objekte oder die Tombstone Lifetime, je nachdem, welcher Wert kleiner ist. Veeams KB2226 formuliert es ebenso: „die Nutzungsdauer eines Backups entspricht der Einstellung der Tombstone Lifetime für das Unternehmen.“

Für Domänencontroller, die auf Image-Ebene gesichert werden, erklärt Veeams KB2119 (geändert am 14. April 2026), dass der wiederhergestellte Domänencontroller bei aktiviertem Application-Aware Processing zuerst im Directory Services Restore Mode (DSRM) startet und nicht autoritativ zurückkommt. Der KB-Artikel behandelt vSphere-VMs und physische Server, nicht VMs auf dem eigenen Hypervisor des Herstellers des Verzeichnisdienstes, bei denen der Startablauf nicht verändert wird. Um sich in diesem Modus anzumelden, verwahren Sie den Verlauf der DSRM- und Administratorpasswörter an einem sicheren Ort, und zwar so lange, wie die Backups gültig sind, wie es der Hersteller rät.

Ein Backup eines Domänencontrollers enthält die Passwortdaten jedes Kontos der Domäne. Für den Fall, dass ein solches Backup „einer externen Partei zugänglich geworden ist“, nennt der Leitfaden des Herstellers das Zurücksetzen der Passwörter von Benutzern, Computern, Vertrauensstellungen und verwalteten Dienstkonten. Der Backup-Server und seine Repositories gehören deshalb in Tier 0, wie unser Leitfaden zu Privileged Access Management darlegt. Veeams Best Practice Guide stellt für Backup-Komponenten eine Management-Domäne oder eine Arbeitsgruppe über die Produktionsdomäne und hält fest, dass sich „ein Datensicherungssystem in keiner Weise auf die Umgebung stützen sollte, die es schützen soll!“

Leitfaden des Herstellers des Verzeichnisdienstes zur Forest Recovery (10. Juli 2023 bis 22. Oktober 2025) und seine Backup-Leitlinien (2. Dezember 2025); Veeam KB2119 und KB2226; Veeam Best Practice Guide; #StopRansomware Guide der CISA (September 2023).

Unser Service Cyber-Resilienz richtet Backup auf Veeam-Basis ein und prüft die Integrität der Backups mit regelmäßigen Testwiederherstellungen. Nennen Sie uns, wie viele Domänen und beschreibbare Domänencontroller Sie betreiben und welche davon heute in einem Backup-Job sind.

Einen Wiederherstellungspunkt von vor der Kompromittierung wählen

Der Hersteller empfiehlt die Wiederherstellung „mit Backups, die einige Tage vor dem Eintreten des Ausfalls erstellt wurden“, und beschreibt die Abwägung: Ein neueres Backup stellt mehr Daten wieder her, „könnte aber das Risiko erhöhen, gefährliche Daten wieder in den wiederhergestellten Forest einzuschleusen.“ Nach Ransomware ist der maßgebliche Ausfall der Beginn des Eindringens, der weit vor der Verschlüsselung liegen kann. Ist der Zeitpunkt unbekannt, verlangt der Leitfaden weitere Untersuchungen, um Backups zu finden, die den letzten sicheren Zustand des Forests enthalten.

Die Untersuchung liefert den Stichtag: wann das erste Konto kompromittiert wurde und wann sich Mitgliedschaften in Administratorgruppen, Richtlinienobjekte oder Delegierungen zum ersten Mal geändert haben. Die FAQ des Herstellers nennt sein Werkzeug zum Einbinden von Datenbanken als Weg, das wiederherzustellende Backup auszuwählen; die Schritt-für-Schritt-Anleitung des Werkzeugs sagt, dass es die Verzeichnisdatenbank eines Backups standardmäßig schreibgeschützt öffnet und mehrere Snapshots nebeneinander anzeigen kann. Ein Vergleich der Mitglieder von Administratorgruppen, kürzlich angelegter Konten und geänderter Richtlinienobjekte über mehrere Wiederherstellungspunkte zeigt, welcher vor den Änderungen des Angreifers liegt. Unser Leitfaden zur isolierten Wiederherstellungsumgebung beschreibt, wo solche Vergleiche sicher laufen.

Ist kein Wiederherstellungspunkt innerhalb der Tombstone Lifetime sauber, bleibt als Alternative ein neuer Forest, in dem Konten, Gruppen und Berechtigungen neu angelegt und alle Server und Arbeitsplatzrechner erneut eingebunden werden, ein eigenes Migrationsprojekt.

