AKTIVER VORFALL? RUFEN SIE UNS AN: +971 58 594 6337 · SIGNAL VERFÜGBAR · 24/7-REAKTIONSBRÜCKE DURCHSCHNITTLICHE ZEIT BIS ZUR EINDÄMMUNG: 47 MIN LOCKBIT / BLACKCAT / AKIRA / PLAY / RHYSIDA — ENSCHLÜSSELUNGSBIBLIOTHEK AKTUALISIERT INFIZIERTE HOST-RECHENER NICHT AUSSCHALTEN — SPEICHER ERHALTEN AKTIVER VORFALL? RUFEN SIE +971 58 594 6337 AN · SIGNAL VERFÜGBAR · 24/7-REAKTIONSBRÜCKE DURCHSCHNITTLICHE ZEIT BIS ZUR EINDÄMMUNG: 47 MIN LOCKBIT / BLACKCAT / AKIRA / PLAY / RHYSIDA — ENTSCHLÜSSELUNGSBIBLIOTHEK AKTUALISIERT INFIZIERTE HOST-RECHENER NICHT AUSSCHALTEN — SPEICHER ERHALTEN
INCIDENT RESPONSE • DFIR • ENTSCHLÜSSELUNG

Ihre Dateien
sind verschlüsselt.
Wir haben
Arbeit vor uns.

ChainBreak ist die Ransomware-Wiederherstellungseinheit von PWN•ALL. Wenn Ihre Sicherheitsperimeter durchbrochen werden, begrenzen wir den Schadensumfang, stellen Daten aus Backups oder durch Entschlüsselungsforschung wieder her, spüren den Angreifer in Ihrem Netzwerk auf und sichern die verbleibenden Systeme ab – damit sich dieselbe Tür nie wieder öffnet.

97 %
der Opfer stellen ihre Daten wieder her
1,53 Mio.
Durchschnittliche Wiederherstellungskosten pro Vorfall
53
Innerhalb einer Woche wieder online
~/fileserver/share — root@dc01
◉ KOMPROMITIERT
root@dc01:~/fileserver$ ls -la
drwxr-xr-x 14 root root 4096 12. Apr. 03:41 .
── Q3-financials.xlsx.[lockbit]
── client-contracts.pdf.[lockbit]
── payroll-2026.db.[lockbit]
── backup-mar.tar.gz.[lockbit]
── !RESTORE-FILES!.txt
root@dc01:~$ cat !RESTORE-FILES!.txt
>> Ihr Netzwerk wurde verschlüsselt.
>> 2,4 TB exfiltriert. 72 Stunden Zeit zur Zahlung.
>> Wallet: bc1q••••••••••••••••••••••
root@dc01:~$ chainbreak --activate
[✓] Antwortbrücke geöffnet — analyst-04 hat sich verbunden
[✓] Speichersnapshots auf 4 Hosts gesichert
[✓] Seitliche Bewegung am Core-Switch blockiert
[✓] Entschlüsselungskandidat: LockBit 3.x — Übereinstimmung
analyst-04@bridge:~$
Die wahren Kosten des Abwartens

Was ein unbehandelter
Vorfall tatsächlich kostet.

Basierend auf unseren internen Daten zur Incident Response und verifizierten öffentlichen Berichten aus den Jahren 2024–2025 – verschiedene Branchen, verschiedene Regionen.

01
5,08 Mio. $
Durchschnittliche Gesamtkosten eines Ransomware- oder Erpressungsvorfalls
02
241
Durchschnittliche Anzahl von Tagen, die benötigt werden, um eine Sicherheitsverletzung ohne spezialisierte IR-Teams zu erkennen und einzudämmen
03
24
Tage durchschnittliche Betriebsausfallzeit pro Ransomware-Angriff
04
4
Median der Tage vom ersten Eindringen bis zur Verschlüsselung
05
50
der Ransomware-Angriffe enden immer noch mit einer Verschlüsselung der Daten
06
28
Bei den Opfern, deren Daten verschlüsselt wurden, wurden zudem Daten zur Erpressung abgezogen
Selbst-Triage // 4 Fragen • 30 Sekunden

Bevor du in Panik gerätst,
schätzen Sie die Lage ein.

Beantworten Sie vier Fragen. Wir berechnen eine Echtzeit-Schweregradbewertung und die ersten vier Maßnahmen, die Ihr Team sofort ergreifen sollte – bevor jemand vor Wut auf die Tastatur loshämmert.

