IT-NOTFALL · EVERGREEN
Das BSI hat gemeinsam mit dem Bundeskriminalamt, dem DIHK und weiteren Organisationen eine Liste veröffentlicht, die zu den nüchternsten Dokumenten der deutschen IT-Sicherheit gehört: zwölf Fragen, die sich IT-Verantwortliche während eines Cyber-Angriffs stellen sollten. Keine Produktempfehlung, keine Methodik – zwölf Fragen. Wer sie in Ruhe liest, merkt schnell: Die meisten davon lassen sich nicht beantworten, wenn man erst im Ernstfall damit anfängt.
Was tun bei einem Cyberangriff? Die Kurzantwort
Die TOP 12 Maßnahmen bei Cyber-Angriffen sind eine Checkliste des BSI (Stand September 2019) für die Reaktion auf einen Vorfall, nicht für dessen Verhinderung. Sie gliedern sich in vier Phasen: erst bewerten (Angriff oder technischer Defekt? Wie weit ist die Ausbreitung?), dann eindämmen (Systeme vom Netz trennen, unautorisierte Zugriffe unterbinden, Backups stoppen und schützen), dann sichern und melden (forensische Sicherung von Logs, Datenträgern und Bildschirmfotos; Polizei und Behörden nach Abstimmung informieren), schließlich wiederherstellen und nachsorgen (Schwachstelle beheben, Zugänge und 2FA zurücksetzen, Netzwerk weiter überwachen, erst dann neu aufbauen). Die ehrliche Bilanz: Punkte wie forensische Sicherung oder Netzüberwachung nach dem Vorfall sind für ein KMU nachts um drei ohne externe Unterstützung kaum zu leisten.
Phase 1: Bewerten, bevor Sie handeln
Was bei einem Hackerangriff auf die Firma als Erstes passiert, entscheidet über den Rest. Und das Erste ist nicht Handeln, sondern Hinsehen.
Die erste Frage der Liste ist die, die am häufigsten übersprungen wird: Handelt es sich überhaupt um einen Angriff – oder um einen technischen Defekt? Ein verschlüsselter Dateiserver ist eindeutig. Ein Server, der nicht mehr antwortet, ist es nicht. Wer zu früh den Krisenmodus ausruft, verbrennt Vertrauen; wer zu spät reagiert, verliert Systeme.
Direkt daneben steht die zweite, operativ entscheidende Frage: Wurde das gesamte Maß der Ausbreitung festgestellt? Sind alle angegriffenen Systeme identifiziert? Das ist der Punkt, an dem die meisten Vorfälle in die zweite Runde gehen. Wer nur das auffällige Gerät bereinigt und den Rest unangetastet lässt, hat gute Chancen, denselben Angreifer in zwei Wochen wiederzusehen. Ein frisch aufgesetztes System ist nicht sicher, solange der Weg hinein offen ist.
Praktisch brauchen Sie dafür eine Sicht auf alle Endpunkte, nicht auf das eine, das jemand gemeldet hat – der Unterschied zwischen klassischem Virenschutz und Detection-Plattformen ist im Beitrag EDR, XDR und MDR im Vergleich beschrieben.
Phase 2: Eindämmen
Drei Fragen der Liste gehören zusammen und müssen schnell gehen:
- Wurden betroffene Systeme vom Netzwerk getrennt? Wurden Internetverbindungen zu diesen Systemen gekappt, unautorisierte Zugriffe unterbunden?
- Wurden Backups gestoppt und vor weiteren Einwirkungen geschützt? Der am häufigsten unterschätzte Punkt der ganzen Liste. Ein laufender Backup-Job schreibt die Verschlüsselung brav in die Sicherung – und vernichtet damit genau das, worauf später die Wiederherstellung beruht.
- Standen die zeitkritischen Geschäftsprozesse im Fokus? Nicht jedes System ist gleich wichtig. Ohne vorab definierte Prioritätenliste entscheidet im Ernstfall das Bauchgefühl.
Ein wichtiger Zusatz, der in der Praxis dauernd falsch läuft: Trennen heißt nicht herunterfahren. Wer ein betroffenes System ausschaltet, verliert den Arbeitsspeicher – und damit oft die aussagekräftigsten Spuren. Netzwerk trennen, System anlassen. Der Reflex „einmal neu starten“ ist im Sicherheitsvorfall der teuerste Satz überhaupt. Wie weit ein segmentiertes Netz hier hilft, zeigt der Beitrag Next-Generation-Firewall.
Phase 3: Cyberangriff melden und Beweise sichern
Jetzt wird es für KMU unangenehm, denn hier verlangt die Liste Fähigkeiten, die selten im Haus sind.
Wurden System-Protokolle, Log-Dateien, Notizen, Fotos von Bildschirminhalten, Datenträger und andere digitale Informationen forensisch gesichert? „Forensisch“ ist dabei kein Beiwort, sondern eine Anforderung: Beweise müssen so erhoben werden, dass sie vor Gericht und gegenüber der Versicherung Bestand haben. Das Foto vom Bildschirm mit dem Erpresserschreiben ist dabei ausdrücklich genannt und kostet zehn Sekunden – die revisionssichere Sicherung der Logs eines kompromittierten Domänencontrollers nicht.
