Een versleuteld bestand opent niet meer. Daarna vallen gedeelde mappen, e-mail of bedrijfssoftware uit. Op dat moment is de vraag niet alleen wat er is gebeurd, maar vooral: hoe lang duurt ransomware herstel? Het eerlijke antwoord is dat dit varieert van enkele uren tot weken. Het verschil wordt bepaald door uw voorbereiding, de omvang van de aanval en de manier waarop het herstel wordt aangepakt.

Voor een organisatie is ransomwareherstel geen simpele terugzetactie. U moet eerst voorkomen dat de aanval zich verder verspreidt, vervolgens vaststellen wat geraakt is en pas daarna veilig herstellen. Wie te snel systemen weer online zet, kan de aanvaller opnieuw toegang geven of opnieuw geïnfecteerde data terugplaatsen.

Hoe lang duurt ransomwareherstel gemiddeld?

Bij een beperkt incident, waarbij één computer is getroffen en er een recente, schone back-up beschikbaar is, kan het herstel binnen één werkdag klaar zijn. Zijn meerdere servers, accounts en applicaties geraakt, reken dan op meerdere dagen. Bij een grootschalige aanval op een omgeving zonder bruikbare back-ups kan volledig herstel weken duren.

De technische hersteltijd is bovendien niet hetzelfde als de tijd totdat uw bedrijf weer normaal werkt. Een server kan technisch online zijn, terwijl medewerkers nog geen toegang hebben tot alle bestanden, koppelingen met leveranciers opnieuw moeten worden ingericht of data gecontroleerd moet worden. Daarom is het beter om te kijken naar twee momenten: wanneer de kritieke bedrijfsprocessen weer draaien en wanneer de volledige IT-omgeving weer veilig operationeel is.

Een realistische tijdlijn per fase

De eerste uren staan in het teken van beheersing. Besmette apparaten worden geïsoleerd, accounts kunnen worden geblokkeerd en externe verbindingen worden gecontroleerd. Dit beperkt schade, maar kan tijdelijk extra uitval veroorzaken. Dat is een bewuste keuze: eerst stoppen, dan herstellen.

Daarna volgt het onderzoek. Een specialist brengt in kaart hoe de aanvaller is binnengekomen, welke systemen en gegevens zijn geraakt en of er nog actieve toegang aanwezig is. Deze fase neemt meestal één tot drie dagen in beslag. Bij een complexe netwerkomgeving, oude systemen of een aanval die al langer onopgemerkt actief was, kan dit langer duren.

Pas als de omgeving voldoende schoon en gecontroleerd is, start het technische herstel. Prioriteit ligt bij identiteit en toegang, netwerkdiensten, de belangrijkste servers en bedrijfskritische applicaties. Met betrouwbare back-ups kan dit een tot enkele dagen duren. Zonder back-ups zijn gegevensherstel, herbouw en handmatige reconstructie nodig. Dat maakt de doorlooptijd moeilijker voorspelbaar.

De laatste fase is validatie. Zijn de herstelde bestanden volledig? Werken koppelingen, rechten en beveiligingsmaatregelen correct? Kunnen medewerkers hun werk veilig hervatten? Reken hiervoor minstens een dag, vaak langer bij boekhoudsystemen, productiesoftware, cloudapplicaties of grote hoeveelheden bedrijfsdata.

Welke factoren bepalen de duur van ransomwareherstel?

De kwaliteit van uw back-ups is meestal de grootste factor. Een dagelijkse back-up helpt alleen als die ook volledig is, snel terug te zetten is en niet door de aanvaller kan worden gewijzigd of verwijderd. Back-ups die permanent gekoppeld zijn aan het netwerk kunnen eveneens versleuteld worden. Een aparte, goed beveiligde kopie versnelt het herstel aanzienlijk.

Ook de detectiesnelheid telt. Ransomwaregroepen bewegen zich vaak eerst door het netwerk, verzamelen gegevens en zoeken naar beheerdersaccounts voordat bestanden worden versleuteld. Hoe eerder u ongebruikelijke activiteit ziet, hoe kleiner de herstelomvang meestal blijft. Monitoring, multifactor-authenticatie en actuele beveiligingssoftware verkleinen niet alleen de kans op een incident, maar verkorten ook de onderzoekstijd.

De complexiteit van uw IT-omgeving speelt eveneens mee. Een klein kantoor met enkele werkplekken is anders dan een organisatie met lokale servers, cloudomgevingen, telefonie, externe toegang en gespecialiseerde software. Afhankelijkheden zijn soms pas zichtbaar wanneer een dienst uitvalt. Een applicatie kan bijvoorbeeld weer draaien, maar geen gegevens verwerken omdat een database, certificaat of koppeling nog ontbreekt.