Autoritative und nicht autoritative Wiederherstellung

Die Backup-Leitlinien des Herstellers definieren beide Modi. Bei einer nicht autoritativen Wiederherstellung erhält der Domänencontroller nach der Wiederherstellung Updates von den anderen, und die Leitlinien sagen: „In den meisten Szenarien, einschließlich des Neuaufbaus eines Domänencontrollers, sollten Sie eine nicht autoritative Wiederherstellung durchführen.“ Eine autoritative Wiederherstellung ersetzt die Daten auf allen anderen Domänencontrollern und stellt gelöschte Objekte wieder her, während der Rest der Domäne weiterläuft.

Backup-Leitlinien des Herstellers des Verzeichnisdienstes (2. Dezember 2025) und sein Leitfaden zur Forest Recovery (Erstwiederherstellung, 10. Juli 2023; erneute Bereitstellung von DCs, 12. Mai 2025); Veeam KB2119.

Bei einer Forest Recovery braucht laut Leitfaden der erste beschreibbare Domänencontroller jeder Domäne eine nicht autoritative Wiederherstellung des Verzeichnisses und eine autoritative Wiederherstellung von SYSVOL. Veeams Standardwiederherstellung deckt nur den ersten Teil ab. Für den Fall, dass alle Domänencontroller verloren sind, sagt KB2119 zu SYSVOL auf dem ersten wiederhergestellten: „Sie müssen eine autoritative Wiederherstellung durchführen“, und nennt die Schritte für beide Replikationsverfahren von SYSVOL. Eine autoritative Wiederherstellung von Objekten erfolgt danach aus dem DSRM mit dem Kommandozeilenwerkzeug des Herstellers. Wurden alle Domänencontroller kompromittiert, ist der erste wiederhergestellte die einzige verbliebene Kopie, sodass autoritative Wiederherstellungen von Objekten nach unserer Lesart im Ransomware-Fall keine Rolle spielen.

Reihenfolge der Forest Recovery in der isolierten Umgebung

Die folgenden Schritte folgen dem Verfahren des Herstellers zur Erstwiederherstellung der Forest-Root-Domäne. Der Hersteller zieht es vor, alle beschreibbaren Domänencontroller herunterzufahren, bevor der erste wiederhergestellte in Produktion geht.

1. Stellen Sie den ersten beschreibbaren Domänencontroller der Forest-Root-Domäne aus dem gewählten Wiederherstellungspunkt im isolierten Netz wieder her und prüfen Sie seine Daten; sind die Daten beschädigt, wiederholen Sie den Schritt mit einem anderen Backup.
2. Setzen Sie die Passwörter aller Administratorkonten zurück und planen Sie das Zurücksetzen der Benutzerpasswörter, falls Benutzerkonten kompromittiert wurden; der Hersteller schließt das Zurücksetzen der administrativen Passwörter ab, bevor weitere Domänencontroller installiert werden.
3. Übernehmen Sie alle Betriebsmasterrollen (FSMO) zwangsweise, bereinigen Sie die Metadaten jedes anderen beschreibbaren Domänencontrollers der Domäne und richten Sie den DNS-Client des wiederhergestellten Servers auf ihn selbst aus.
4. Heben Sie den verfügbaren RID-Pool um 100.000 an, damit kein Domänencontroller eine RID vergibt, die bereits ein nach dem Backup angelegtes Konto verwendet, und erklären Sie den aktuellen RID-Pool für ungültig.
5. Setzen Sie das Passwort des Computerkontos des Domänencontrollers zweimal zurück, das krbtgt-Passwort zweimal und, wie es der Leitfaden nach einer Sicherheitsverletzung zulässt, die Passwörter der Vertrauensstellungen.
6. Legen Sie verwaltete Dienstkonten mit einem neuen Stammschlüssel neu an, wenn die Datenbank kompromittiert wurde, wie es der Leitfaden rät.
7. Stellen Sie die anderen Domänen mit denselben Schritten wieder her, eine übergeordnete Domäne immer vor ihrer untergeordneten.
8. Prüfen Sie die Replikation zwischen den wiederhergestellten Domänencontrollern in einem gemeinsamen isolierten Netz, installieren Sie dann die übrigen Domänencontroller neu, durch Heraufstufen oder Klonen, und bauen Sie schreibgeschützte Domänencontroller neu auf.

Das Kapitel des Herstellers zur Virtualisierung (1. November 2024) weist darauf hin, dass das Klonen einen Hypervisor voraussetzt, der VM-GenerationID unterstützt. Installieren Sie auf den neuen Servern nur Verzeichnisdienst und DNS, denn der Guide der CISA verlangt auf Domänencontrollern ein Minimum an Software oder Agenten.

