Suche
SupportCyberangriff – was in den ersten 24 Stunden zu tun ist
Ein Angriff ist erkannt, Bildschirme zeigen Erpresserbotschaften. Ein Ablauf für die ersten 24 Stunden: eindämmen, organisieren, melden – und die Fehler, die den Schaden vergrößern.
Es ist kurz nach sieben Uhr. Die Buchhaltung ruft an: Auf dem Bildschirm steht eine Erpressernachricht, die Laufwerke sind leer oder voller unlesbarer Dateien. Wenige Minuten später melden sich weitere Abteilungen. Die Telefonanlage funktioniert noch, E-Mail nicht mehr. Die Geschäftsführung ist unterwegs, der IT-Verantwortliche im Urlaub.
Die ersten Stunden nach der Entdeckung eines Cyberangriffs entscheiden maßgeblich darüber, wie groß der Schaden wird. Gleichzeitig herrscht genau in dieser Phase Unsicherheit: Niemand weiß, wie weit sich der Angreifer bereits ausgebreitet hat, ob Daten abgeflossen sind und ob die Backups noch intakt sind. Der folgende Ablauf gibt Orientierung. Er ersetzt keinen eigenen Notfallplan, zeigt aber, was darin stehen sollte.
Stunde 0 bis 2: Eindämmen
Systeme isolieren
Trennen Sie betroffene Systeme vom Netzwerk – durch Ziehen des Netzwerkkabels, Abschalten des WLANs oder Sperren des Switch-Ports. Schalten Sie die Geräte jedoch nicht vorschnell aus: Im Arbeitsspeicher befinden sich oft Spuren, die für die Aufklärung benötigt werden. Ist die Verschlüsselung noch aktiv und lässt sie sich anders nicht stoppen, kann das Herunterfahren dennoch richtig sein – diese Abwägung sollte jemand mit Erfahrung treffen.
Ausbreitung stoppen
Sperren Sie Fernzugänge, die nicht zwingend benötigt werden: VPN, Remotedesktop, Fernwartung von Dienstleistern. Ändern Sie die Kennwörter administrativer Konten – und zwar von einem sauberen Gerät aus, nicht von einem möglicherweise kompromittierten Rechner. Prüfen Sie, ob in Microsoft 365 verdächtige Anmeldungen oder neue Weiterleitungsregeln aufgetaucht sind.
Datensicherungen schützen
Prüfen Sie, ob die Sicherungen noch intakt sind, und trennen Sie sie vom Netz, um sie vor weiterer Verschlüsselung zu schützen. Starten Sie aber noch keine Wiederherstellung.
Stunde 2 bis 8: Organisieren
Krisenstab einberufen
Ein kleines Team trifft die Entscheidungen: Geschäftsleitung, IT oder IT-Dienstleister, Kommunikation und gegebenenfalls Datenschutz. Legen Sie feste Abstimmungszeitpunkte fest, etwa alle zwei Stunden, und eine Person, die den Überblick hält. Kommunizieren Sie über einen Weg, der nicht vom Angriff betroffen ist – private Mobiltelefone oder eine vorbereitete Telefonkonferenz, nicht über das möglicherweise überwachte E-Mail-System.
Alles dokumentieren
Halten Sie fest, wer wann was beobachtet und entschieden hat: erste Auffälligkeiten, betroffene Systeme, ergriffene Maßnahmen, Kontakte nach außen. Diese Aufzeichnungen sind für Versicherung, Behörden, eine spätere forensische Analyse und mögliche Rechtsstreitigkeiten unverzichtbar. Ein einfaches Protokoll auf Papier reicht.
Den Geschäftsbetrieb sortieren
Welche Prozesse müssen heute weiterlaufen, etwa Auslieferung, Produktion oder Lohnabrechnung? Gibt es Notbetrieb auf Papier oder über nicht betroffene Systeme? Diese Fragen beantwortet die Geschäftsleitung, nicht die IT.
