Mittelstandspresse
30.07.2026
Ransomware auf dem Hypervisor: Wenn mehrere virtuelle Server gleichzeitig ausfallen
Warum verschlüsselte VMDK-Dateien und beschädigte Datastores die Rettung erschweren
Leipzig, 30.07.2026 (PresseBox) - Am Morgen sind nicht nur einzelne Dateien unzugänglich. Der Domänencontroller startet nicht mehr, die Warenwirtschaft bleibt offline und auch Datenbanken, Dateiserver und Fachanwendungen fallen gleichzeitig aus. Was zunächst wie mehrere voneinander unabhängige Störungen aussieht, kann auf einen einzigen Angriffspunkt zurückgehen: den Hypervisor, auf dem sämtliche virtuellen Systeme betrieben werden.
Ransomware-Angriffe auf VMware-ESXi-Umgebungen treffen nicht zwangsläufig nur eine virtuelle Maschine. Gelingt Angreifern der Zugriff auf den Host oder die zentrale Verwaltungsumgebung, können sie mehrere virtuelle Server herunterfahren und die zugehörigen Dateien direkt auf dem Datastore verschlüsseln. Für betroffene Unternehmen entsteht dadurch innerhalb kurzer Zeit ein umfassender Systemausfall.
Der Hypervisor bündelt zentrale Systeme
Virtualisierung ermöglicht es Unternehmen, zahlreiche Server auf einer gemeinsamen physischen Infrastruktur zu betreiben. Jede virtuelle Maschine verfügt dabei über eigene Konfigurationsdateien und virtuelle Datenträger. Bei VMware werden die Daten dieser virtuellen Festplatten üblicherweise in VMDK-Strukturen gespeichert.
Für den laufenden Betrieb ist diese Bündelung effizient. Bei einem erfolgreichen Angriff kann sie jedoch dazu führen, dass mehrere geschäftskritische Systeme gleichzeitig betroffen sind. Werden VMDK-Dateien, Konfigurationen oder Teile des Datastores verschlüsselt, fehlen nicht nur einzelne Dokumente. Unter Umständen lassen sich ganze virtuelle Maschinen nicht mehr starten oder korrekt in die Virtualisierungsumgebung einbinden.
Der Schaden kann sich damit auf zahlreiche Unternehmensbereiche auswirken. Eine einzige kompromittierte Plattform kann gleichzeitig Verzeichnisdienste, Datenbanken, Kommunikationssysteme, Produktionsanwendungen oder virtuelle Arbeitsplätze außer Betrieb setzen.
Eine virtuelle Maschine besteht aus mehreren Abhängigkeiten
Eine virtuelle Maschine ist nicht nur eine einzelne Datei. Zu ihrem funktionsfähigen Zustand gehören die virtuelle Festplatte, die Konfiguration sowie gegebenenfalls Snapshot- und Delta-Dateien. Werden einzelne Bestandteile verschlüsselt, gelöscht oder beschädigt, kann die gesamte Maschine unbrauchbar erscheinen.
Besonders anspruchsvoll wird die Rekonstruktion bei vorhandenen Snapshot-Ketten. Ein Snapshot enthält nicht einfach eine vollständige unabhängige Kopie der virtuellen Maschine. Nach seiner Erstellung werden Änderungen in zusätzlichen Delta-Dateien gespeichert, während die ursprüngliche virtuelle Festplatte als Basis bestehen bleibt.
Damit die aktuellen Daten wieder vollständig zusammengesetzt werden können, müssen Basismedium und nachfolgende Änderungen korrekt zueinander passen. Fehlt ein Teil der Kette oder stimmen interne Zuordnungen nicht mehr überein, lässt sich die virtuelle Maschine nicht ohne Weiteres starten. Snapshots sind deshalb kein Ersatz für eine unabhängige Datensicherung.
Verschlüsselung trifft Dateien und Speicherstrukturen
Das konkrete Schadensbild unterscheidet sich von Angriff zu Angriff. Manche Ransomware-Varianten verschlüsseln große Dateien nicht vollständig, sondern verändern gezielt einzelne Bereiche. Dieses Vorgehen beschleunigt den Angriff, kann aber dennoch ausreichen, um virtuelle Datenträger unbrauchbar zu machen.
Bei VMDK-Dateien können bereits beschädigte Header, Metadaten oder zentrale Bereiche verhindern, dass die virtuelle Festplatte korrekt erkannt wird. Andere Angriffe betreffen zusätzlich Konfigurationsdateien, Snapshot-Strukturen oder Verwaltungsdaten des Datastores.
Auch der zugrunde liegende Speicher muss in die Analyse einbezogen werden. Virtuelle Maschinen können auf lokalen RAID-Systemen, SAN- oder NAS-Speichern, VMFS-Datastores oder verteilten Speicherlösungen liegen. Neben der Verschlüsselung können daher weitere Schäden auftreten, etwa ausgefallene Festplatten, inkonsistente RAID-Strukturen oder beschädigte Dateisysteme.
