Ein Sanitär- und Heizungsbauunternehmen steht von einer Sekunde auf die andere vor dem absoluten Stillstand. Auf den Bildschirmen erscheint eine furchterregende Dateiendung: .mkp. Der MAKOP-Ransomware-Virus hat zugeschlagen. Konfrontiert mit einer Lösegeldforderung von 15.000 € – und gestützt auf den klugen Rat eines unserer Partner – weigerte sich das Unternehmen, den Erpressern nachzugeben.
Das Problem? Das Backup-System basierte auf Drive Snapshot, einer schlanken, Nischen-Software aus Deutschland, deren .sna-Dateien selbst Datenrettungsexperten nur selten auf dem Tisch haben. In diesem Moment beschlossen das lokale IT-Team und der Softwarehersteller, den Fall an das Speziallabor von Recoveo zu übergeben.
📌 Auf einen Blick: Erfolgreiche Ransomware-Wiederherstellung durch Recoveo
Betroffenes Unternehmen: Sanitär- und Handwerksbranche
Bedrohung: MAKOP Ransomware (.makop / .mkp)
Ziel der Attacke: MS SQL-Datenbank (.mdf / .ldf) und Drive Snapshot Backup (.sna)
Gefordertes Lösegeld (geschätzt): 15.000 € (nicht gezahlt)
Wiederhergestelltes Datenvolumen: 535 GB
Recoveo-Lösung: Eigenentwickeltes Rekonstruktionswerkzeug aus unserer F&E-Abteilung
Endergebnis: 100 % Wiederherstellungsrate bei der Datenbank und 99,9 % bei den restlichen Daten
Die Herausforderung: Verschlüsselte SQL-Datenbank und ein seltenes Backup-Format (.SNA)
Beim Blick in die Infrastruktur des Unternehmens wurde eines sofort klar: Eine moderne Virtualisierung oder Containerisierung war hier nicht im Einsatz. Die MAKOP-Ransomware traf das Unternehmen mitten ins Herz ihrer Geschäftstätigkeit, indem sie das primäre Backup verschlüsselte.
Was ist die MAKOP-Ransomware (.mkp)?
Nach Angaben der französischen Agentur für digitale Gesundheit (Agence du Numérique en Santé) ist Makop eine Ransomware-Variante, die erstmals 2020 gesichtet wurde und weitgehend als Ableger der Phobos-Familie gilt. Obwohl diese Cyberkriminellen bereits rund hundert europäische Unternehmen getroffen haben, wird die Gruppe im Allgemeinen als sekundärer Akteur eingestuft.
Der seltene Fall der Software „Drive Snapshot“ von Tom Ehlert
Das verschlüsselte Backup stammte von einer Software, die bei Datenrettungen extrem selten anzutreffen ist: Drive Snapshot (Dateiendung .sna). Selten, aber absolut aktiv genutzt – entwickelt von Tom Ehlert – Software & Consulting, einem im Oktober 2000 gegründeten deutschen Unternehmen, das auf Echtzeit-Disk-Imaging spezialisiert ist. Das Flaggschiff-Programm „Drive Snapshot“ existiert seit 2002. Es handelt sich um ein extrem reduziertes Dienstprogramm, dessen Benutzeroberfläche sich seit den Zeiten von Windows NT oder 2000 kaum verändert hat.
Schnittstelle von Drive Snapshot
Unter Systemadministratoren („Sysadmins“) genießt Drive Snapshot echten Kultstatus: In seinem Heimatland Deutschland besitzt das Tool bei erfahrenen IT-Technikern einen hervorragenden Ruf als unbesungener Held (Unsung Hero).
Die Fähigkeit, im laufenden Betrieb und ohne Neustart Disk-Images zu erstellen, die extreme Portabilität (eine einzige ausführbare Datei ohne Installation) und der minimale Speicherfußabdruck machen es zum bevorzugten Werkzeug für Wartungsskripte – wo vermutlich auch der größte indirekte Marktanteil liegt.
