SOFORTHILFE · IT-NOTFALL
Montagmorgen, 6:40 Uhr: Die Produktionsplanung öffnet nicht, auf den
Bildschirmen eine Erpressernachricht, Dateiendungen sehen fremd aus. Ab
jetzt zählt jede Entscheidung – und die häufigsten, teuersten Fehler
passieren in den ersten Stunden. Dieser Leitfaden ordnet die kritischen
48 Stunden.
Kurzantwort
Bei einem Ransomware-Befall gilt: betroffene Systeme sofort vom
Netzwerk isolieren (nicht ausschalten), keine Lösegeldkommunikation auf
eigene Faust, keine voreiligen Wiederherstellungsversuche auf
möglicherweise kompromittierter Infrastruktur. Parallel: Notfallteam und
externe Hilfe aktivieren, Backups auf Unversehrtheit prüfen, Beweise
sichern, Meldepflichten klären (bei personenbezogenen Daten:
72-Stunden-Frist nach DSGVO) und Strafanzeige stellen. Die
Wiederherstellung erfolgt erst nach Klärung des Einfallswegs – sonst
steht der Angreifer nächste Woche wieder im Netz.
Stunde 0–2: Eindämmen,
nicht aufräumen
- Isolieren statt ausschalten: Netzwerkkabel ziehen,
WLAN trennen, betroffene Segmente an der Firewall abschotten. Nicht
herunterfahren – im Arbeitsspeicher liegen Spuren, die Forensiker
brauchen. - Backups schützen – jetzt: Verbindung zwischen
Backup-Systemen und Produktivnetz kappen. Moderne Angreifer
verschlüsseln Sicherungen zuerst; ein überlebendes Backup ist Ihre
stärkste Verhandlungsposition gegen jede Forderung. - Notfallteam aktivieren: Wer entscheidet, wer
kommuniziert, wer dokumentiert? Jetzt zahlt sich ein geübter Notfallplan
aus – improvisierte Krisenstäbe verlieren Stunden. - Externe Hilfe rufen:
Incident-Response-Spezialisten, Cyberversicherung (viele verlangen die
Meldung vor eigenen Maßnahmen!), gegebenenfalls Forensik.
Stunde 2–24: Lage klären
- Ausmaß feststellen: Welche Systeme, welche
Standorte, welche Daten? Sind Domänencontroller betroffen? Läuft die
Verschlüsselung noch? - Datenabfluss prüfen: Fast alle Gruppen exfiltrieren
heute vor der Verschlüsselung und drohen mit Veröffentlichung. Das
verändert die Melde- und Kommunikationslage grundlegend. - Meldepflichten anstoßen: Sind personenbezogene
Daten betroffen, läuft die 72-Stunden-Frist zur Meldung an die
Datenschutzaufsicht. Dazu: Strafanzeige (Zentrale Ansprechstellen
Cybercrime der Landeskriminalämter), Versicherer, je nach Branche
weitere Stellen. - Kommunikation ordnen: Eine Stimme nach innen, eine
nach außen. Mitarbeitende brauchen klare Anweisungen (nichts anfassen,
nichts posten), Kunden und Partner zum richtigen Zeitpunkt ehrliche
Information.
Stunde 24–48:
Weichen für die Wiederherstellung
- Einfallsweg identifizieren: Phishing, ungepatchtes
VPN-Gateway, gestohlene Zugangsdaten? Ohne diese Antwort holt jede
Wiederherstellung den Angreifer gleich mit zurück. - Saubere Umgebung aufbauen: Wiederherstellung in ein
isoliertes, geprüftes Netz – nicht “drüberbügeln”. Prioritäten nach
Geschäftskritikalität, nicht nach Zuruf. - Lösegeldfrage nüchtern bewerten: Zahlung garantiert
nichts, finanziert die nächste Welle und kann rechtliche Folgen haben.
Sie ist allenfalls letzte Option nach professioneller Abwägung – nie
eine Panikentscheidung am ersten Tag. Mit intakten Backups stellt sie
sich meist gar nicht.
Warum gerade der Mittelstand?
Nach polizeilichen Lagebildern richtet sich der Großteil der
Ransomware-Angriffe in Deutschland gegen kleine und mittlere Unternehmen
– dort sind Erkennung und Reaktion am dünnsten besetzt, während
durchschnittliche Schadenssummen im hohen fünfstelligen Bereich und
darüber liegen. Der Weg ins Netz führt dabei meist über die Klassiker:
Phishing (was nach dem falschen Klick sofort zu tun ist, zeigt unser
Beitrag Auf
Phishing-Link geklickt) und ungepatchte, aus dem Internet
erreichbare Systeme – die aktuellen
Betrugsmaschen liefern das Bild dazu.
Häufige Fragen (FAQ)
Sollen wir zahlen? Erst alle Alternativen prüfen:
intakte Backups, Entschlüsselungswerkzeuge (für manche Familien
öffentlich verfügbar), Wiederaufbau. Zahlung nur als bewusste
Managemententscheidung mit rechtlicher Beratung – nie unter Zeitdruck
der Erpresser.
Können wir einfach aus dem Backup zurückspielen?
Erst wenn drei Fragen geklärt sind: Ist das Backup selbst sauber? Ist
der Einfallsweg geschlossen? Ist die Zielumgebung geprüft? Sonst beginnt
das Spiel von vorn.
Was kostet so ein Vorfall? Verschlüsselung ist nur
der Anfang: Betriebsunterbrechung, Forensik, Wiederaufbau, Meldeaufwand,
Reputation. Selbst glimpfliche Fälle im Mittelstand erreichen schnell
hohe fünf- bis sechsstellige Summen – die beste Investition bleibt die
Vorbereitung.
Wie bereiten wir uns konkret vor? Offline- bzw.
unveränderbare Backups mit Wiederherstellungstests, MFA überall,
gepatchte Außensysteme, Endpoint-Erkennung mit 24/7-Reaktion – und ein
geprobter Notfallplan mit erreichbaren Ansprechpartnern.
Fazit
Ransomware entscheidet sich nicht am Tag des Angriffs, sondern in den
Monaten davor – und in den ersten 48 Stunden danach. Wer isoliert statt
panisch aufzuräumen, Backups schützt, Meldefristen einhält und den
Einfallsweg klärt, kommt als Zwischenfall heraus, wo andere wochenlang
stillstehen. Und wer die Erkennung und Reaktion dauerhaft besetzt haben
will, ohne ein eigenes Nachtschicht-Team aufzubauen, findet die Antwort
im vorherigen Beitrag: Was ist ein SOC?
Akuter Verdacht oder laufender Vorfall? UBESAFE-Notfallnummer:
+49 5362 975 28 66 – für alles davor: kostenloses Erstgespräch zur
Notfallvorsorge.