Tot slot maakt een incidentplan een groot verschil. Als vooraf duidelijk is wie beslissingen neemt, welke systemen als eerste moeten worden hersteld en wie leveranciers of klanten informeert, gaan kostbare uren niet verloren. In een crisissituatie is improviseren vaak duurder dan de technische schade zelf.

Waarom losgeld betalen zelden een snelle oplossing is

Onder druk lijkt betalen soms de kortste route naar herstel. Toch biedt betaling geen garantie op een bruikbare decryptiesleutel, volledige gegevens of het verwijderen van gestolen data. Het kan bovendien juridische, verzekerings- en reputatierisico’s meebrengen. Zelfs met een werkende sleutel duurt het ontsleutelen van grote hoeveelheden data vaak lang en kan het proces foutgevoelig zijn.

De beste route is daarom meestal: de aanval stoppen, de toegang van de aanvaller verwijderen, een schone omgeving opbouwen en data terugzetten uit gecontroleerde back-ups. Als er toch een beslissing over losgeld op tafel komt, moet die gebaseerd zijn op technisch onderzoek, juridisch advies en de voorwaarden van uw cyberverzekering – niet op paniek of een aftellende melding op een scherm.

Wat moet u doen zodra ransomware wordt vermoed?

Snel handelen beperkt de hersteltijd, maar het verkeerde snelle handelen kan bewijsmateriaal vernietigen of de aanval verergeren. Koppel verdachte apparaten los van netwerk en wifi, maar zet ze niet zomaar uit. Noteer wat medewerkers zien en wanneer de problemen begonnen. Laat vervolgens een specialist beoordelen welke systemen geïsoleerd, onderzocht en hersteld moeten worden.

Wijzig niet blindelings alle wachtwoorden vanaf mogelijk besmette apparaten. Beheerdersaccounts, externe toegang en e-mail zijn wel direct aandachtspunten, maar wijzigingen moeten plaatsvinden vanuit een vertrouwde omgeving. Anders geeft u de aanvaller mogelijk nieuwe inloggegevens of houdt u besmette sessies actief.

Communicatie hoort ook bij herstel. Medewerkers moeten weten dat ze geen verdachte e-mails of berichten mogen openen en dat ze afwijkingen direct melden. Als persoonsgegevens mogelijk zijn ingezien, gekopieerd of versleuteld, moet worden beoordeeld of er sprake is van een datalek onder de AVG. In sommige gevallen geldt een meldtermijn van 72 uur. Wacht dus niet tot alle techniek is hersteld voordat u deze beoordeling start.

Herstel sneller maken vóór er iets gebeurt

De snelste hersteltijd wordt niet tijdens een aanval geregeld, maar ervoor. Maak een herstelplan dat niet alleen beschrijft welke back-ups bestaan, maar ook hoe lang het daadwerkelijk duurt om een kritieke server, werkplek of cloudomgeving terug te zetten. Een back-up die nooit is getest, is een aanname, geen zekerheid.

Leg daarnaast prioriteiten vast. Voor de ene organisatie zijn e-mail en telefonie het belangrijkst, voor een andere organisatie zijn dat planning, voorraad, productie of financiële administratie. Door die volgorde vooraf te bepalen, kan een IT-partner gericht herstellen in plaats van alle systemen tegelijk te behandelen.

Goede voorbereiding bestaat uit meerdere beschermingslagen: actuele updates, beperkte beheerdersrechten, multifactor-authenticatie, netwerksegmentatie, beveiligde back-ups en duidelijke procedures voor medewerkers. Geen enkele maatregel voorkomt iedere aanval. Samen zorgen ze er wel voor dat een incident beheersbaar blijft en dat herstel niet onnodig lang duurt.

Een partij als Letech kan in die voorbereiding én tijdens een incident één technisch aanspreekpunt bieden: van isolatie en onderzoek tot herbouw, dataherstel en het veiliger inrichten van de omgeving. Dat voorkomt vertraging door losse leveranciers die ieder slechts een deel van het probleem zien.

De beste maatstaf is uiteindelijk niet of u ooit met ransomware te maken krijgt, maar hoe snel uw organisatie weer veilig kan werken wanneer het gebeurt. Test dat scenario nu, op een rustige werkdag, voordat een aanvaller bepaalt hoeveel tijd u heeft.