Tatsächlich binden deutsche Anbieter für industrielle Infrastrukturverwaltung (wie Ondeso) Drive Snapshot-Lizenzen offiziell in ihre Software-Suiten ein, um Operational Technology (OT)-Backups auf Industrie-PCs und Produktionsmaschinen zu automatisieren (von veralteten Windows NT4-Systemen bis hin zu Windows 11).
Der Einsatz von Recoveo: Maßgeschneiderte F&E und eigene Reparatur-Tools
Um die Verschlüsselungssperre zu umgehen, setzten unsere Teams unser neues internes Rekonstruktionswerkzeug ein (das in unserer F&E-Abteilung kontinuierlich weiterentwickelt wird).
Die Erstanalyse zeigte eine hervorragende Überlebensrate der Daten: Nur 570 ungültige (verschlüsselte) Seiten von fast 185.000 – was einem reinen Datenverlust von knapp 0,3 % entspricht.
Dennoch beschädigte der verschlüsselte Header bestimmte Tabellen, wodurch vorübergehend verwaiste Datenstrukturen entstanden.
Auflistung der kritischen, verschlüsselten Kundendateien (.mdf und .ldf) mit der Endung .mkp
Unsere F&E-Abteilung trieb den Reparaturprozess daraufhin noch einen Schritt weiter…
Eine bewährte Alternative zur Zahlung von 15.000 € Lösegeld
Dank dieses chirurgischen Ansatzes – der Ergebnisse liefert, die mindestens 30 % über den Werten handelsüblicher Wiederherstellungstools liegen – konnte der Kunde die Erpressung erfolgreich abwehren.
Nach einem erneuten Durchbruch unseres F&E-Teams förderte unser Reparatur-Tool 149 zusätzliche Tabellen und fast 400.000 weitere Zeilen zutage. Darüber hinaus wurde jeder einzelne verwaiste Datensatz abgeglichen und für die Freigabe durch den Kunden aufbereitet.
Abfragetest auf der voll funktionsfähigen Datenbank
Finale Wiederherstellungsrate
100 % der Daten wurden mit Stand des letzten gültigen Backups (16. Mai 2026) wiederhergestellt und zusammen mit einem vollständigen ZIP-Archiv des reparierten Drive Snapshot-Images (insgesamt 535 GB) ausgeliefert.
Trotz der beispiellosen Herausforderung, ein Nischen-.sna-Backup zu retten, das von MAKOP verschlüsselt wurde, erzielten unsere Ingenieure eine Wiederherstellungsrate von 100 % bei der kritischen Datenbank und 99,9 % insgesamt. Der Kunde konnte seinen Betrieb mit Daten aufnehmen, die weniger als zwei Wochen alt waren!
💬 Hinweis des Ingenieurs: „Dieser Fall beweist, dass eine verschlüsselte MS SQL-Datenbank niemals endgültig verloren ist. Selbst wenn der Datenbank-Header durch Ransomware unlesbar gemacht wurde, ermöglichen uns unsere Spezialtechniken, Tabellen und Zeilen neu aufzubauen, um die Datenbank wieder voll betriebsfähig zu machen. Zudem bauen wir unsere Wiederherstellungskapazitäten für Nischen-Backup-Formate wie Drive Snapshot kontinuierlich aus.“
MAKOP Ransomware erfolgreich überwinden
Dieser Erfolg war kein Zufall – er war das direkte Ergebnis tiefgreifenden Expertenwissens über Drive Snapshot-Architekturen und die Notfall-Wiederherstellung von Datenbanken.
Sind Ihre SQL-Datenbanken durch Ransomware verschlüsselt oder beschädigt? Genau wie in diesem komplexen Drive Snapshot-Fall entwickeln unsere F&E-Ingenieure maßgeschneiderte Rettungslösungen, um Ihre kritischen Daten wiederherzustellen – ohne dass Sie einen einzigen Cent Lösegeld zahlen müssen.
📞 Fordern Sie jetzt eine Notfall-Analyse zur Datenbank-Wiederherstellung an
