09.02.2023

3712

Verschlüsselte Datei auf Netzlaufwerk

Hallo zusammen,
wir haben bei uns gerade das Problem, dass eine Datei, sowie ein Ordner verschlüsselt sind. Natürlich weiß niemand wer diesen Ordner, oder Dateien verschlüsselt hat.
Wie auf dem Bild zu sehen, wird leider auch kein Nutzer mit Zugriff auf die Datei angezeigt. Auch ein Besitzer kann von Windows nicht ermittelt werden.

Besteht noch die Möglichkeit diese Daten wieder zu entschlüsseln? mit Administratorberechtigungen komme ich leider nicht weiter.

Es handelt sich dabei um eine Datei und einen Ordner in einem anderen Verzeichnis. Beide Dateien liegen auf einem Netzwerklaufwerk. Der Ersteller war kein Administrator.

Falls ich wichtige Infos vergessen habe, lasst es mich gerne wissen.

Vielen Dank für eure Hilfe.

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 5920253716

Url: https://administrator.de/contentid/5920253716

Ausgedruckt am: 24.11.2024 um 16:11 Uhr

18 Kommentare

Neuester Kommentar

Backup?
Ansonsten schrillen mir die Alarmglocken.

Ja, es gibt ein Backup. Leider wurde die Datei das letzte mal 2020 angefasst. So lange werden Die Backups nicht gespeichert. (Verschlüsselt mit gesichert.)

Moin,

ich sehe da nur eine Möglichkeit: Die Lehrer müssen sich hinsetzen und die Klassenarbeit neu schreiben.

lks

PS: Und man sollte sich die Sicherheitsinfrastruktur auf dem System mal anschauen. (Alte Nuzter deaktivieren, Paßwörter ändern, etc.)

Zitat von @Lochkartenstanzer:
ich sehe da nur eine Möglichkeit: Die Lehrer müssen sich hinsetzen und die Klassenarbeit neu schreiben.

OMG, das kannst du denen nicht zumuten, da müssten sie ja "Arbeiten", ob sie das so schnell hinbekommen 🤪.

Rundmail an alle Lehrer: "Wer war das? Bitte melden sonst, Kaffeeentzug für alle für 5 Jahre..."

Bist du denn überhaupt sicher daß es NTFS Verschlüsselt ist und nicht Ransomware dahinter steckt? Wenn ja dann extrahier doch mal den öffentlichen Schlüssel für mehr Infos zur Person
https://ss64.com/nt/cipher.html

Ist es denn überhaupt ein PDF oder war es Mal?

Danke für die Hilfe. Habe in einem Backup noch eine unverschlüsselte Datei gefunden.

Danke an @5175293307 für die Info. Den Verdacht hatte ich auch schon. Wobei es doch sehr komisch ist, dass nur diese eine/zwei Dateien davon betroffen sind.

Viele Grüße.

Wenn Domäne vorhanden, kannst du via GPO die Verschlüsselung durch Benutzer verbieten. Das passiert manchmal unbeabsichtigt oder auch mit voller Absicht. Einfach die NTFS-Verschlüsselung verbieten und gut ist.

Ich hatte das nämlich bei einem Kunden auch mal. Da kann man nur noch die Entschlüsselung pro Benutzer durchlaufen lassen bis alles entschlüsselt ist. Richtig blöd wird es nur wenn es den Benutzer nicht mehr gibt 😅

Zitat von @anteNope:

Richtig blöd wird es nur wenn es den Benutzer nicht mehr gibt 😅

Deswegen löscht man Benutzer i.d.R. nicht, sondern deaktiviert sie nur.

lks

Zitat von @anteNope:

Wenn Domäne vorhanden, kannst du via GPO die Verschlüsselung durch Benutzer verbieten. Das passiert manchmal unbeabsichtigt oder auch mit voller Absicht. Einfach die NTFS-Verschlüsselung verbieten und gut ist.

Ich hatte das nämlich bei einem Kunden auch mal. Da kann man nur noch die Entschlüsselung pro Benutzer durchlaufen lassen bis alles entschlüsselt ist. Richtig blöd wird es nur wenn es den Benutzer nicht mehr gibt 😅

Danke für den Tipp. Das werde ich berücksichtigen.

Zitat von @Seitek:
Danke für den Tipp. Das werde ich berücksichtigen.

Also man kann sich ein Skript bauen, was einfach das gesamte Laufwerk auf dem Server durchgeht und entschlüsselt was verschlüsselt ist. Am einfachsten ist es, dies als "ausführen als" im Server direkt laufen zu lassen. Einmal pro Benutzer und dann sollte alles entschlüsselt sein. Leider habe ich das Skript nicht mehr und das ist locker ~5 Jahre her ...

Hier die Einstellungen für die GPO:

Moin,

der Thread ist ja schon gelöst, der TO dank eines vorhandenen Backups glücklich.

Rein Interesse halber: heute Morgen bin ich durch Zufall über das Sysinternals-Tool "EFSDump" https://learn.microsoft.com/en-us/sysinternals/downloads/efsdump gestolpert. Hätte dieses dem TO geholfen den Verursacher zu ermitteln, um dann wie von @anteNope vorgeschlagen zu entschlüsseln? Nur, dass dann nicht alle Benutzer durchprobiert werden müssten...

Gruß
TA

Zitat von @TwistedAir:
https://learn.microsoft.com/en-us/sysinternals/downloads/efsdump gestolpert. Hätte dieses dem TO geholfen den Verursacher zu ermitteln

Durchaus interessant. Bei uns lagen die überall verstreut auf dem abzuschaffenden Server. Wir hatten damals einfach die Brechstange genutzt 😅

Cipher kann es auch mit Bordmitteln:

cipher /c test.txt

Zitat von @5175293307:

Cipher kann es auch mit Bordmitteln:

cipher /c test.txt

Was ist denn mit Wurstel passiert

Zitat von @Lochkartenstanzer:
Deswegen löscht man Benutzer i.d.R. nicht, sondern deaktiviert sie nur.

Mache ich auch so.

Wobei es aus Datenschutz sicht nicht erlaubt ist.
Laut Datenschutzfraggle müssen alte Benutzer Accounts und Profile gelöscht werden.
Die Profile dürfen auch nicht archiviert werden. Könnte ja privates bei sein

Stefan

Zitat von @StefanKittel:

Zitat von @Lochkartenstanzer:
Deswegen löscht man Benutzer i.d.R. nicht, sondern deaktiviert sie nur.

Laut GODB mußt Du das alles aber aufheben.

lks

Zitat von @Lochkartenstanzer:
Laut GODB mußt Du das alles aber aufheben.

Und auch laut GODB musst Du bestimmte Dinge, abgelehnte Bewerbungen und ausgeschiedene Mitarbeiter, sofort löschen.
Der Verantwortliche ist eh Schuld. Egal ob A oder B.