Stunde 8 bis 24: Informieren und analysieren
Jetzt geht es um die Pflichten nach außen. Einige davon sind fristgebunden:
- Cyberversicherung umgehend informieren – viele Policen stellen spezialisierte Notfalldienstleister und verlangen eine frühe Meldung
- Polizei: Die Zentralen Ansprechstellen Cybercrime (ZAC) der Landeskriminalämter sind auf Unternehmen eingestellt – in Bayern beim Bayerischen Landeskriminalamt
- Datenschutzaufsicht: Bei einer Verletzung des Schutzes personenbezogener Daten besteht in der Regel eine Meldepflicht binnen 72 Stunden; für Unternehmen in Bayern ist das Bayerische Landesamt für Datenschutzaufsicht zuständig
- BSI: Fällt Ihr Unternehmen unter NIS2, ist bei einem erheblichen Vorfall innerhalb von 24 Stunden eine Frühwarnung fällig
- Mitarbeitende, Kunden und Lieferanten sachlich und abgestimmt informieren – mit einer verantwortlichen Stimme
Parallel beginnt die Analyse: Wie ist der Angreifer hineingekommen? Welche Systeme und Konten sind betroffen? Wurden Daten abgezogen? Ist der Angreifer noch im Netz? Erst wenn diese Fragen weitgehend beantwortet sind, kann ein sicherer Wiederanlauf geplant werden. Bei größeren Vorfällen gehört dafür ein spezialisiertes Forensik-Team dazu, das häufig über die Versicherung vermittelt wird.
Was Sie vermeiden sollten
- Systeme ungeprüft aus der Sicherung zurückspielen – der Angreifer könnte noch im Netz sein und erneut zuschlagen
- Spuren durch Neuinstallation vernichten, bevor sie gesichert wurden
- Vorschnell mit den Erpressern Kontakt aufnehmen oder zahlen, ohne Versicherung und Behörden einzubeziehen
- Unkoordinierte Kommunikation nach außen, etwa Spekulationen in sozialen Netzwerken
- Kennwörter von einem kompromittierten Gerät aus ändern
- Die Meldefristen aus den Augen verlieren, weil alle mit der Technik beschäftigt sind
Vorbereitung: Was vor dem Ernstfall stehen muss
Fast alle Schritte oben werden leichter, wenn sie vorher geregelt sind. Prüfen Sie, ob Ihr Unternehmen die folgenden Punkte heute beantworten kann:
- Ein Notfallplan mit Zuständigkeiten und Vertretungen, ausgedruckt und außerhalb der IT verfügbar
- Eine Kontaktliste mit Dienstleister, Versicherung, Polizei, Datenschutzaufsicht und Geschäftsleitung
- Ein Netzplan und eine Systemübersicht, die zeigen, was in welcher Reihenfolge wieder anlaufen muss
- Mindestens ein unveränderbares Backup und ein dokumentierter Wiederherstellungstest
- Eine Übung, in der das Team den Ablauf einmal am Tisch durchgespielt hat
Wie Sie die Unterlagen dafür aufbauen, beschreiben wir auf den Seiten IT-Notfallhandbuch und IT-Dokumentation. Vorbeugende Maßnahmen fasst der Beitrag Ransomware: Die zehn wichtigsten Schutzmaßnahmen zusammen.
Kommunikation nach innen und außen
Neben der Technik entscheidet die Kommunikation darüber, wie ein Vorfall wahrgenommen wird. Mitarbeitende brauchen früh eine klare Ansage: welche Systeme nicht genutzt werden dürfen, ob Rechner ausgeschaltet bleiben sollen und wen sie bei Auffälligkeiten anrufen. Kunden und Lieferanten erwarten keine technischen Details, wohl aber eine ehrliche Einschätzung, ob Lieferungen und Termine betroffen sind.
Bereiten Sie dafür kurze Textbausteine vor und legen Sie fest, wer nach außen spricht. Seien Sie vorsichtig mit frühen Festlegungen wie „Es sind keine Daten abgeflossen“, solange die Analyse nicht abgeschlossen ist. Beachten Sie außerdem, dass Angreifer E-Mail-Postfächer mitlesen können: Vertrauliche Abstimmungen gehören auf einen anderen Kanal.
So gehen wir bei BABFE vor
Mit unseren Kunden erarbeiten wir den Notfallplan vorab, passend zur tatsächlichen Umgebung, und spielen ihn gemeinsam durch. Im Ernstfall erreichen Sie unseren Support während der Servicezeiten (Mo–Fr 08:00–18:00 Uhr) mit einer ersten Antwort innerhalb von zwei Stunden; was darüber hinaus gilt, regeln wir mit Ihnen im Vertrag. Details finden Sie unter Kontingente und SLAs.
Weil Dokumentation, Netzplan und Gerätelisten im Kundenportal laufend gepflegt sind, muss im Notfall niemand erst suchen, was es überhaupt gibt. Wir arbeiten dabei eng mit Ihrer Versicherung und gegebenenfalls einem Forensik-Dienstleister zusammen.
Ihr nächster Schritt
Nehmen Sie sich eine Stunde und gehen Sie den Ablauf oben mit Ihrer Geschäftsleitung und Ihrer IT durch. Jede Frage, die dabei offen bleibt, ist eine Frage, die Sie im Ernstfall nicht unter Zeitdruck beantworten müssen. Wir unterstützen Sie gern dabei.
