Ransomware auf VMware ESXi: Wenn ein Angriff auf den Hypervisor ganze Server-Umgebungen verschlüsselt
Veröffentlicht am: 03.08.2026 um 07:40 Uhr | pressetext.deVirtualisierung bündelt Risiken auf wenigen Hosts
In virtualisierten Umgebungen laufen Dutzende Server auf gemeinsamer physischer Hardware. Jede virtuelle Maschine speichert ihre Daten in VMDK-Dateien auf dem jeweiligen Datastore. Wird dieser durch Ransomware verschlüsselt, betrifft das potenziell alle darauf liegenden Systeme: Verzeichnisdienste, Kommunikation, Fachanwendungen, virtuelle Arbeitsplätze.
Teilverschlüsselung reicht aus
Viele Ransomware-Varianten verschlüsseln große Dateien bewusst nur abschnittsweise, um den Angriff zu beschleunigen. Bei VMDK-Dateien genügen bereits beschädigte Header oder Metadaten, damit die virtuelle Festplatte nicht mehr erkannt wird. Hinzu kommt: Eine virtuelle Maschine besteht aus mehreren zusammenhängenden Dateien – virtueller Festplatte, Konfiguration und gegebenenfalls einer Kette aus Snapshot- und Delta-Dateien. Fehlt ein Glied dieser Kette oder stimmen interne Zuordnungen nicht mehr, lässt sich die Maschine nicht starten.
Analyse auf Basis unveränderter Arbeitskopien
Für die technische Untersuchung sichert DATA REVERSE® betroffene Datenträger zunächst im Originalzustand. Auf Basis dieser Arbeitskopien wird geprüft, welche Bereiche verschlüsselt, beschädigt oder noch lesbar sind. Bei teilweise verschlüsselten VMDK-Dateien wird untersucht, ob sich unveränderte Datenbereiche sinnvoll zuordnen lassen. Bei beschädigten Snapshot-Ketten werden Basis- und Delta-Dateien analysiert und ihre Abhängigkeiten nachvollzogen.
Ob eine Wiederherstellung gelingt, hängt von der eingesetzten Ransomware, dem Verschlüsselungsverfahren, den betroffenen Dateibereichen und dem Zustand des Speichersystems ab. Bei vollständiger Verschlüsselung mit einem sicheren Verfahren ist eine Rekonstruktion ohne den passenden Schlüssel auch im Labor nicht möglich.
Betroffene Systeme sichern, bevor repariert wird
Nach einem Angriff sollten Unternehmen das betroffene System sofort vom Netzwerk trennen. Vorschnelle Neustarts, Reparaturversuche oder eine Neuinstallation des Hosts können Strukturen zerstören, die für die spätere Rekonstruktion entscheidend wären. Die nächsten Schritte sollten mit IT-Sicherheits-, Forensik- und Datenrettungsexperten abgestimmt werden.
(Ende)
Aussender: DATA REVERSE® Datenrettung Ansprechpartner: Christine Schröder Tel.: +49 341 392 817 89 E-Mail: presse@datareverse.de Website: www.datareverse-datenrettung.de
