Freitagabend, 19:40 Uhr. Auf den Bildschirmen der Buchhaltung erscheint eine Lösegeldforderung, der Dateiserver ist nicht mehr erreichbar, das Telefon der IT klingelt durch. Was in den folgenden Stunden passiert, entscheidet darüber, ob das Unternehmen am Montag wieder arbeitet oder drei Wochen stillsteht. Ein Notfallplan muss dafür nicht hundert Seiten haben. Er muss existieren, bekannt sein und in der Schublade liegen, die man auch ohne funktionierende IT öffnen kann.
Die ersten 60 Minuten: Eindämmen
- Betroffene Systeme vom Netzwerk trennen – Netzwerkkabel ziehen, WLAN deaktivieren. Aber: nicht ausschalten. Im Arbeitsspeicher liegen Spuren, die für die Analyse und manchmal für die Entschlüsselung entscheidend sind.
- Verbindungen kappen: VPN-Zugänge, Standortkopplungen und Cloud-Synchronisation pausieren, damit sich die Schadsoftware nicht weiter ausbreitet.
- Zugänge sperren: Passwörter der Administrator- und Dienstkonten ändern, verdächtige Konten deaktivieren, Sitzungen in Microsoft 365 beenden.
- Backups schützen: Backup-Systeme sofort vom Netz nehmen, bevor sie ebenfalls verschlüsselt werden. Viele Angreifer suchen zuerst die Backups.
- Nichts löschen, nichts neu installieren. Der Reflex, „einfach neu aufzusetzen“, vernichtet Beweise und lässt die Ursache im Dunkeln.
Die ersten 4 Stunden: Organisieren
Ein Vorfall ist keine IT-Störung, sondern eine Unternehmenskrise. Der Plan legt fest, wer den Krisenstab leitet (in der Regel die Geschäftsführung), wer die Technik koordiniert, wer intern und extern kommuniziert und wer dokumentiert. Alles wird mit Uhrzeit protokolliert – auf Papier oder auf einem sauberen Gerät.
Jetzt werden externe Partner eingebunden: der Incident-Response-Dienstleister, die Cyber-Versicherung (viele Policen verlangen eine Meldung innerhalb weniger Stunden), gegebenenfalls Rechtsbeistand. Kontaktdaten gehören ausgedruckt in den Plan – im Ernstfall ist das Adressbuch auf dem Server nicht erreichbar.
Die ersten 24 Stunden: Verstehen und melden
Die forensische Analyse klärt drei Fragen: Wie kam der Angreifer hinein, welche Systeme und Daten sind betroffen, und ist der Angreifer noch aktiv? Erst mit diesen Antworten lässt sich eine Wiederherstellung planen, die nicht in der Wiederholung des Angriffs endet.
Parallel laufen die Meldepflichten. Sind personenbezogene Daten betroffen, muss die Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden informiert werden (Art. 33 DSGVO). NIS2-Einrichtungen melden erhebliche Vorfälle innerhalb von 24 Stunden an das BSI. Eine Strafanzeige bei der Zentralen Ansprechstelle Cybercrime der Landeskriminalämter ist sinnvoll und oft Voraussetzung für die Versicherung.
Die Frage nach dem Lösegeld
Wir raten in den allermeisten Fällen davon ab. Eine Zahlung garantiert weder funktionierende Entschlüsselung noch die Löschung gestohlener Daten, und sie finanziert den nächsten Angriff. Bevor diese Frage überhaupt gestellt wird, sollten geprüft sein: Gibt es intakte Backups? Existiert ein öffentliches Entschlüsselungswerkzeug (etwa über das Projekt No More Ransom)? Wie lange dauert eine saubere Wiederherstellung wirklich?
Was in den Plan gehört
| Abschnitt | Inhalt |
|---|---|
| Alarmierung | Wer meldet wem, welche Nummern gelten – auch nachts und am Wochenende |
| Rollen | Krisenleitung, Technik, Kommunikation, Dokumentation, Stellvertreter |
| Sofortmaßnahmen | Checkliste für die ersten 60 Minuten, verständlich für Nicht-Techniker |
| Kontakte | Dienstleister, Versicherung, Anwalt, Behörden, wichtige Kunden – ausgedruckt |
| Systeme | Welche Systeme sind kritisch, in welcher Reihenfolge werden sie wiederhergestellt |
| Kommunikation | Vorlagen für Mitarbeitende, Kunden, Lieferanten; wer spricht mit der Presse |
| Meldepflichten | Fristen und Formulare für DSGVO, NIS2, Versicherung, Polizei |
Üben, bevor es ernst wird
Ein Plan, der nur im Regal steht, versagt im Ernstfall. Eine zweistündige Planübung pro Jahr – „Es ist Freitagabend, der Dateiserver ist verschlüsselt, was tun wir?“ – deckt zuverlässig auf, welche Nummer veraltet ist, welche Rolle unbesetzt bleibt und ob die Backups tatsächlich zurückgespielt werden können. Wir moderieren solche Übungen, erstellen mit Ihnen den Plan und stehen mit einem Incident-Response-Vertrag bereit, wenn aus der Übung Ernst wird.