FRAGE 01 / 04
Was haben Sie zuerst festgestellt?
Das früheste Anzeichen bestimmt, wie viel Zeit dir bleibt.
FRAGE 02 / 04
Wie weit hat sich der Angriff ausgebreitet?
Zählen Sie die Hosts mit bestätigter Verschlüsselung oder Manipulation.
FRAGE 03 / 04
Backup-Status?
„Unveränderlich“ bedeutet wirklich unveränderlich – Objektsperre, Air-Gap oder offline.
FRAGE 04 / 04
Anzeichen für Datendiebstahl?
Exfiltration verwandelt eine Wiederherstellungsaufgabe in eine Offenlegungsaufgabe.
ERGEBNIS
Triage abgeschlossen.
Dies ist eine vorläufige Bewertung. Ein ChainBreak-Analyst kann sie innerhalb von 15 Minuten auf der Response Bridge präzisieren.
▸ LIVE-URTEIL
Warten auf Eingabe
Beantworten Sie die Fragen auf der linken Seite. Der Schweregrad wird in Echtzeit aktualisiert.
00255075100

▸ Die ersten vier Maßnahmen

  1. Isolieren Sie betroffene Hosts vom Netzwerk – schalten Sie sie nicht aus.
  2. Sichern Sie Speicher- und Volume-Schattenkopien auf mindestens einem Host.
  3. Entziehen Sie die in den letzten 72 Stunden verwendeten Anmeldedaten; rotieren Sie die Dienstkonten.
  4. Richten Sie eine Reaktionsbrücke mit PWN•ALL ein, bevor Sie Backups anfassen.
Reaktionsablauf

Vier Phasen.
Eine Brücke.

Wir bearbeiten jeden Vorfall über eine einzige, geprüfte Reaktionsbrücke – Ihr Team, unsere DFIR-Analysten, eine gemeinsame Zeitleiste und Belege bei jedem Schritt.

PHASE 01 // 0–60 Min.

Eindämmen

Isolierung auf Netzwerkebene, ohne Beweismaterial zu vernichten. Wir stoppen laterale Bewegungen am Switch, blockieren C2, sperren privilegierte Konten und sichern den Speicher auf Pivot-Hosts.

Mediane Verweildauer vor der Verschlüsselung: 4 Tage. Das Zeitfenster für die Eindämmung wird in Stunden gemessen, nicht in Schichten.
PHASE 02 // 1–6 Std

Umfang

Forensische Triage aller verschlüsselten Assets, des ursprünglichen Zugangsvektors, der Persistenz und der Exfiltrationsspuren. Wir identifizieren den Stamm, die TTPs des Angreifers und die Verweildauer.

Ohne ein dediziertes IR-Team dauert der durchschnittliche Lebenszyklus einer Sicherheitsverletzung 241 Tage vom Eindringen bis zur Eindämmung.
PHASE 03 // 6–48 Std.

Wiederherstellung

Clean-Room-Wiederherstellungen, Integritätsprüfungen von Backups, Abgleich von Entschlüsselern mit unserer internen Bibliothek und – sofern Schlüssel vorhanden sind – schrittweise Entschlüsselung von Produktionsdaten.

Die durchschnittliche Ausfallzeit durch Ransomware beträgt 24 Tage. Gut vorbereitete Unternehmen verkürzen diese Lücke auf unter eine Woche.
PHASE 04 // 2–14 Tage

Absicherung

Behebung der Grundursache, Bereinigung von Identitäten, Einführung von EDR/MFA, wo diese fehlen, sowie ein schriftlicher Bericht, den Ihr Vorstand, Ihr Versicherer und Ihre Aufsichtsbehörde tatsächlich lesen können.

32 % aller Ransomware-Vorfälle beginnen mit einer ausgenutzten Sicherheitslücke. Phase 4 schließt die Tür, durch die sie hereingekommen sind.
Was wir bearbeiten

Jede Schwachstelle hat eine
eine Schwachstelle. Wir finden sie.

Unsere Forschungsbibliothek für Entschlüsselungsprogramme und unsere Verhandlungsinformationen werden anhand realer Fälle aktualisiert, die wir jede Woche abschließen. Wenn es einen Weg gibt, Daten ohne Zahlung wiederherzustellen, finden wir ihn zuerst.

FAMILIE // WINDOWS-ORIENTIERT

LockBit • BlackCat • Play

  • Domänencontroller & Veeam-Zielauswahl
  • Schattenkopien löschen über vssadmin/WMI
  • Schrittweise Exfiltration über MEGA/Rclone
  • Teilweise Schlüsselwiederherstellung, sofern möglich
FAMILIE // HYPERVISOR

Akira • Royal • Rhysida

  • ESXi-Stopp und Verschlüsselung auf VMFS-Ebene
  • Linux-ELF-Ransomware auf Appliances
  • Volumenwiederherstellung auf Datastore-Ebene
  • Integritätsprüfung auf Hypervisor-Seite
FAMILIE // NUR ERPRESSUNG

Cl0p • Karakurt • RansomHub

  • Reiner Datendiebstahl, keine Verschlüsselung
  • Überwachung und Sperrung von Websites mit Datenlecks
  • Koordination der rechtlichen Offenlegung
  • Von uns verwaltete Kommunikation mit Betreibern
Reaktionsbrücke

Ein Analyst
die Uhr im Blick.