Haben Sie kontinuierlich Ihre Maßnahmen abgestimmt, dokumentiert und an alle relevanten Personen kommuniziert? Das klingt nach Bürokratie, ist aber die Grundlage dafür, dass später rekonstruierbar bleibt, wer wann was entschieden hat. Ohne diese Dokumentation wird jede Diskussion mit Versicherer, Behörde oder Kunde zur Aussage gegen Aussage.
Wurden nach Abstimmung die Polizei oder relevante Behörden benachrichtigt? Je nach Lage greifen hier Datenschutz-Meldepflichten und branchenspezifische Fristen. Wichtig zu verstehen: Eine Meldung muss nicht vollständig sein, um fristgerecht zu sein. Melden, dass etwas passiert ist – die Details folgen. Wer wartet, bis das Bild sauber ist, verpasst die Frist. Für Hersteller digitaler Produkte kommen die Meldepflichten aus dem Cyber Resilience Act dazu, siehe CRA-Meldepflicht.
Phase 4: Wiederherstellen und nachsorgen
Die letzten vier Fragen entscheiden darüber, ob der Vorfall wirklich vorbei ist:
- Wurden die ausgenutzten Schwachstellen in Systemen oder Geschäftsprozessen adressiert und behoben? Nicht nur technisch – die Liste nennt ausdrücklich auch Prozesse. Wenn die Überweisung nur deshalb rausging, weil niemand zurückrufen musste, ist das keine Softwarelücke.
- Wurden Zugangsberechtigungen und Authentisierungsmethoden für betroffene Accounts überprüft – neue Passwörter, 2FA? Die Liste erwähnt bewusst auch private Accounts, sofern sie betroffen sind.
- Wird das Netzwerk nach dem Vorfall weiter überwacht, um erneute Anomalien festzustellen? Das ist der Punkt, den praktisch kein KMU allein erfüllt. „Weiter überwachen“ heißt Wochen, nicht Tage – und es heißt, dass jemand hinschaut.
- Wurden die betroffenen Daten und Systeme wiederhergestellt oder neu aufgebaut? Bei Browser-Erweiterungen oder Adware genügt Bereinigen. Bei einem Trojaner oder einer Kompromittierung im System gilt: neu aufbauen.
Was Sie selbst schaffen – und was nicht
Ehrlich sortiert sieht die Liste so aus:
- Mit eigener IT machbar: erste Bewertung, Bildschirmfotos, Netztrennung einzelner Geräte, Dokumentation, Passwörter und 2FA zurücksetzen, Wiederaufbau nach Plan.
- Realistisch nur mit Unterstützung: vollständige Ausbreitungsanalyse, forensisch belastbare Beweissicherung, Netzüberwachung über Wochen, Einschätzung der Meldepflicht unter Zeitdruck.
Das ist keine Schwäche eines Unternehmens, sondern eine Frage der Verfügbarkeit: Diese Punkte brauchen Leute, die nachts erreichbar sind, und Werkzeuge, die vorher schon liefen. Wer beides erst im Ernstfall besorgt, hat die Fragen der Liste faktisch schon mit Nein beantwortet.
Häufige Fragen (FAQ)
Sind die TOP 12 eine Pflicht? Nein. Es ist eine Hilfestellung, ausdrücklich nicht abschließend, und die Priorität der Punkte ist individuell festzulegen. Meldepflichten ergeben sich nicht aus dieser Liste, sondern aus Datenschutzrecht und branchenspezifischer Regulierung.
Das Dokument ist von 2019 – ist es noch aktuell? Die Logik ja, der Detailgrad nur bedingt. Das BSI hat später umfangreichere Papiere veröffentlicht, unter anderem zur Ersten Hilfe bei schweren Sicherheitsvorfällen und speziell zu Ransomware. Als Einstiegsraster bleibt die Liste brauchbar, gerade weil sie kurz ist.
Sollen wir das betroffene System ausschalten? Nein. Vom Netzwerk trennen, aber anlassen. Herunterfahren vernichtet Spuren im Arbeitsspeicher und kann Schadcode erneut auslösen.
Wie schnell müssen wir melden? Das hängt vom Fall ab, aber die Faustregel lautet: lieber unvollständig und fristgerecht als vollständig und zu spät. Die Erstmeldung darf dünn sein.
Fazit
Die TOP 12 des BSI sind keine Checkliste zum Abhaken, sondern ein Spiegel: Sie zeigen, welche Fähigkeiten im Ernstfall vorhanden sein müssen. Vier davon – Ausbreitungsanalyse, forensische Sicherung, Dauerüberwachung und Meldeeinschätzung – entstehen nicht während eines Angriffs, sondern davor – welche Vorarbeit das konkret ist, steht in Schutz vor Cyberangriffen. Genau diese Punkte decken wir als Managed Security Service ab: Erkennung rund um die Uhr, Isolierung in Minuten, saubere Beweislage und eine Stimme am Telefon, die weiß, was als Nächstes kommt. Für den akuten Ernstfall gibt es unsere IT-Notfallhilfe und die Notfallnummer +49 5362 975 28 66.
Unsicher, welche der zwölf Fragen Sie heute mit Ja beantworten könnten? Kostenloses Erstgespräch – wir gehen die Liste mit Ihnen durch. Im akuten Notfall: +49 5362 975 28 66.