Datenrettung beginnt mit einer unveränderten Arbeitskopie
Nach einem Angriff ist entscheidend, den aktuellen Zustand der betroffenen Systeme zu erhalten. Unkoordinierte Neustarts, Reparaturversuche oder Schreibzugriffe auf dem Originalspeicher können noch vorhandene Strukturen verändern. Auch eine vorschnelle Neuinstallation des Hosts kann für die spätere Rekonstruktion wichtige Informationen überschreiben.
Für die technische Analyse werden betroffene Datenträger deshalb zunächst möglichst unverändert gesichert. Auf Grundlage dieser Arbeitskopien lässt sich prüfen, welche Bereiche verschlüsselt, beschädigt oder weiterhin lesbar sind.
Je nach Schadensbild können noch intakte Bestandteile virtueller Datenträger extrahiert und vorhandene Speicherstrukturen rekonstruiert werden. Bei teilweise verschlüsselten VMDK-Dateien wird unter anderem untersucht, welche Datenbereiche betroffen sind und ob sich nicht veränderte Inhalte noch sinnvoll zuordnen lassen.
Sind Snapshot-Ketten beschädigt, müssen die vorhandenen Basis- und Delta-Dateien analysiert und ihre Abhängigkeiten nachvollzogen werden. Ziel kann dabei sowohl die Rekonstruktion einer vollständigen virtuellen Maschine als auch die gezielte Wiederherstellung besonders wichtiger Dateien, Datenbanken oder Verzeichnisse sein.
Nicht jede virtuelle Maschine lässt sich vollständig wiederherstellen
Ob eine Datenrettung möglich ist, hängt vom Umfang der Verschlüsselung und vom Zustand des zugrunde liegenden Speichers ab. Wurden sämtliche relevanten Datenbereiche vollständig und mit einer sicheren Verschlüsselung verändert, kann auch ein Datenrettungslabor die ursprünglichen Inhalte nicht ohne passenden Entschlüsselungsschlüssel rekonstruieren.
Anders kann die Situation bei unvollständiger Verschlüsselung, beschädigten Verwaltungsstrukturen oder zusätzlichen Hardwarefehlern aussehen. Dann besteht die Aufgabe darin, noch vorhandene Datenbereiche zu sichern, ihre logischen Zusammenhänge wiederherzustellen und verwertbare Inhalte aus den virtuellen Datenträgern zu extrahieren.
Eine pauschale Aussage zur Wiederherstellbarkeit ist deshalb nicht möglich. Entscheidend sind die verwendete Ransomware, ihr Verschlüsselungsverfahren, die betroffenen Dateibereiche, vorhandene Snapshots und der technische Zustand des Speichersystems.
Erst analysieren, dann über das weitere Vorgehen entscheiden
Nach einem Ransomware-Angriff sollten Unternehmen das betroffene System vom Netzwerk trennen und die nächsten Schritte mit den zuständigen IT-Sicherheits-, Forensik- und Datenrettungsexperten abstimmen. Dabei müssen die Eindämmung des Angriffs, die Beweissicherung und die mögliche Wiederherstellung gemeinsam betrachtet werden.
Vorhandene Datenträger und virtuelle Strukturen sollten nicht verändert werden, solange unklar ist, welche Informationen für Analyse und Rekonstruktion noch benötigt werden. Auch verschlüsselte VMDK-Dateien, beschädigte Snapshots oder nicht mehr eingebundene Datastores können technisch relevante Bestandteile enthalten.
Gerade bei virtualisierten Infrastrukturen entscheidet daher nicht allein die Frage, ob ein Backup vorhanden ist. Ebenso wichtig ist, ob die virtuellen Datenträger, ihre Abhängigkeiten und die zugrunde liegenden Speicherstrukturen noch vollständig und konsistent vorliegen.
Ansprechpartner
Christine Schröder
+49 (341) 392817-89
Zuständigkeitsbereich: Redaktion
Über DATA REVERSE® Datenrettung - Bindig Media GmbH:
DATA REVERSE® mit Sitz in Leipzig ist auf die professionelle Datenrettung von digitalen Speichermedien spezialisiert. Mit über 20 Jahren Erfahrung, TÜV-zertifiziertem Kundenservice und einer Erfolgsquote von über 95 % bietet das Unternehmen zuverlässige und qualitativ hochwertige Lösungen bei Datenverlusten jeglicher Art. Durch umfangreiches Know-how in Reverse Engineering und eine konsequente Datengarantie zählt DATA REVERSE® zu den führenden Anbietern der Branche.
Neben Festplatten, Flash-Speichern und RAID-Systemen werden auch komplexe logische Speicherarchitekturen wie Software Defined Storage erfolgreich wiederhergestellt. Zur optimalen Qualitätssicherung setzt DATA REVERSE® ausschließlich auf individuell entwickelte Softwarelösungen, ein eigenes Reinraumlabor sowie eine interne Forschungs- und Entwicklungsabteilung.
Datei-Anlagen:
(2 MB)
1620734.attachment
Ransomware auf dem Hypervisor: Ein Angriff auf die Virtualisierungsebene kann mehrere virtuelle Server gleichzeitig außer Betrieb setzen. Symbolbild: DATA REVERSE®
- Mehr Infos zu dieser Meldung unter www.pressebox.de
- zurück zur Übersicht