Sobald Sie anrufen, wird eine gemeinsame Brücke mit zeitgestempelten Aktionen, Beweissicherung und einem Live-Schweregrad-Dashboard eingerichtet. Ihr Versicherer und Ihr Rechtsteam können sich schreibgeschützt zuschalten.

00
Stunden
47
Minuten
12
Sekunden
live
00:02 Analyst-04hat sich der Bridge angeschlossen
00:05 Hostdc01 am Switch isoliert
00:11Seitlicher Zugriffsversuch blockiert — 10.4.2.88 → 10.4.2.12
00:18Speichersnapshotgesichert – 4 Hosts
00:26Strain-Übereinstimmung: Lockbit 3.x (87 %)
00:34Backup-Repo intakt – veeam01 unberührt
00:41Entwurf des Wiederherstellungsplans – wartet auf Freigabe

Keine Geheimnisse. Kein Schweigen.

Jeder ChainBreak-Einsatz läuft nach derselben Bridge-Vorlage ab, die Ihre Aufsichtsbehörden und Cyber-Versicherer bereits akzeptieren. Sie sehen, was wir sehen. Sie genehmigen jede destruktive Maßnahme. Nichts wird verschlüsselt, gelöscht oder bezahlt, ohne dass Sie Ihre Zustimmung geben.

Nach der Eindämmung erhalten Sie einen Chain-of-Custody-Bericht, eine auf MITRE ATT&CK abgestimmte Zeitleiste und einen 30/60/90-Tage-Sicherheitsplan – kein PDF voller Screenshots.

Häufig gestellte

Fragen
, die um 3 Uhr morgens gestellt werden.

Sollten wir das Lösegeld zahlen?

Das ist fast nie der richtige erste Schritt. Wir verhandeln nur als letztes Mittel, während Wiederherstellungsoptionen geprüft werden, und nur mit rechtlicher und sanktionsrechtlicher Freigabe. In ~94 % unserer Fälle ist eine vollständige oder teilweise Wiederherstellung ohne Zahlung möglich.

Wie schnell können Sie auf der Brücke sein?

Unsere SLA sieht vor, dass wir innerhalb von 60 Minuten nach dem ersten Anruf mit einem Analysten auf einer gemeinsamen Bridge mit Ihrem Team verbunden sind. Die Anleitung zur Eindämmung beginnt in der Regel innerhalb der ersten 15 Minuten, während parallel dazu die Bestandsaufnahme läuft.

Wir haben bereits alles ausgeschaltet. Ist das schlimm?

Das ist nicht ideal – der flüchtige Speicher enthält Schlüssel, eingeschleuste Prozesse und Betreiber-Traces –, aber es ist wiederherstellbar. Starten Sie nichts neu, bis wir auf der Leitung sind. Wir verfügen über Verfahren für die Cold-Triage.

Arbeiten Sie mit unserem Cyber-Versicherer zusammen?

Ja. ChainBreak ist so konzipiert, dass es sich in Standard-IR-Panels einbinden lässt. Wir stellen dem Versicherer zeitgestempelte Maßnahmen, Kostenkontrollen und einen Abschlussbericht in dem Format zur Verfügung, das die meisten Versicherer akzeptieren.

Was ist, wenn Daten sowohl gestohlen als auch verschlüsselt wurden?

Wir untersuchen die Datenexfiltration separat: Was wurde entwendet, von wo und für wie lange. Anschließend koordinieren wir die Offenlegung, rechtliche Schritte und – sofern angemessen – die Überwachung der Leak-Seiten sowie die Kommunikation mit den Betreibern.

Können Sie den nächsten Vorfall verhindern?

Das ist Phase 4. Behebung der Grundursache, Identitätshygiene, Einführung von EDR/MFA und kontinuierliche Überwachung – gepaart mit VulnScan und ConnGuard für den Perimeter.

24 / 7 / 365

Warten Sie nicht bis
Montagmorgen.

Mit jeder Stunde, die Sie zögern, werden Backups gelöscht, Beweise verfallen und die Täter tauchen tiefer unter. ChainBreak ist an Werktagen, am Wochenende und an Feiertagen für Sie da – die Uhr macht keine Pause, und wir auch nicht.

Rufen Sie an unter +971 58 594 6337 → Anfrage zu einem Retainer
SIGNAL UNTER DER GLEICHEN NUMMER VERFÜGBAR
50 % aller Angriffe enden immer noch mit einer Verschlüsselung. Warten Sie nicht ab, um herauszufinden, zu welcher Hälfte Sie gehören.