Geheimnisse neu setzen und Persistenz des Angreifers entfernen

Der Passwortverlauf des krbtgt-Kontos enthält zwei Passwörter. Das Verfahren des Herstellers (22. Mai 2025) sagt „Sie sollten diesen Vorgang zweimal durchführen“ und „Sie müssen zwischen den Kennwortzurücksetzungen 10 Stunden warten“, die standardmäßige maximale Lebensdauer von Benutzer- und Diensttickets; bei länger konfigurierten Lebensdauern wächst die Wartezeit entsprechend. Nach dem zweiten Zurücksetzen bleibt kein Schlüssel von vor der Wiederherstellung gültig, und der Wiederherstellungsplan muss diesen Abstand einplanen.

Das Zurücksetzen entfernt nicht, was der Angreifer in das Verzeichnis eingebaut hat. Konten, die beim Eindringen angelegt wurden, hinzugefügte Mitgliedschaften in Administratorgruppen, geänderte Richtlinienobjekte, die Skripte oder geplante Aufgaben verteilen, neue Delegierungen und geänderte Berechtigungen auf administrativen Objekten kommen alle mit einer Wiederherstellung zurück, die sie enthält. Der Guide der CISA rät, das Verzeichnis auf übermäßige Berechtigungen von Konten und auf Gruppenmitgliedschaften zu prüfen; vergleichen Sie diese Punkte auf dem wiederhergestellten Domänencontroller mit den Ergebnissen der Untersuchung und einem Export von vor dem Vorfall, bevor Sie ihn wieder anbinden. Hypervisoren, auf denen Domänencontroller laufen, brauchen eine eigene Härtung, wie unser Leitfaden zur Härtung von ESXi gegen Ransomware beschreibt.

Die Wiederherstellung von Domänencontrollern vor einem Vorfall testen

Der Leitfaden des Herstellers sagt: „Sie sollten Ihren Plan für die Forest Recovery mindestens einmal im Jahr üben.“ Seine FAQ verlangt Übungen in einer simulierten Testumgebung angemessener Größe, und der Leitfaden schlägt außerdem eine Übung vor, wenn sich die Mitgliedschaft in den forestweiten oder domänenweiten Administratorgruppen ändert.

Als Beispiel dient ein Unternehmen mit 1.500 Beschäftigten, einem Forest, einer Domäne, vier beschreibbaren Domänencontrollern in zwei Rechenzentren und etwa 700 VMs. DC1 hält die Betriebsmasterrollen, DNS und den globalen Katalog, DC2 betreibt DNS und den globalen Katalog. Beide sind in täglichen Backup-Jobs mit Application-Aware Processing, mit Wiederherstellungspunkten über 30 Tage zurück plus monatlichen bis 150 Tage, innerhalb einer konfigurierten Tombstone Lifetime von 180 Tagen. Der jährliche Test stellt DC1 im isolierten Netz wieder her, durchläuft die Schritte 1 bis 8 mit einem Test-Reset von krbtgt, stuft von ihm aus einen neu installierten Domänencontroller herauf und meldet sich an einem wiederhergestellten Anwendungsserver an. Die Dauer jedes Schritts geht in das Disaster-Recovery-Runbook ein, und die Wiederherstellung aller Systeme, die vom Verzeichnisdienst abhängen, kann erst nach dieser Abfolge beginnen.

Unser Service Cloud Disaster Recovery führt planmäßige Failover-Tests in isolierter Umgebung durch, mit einem Bericht nach jedem Test darüber, was hochgekommen ist, wie schnell und was zu beheben ist. Beschreiben Sie im Formular unten, wie Sie Ihren Forest heute wiederherstellen würden.

Was wir tun

Mit unserem Service Cyber-Resilienz prüft unser Engineering-Partner Vixen.UNO Infrastruktur, Zugriffe und Backups und liefert eine Risikokarte und einen priorisierten Maßnahmenplan. Derselbe Service richtet Backup auf Veeam-Basis mit einem Ausweichstandort in Baltnetas Tier-3-Rechenzentren in Litauen ein, geprüft durch regelmäßige Testwiederherstellungen, und schreibt den Incident-Response-Plan mit Rollen, Maßnahmen und Fristen. Unser Service Cloud Disaster Recovery ergänzt für Systeme, die von einem zweiten Standort aus laufen müssen, Veeam-Replikation und planmäßige Failover-Tests in isolierter Umgebung. Eurokommerz hält den Vertrag; das erste Gespräch ist kostenlos, und der Preis des technischen Assessments steht vor Beginn der Arbeiten fest. Einen laufenden Vorfall behandeln wir gesondert; erwähnen Sie ihn, wenn Sie uns schreiben.

FAQ