08:17 Uhr.
Eine Mitarbeiterin ruft in der IT an.
"Ich kann meine Dateien nicht mehr öffnen."
Wenige Minuten später melden sich weitere Kollegen.
Netzlaufwerke sind nicht erreichbar.
Auf mehreren Rechnern erscheint eine Nachricht:
Ihre Daten wurden verschlüsselt.
Jetzt zählt jede Minute.
Genau in dieser Situation befinden sich jeden Monat oder wahrscheinlich mittlerweile jeden Tag zahlreiche Unternehmen. Die eigentliche Verschlüsselung ist dabei oft nur der sichtbare Abschluss eines Angriffs, der lange zuvor begonnen hat. Angreifer verschaffen sich häufig bereits Wochen vorher Zugriff auf Systeme, bewegen sich unbemerkt im Netzwerk und schlagen erst dann zu, wenn sie möglichst großen Schaden anrichten können.
Was jetzt auf keinen Fall passieren darf
Viele Unternehmen handeln in den ersten Minuten aus Panik.
Typische Fehler sind:
- Rechner neu starten
- Systeme weiter benutzen
- Lösegeld vorschnell bezahlen
- Beweise vernichten
- keine Dokumentation führen
Diese Fehler können die Wiederherstellung erschweren und wichtige Spuren zerstören.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt stattdessen, strukturiert vorzugehen, Verantwortliche einzubinden und den Vorfall sauber zu dokumentieren.
Die ersten 24 Stunden: Ein Fahrplan
Stunde 1: Schaden eingrenzen
- Betroffene Geräte sofort vom Netzwerk trennen
- Keine USB-Sticks anschließen
- Keine externen Festplatten verbinden
- Keine spontanen “Reparaturversuche”
Ziel: Die weitere Ausbreitung verhindern.
Stunde 2: Krisenteam bilden
Jetzt geht es nicht mehr nur um IT.
Ein Cyberangriff betrifft:
- Geschäftsführung
- IT
- Datenschutz
- Kommunikation
- gegebenenfalls Rechtsberatung
Das BSI empfiehlt, Rollen und Zuständigkeiten früh festzulegen und einen Krisenstab zu organisieren.
Stunde 3-6: Lage analysieren
Jetzt müssen zentrale Fragen beantwortet werden:
- Welche Systeme sind betroffen?
- Sind Backups erreichbar?
- Wurden Daten exfiltriert?
- Läuft der Angriff noch?
- Welche Geschäftsprozesse stehen still?
Erst auf dieser Grundlage lassen sich fundierte Entscheidungen treffen.
Stunde 6-12: Kommunikation
Viele Unternehmen unterschätzen diesen Punkt.
Wer informiert:
- Mitarbeitende?
- Kunden?
- Lieferanten?
- Versicherer?
- Datenschutzbeauftragte?
Klare Kommunikation verhindert Gerüchte und schafft Vertrauen.
Stunde 12-24: Wiederherstellung vorbereiten
Erst wenn klar ist,
- welche Systeme sauber sind,
- welche Daten wiederhergestellt werden können,
- und der Angriff gestoppt wurde,
beginnt der eigentliche Wiederaufbau.
Sollte man das Lösegeld bezahlen?
Diese Frage wird fast immer gestellt.
Die Antwortet lautet:
In den meisten Fällen nein.
Denn:
- Es gibt keine Garantie, dass Daten entschlüsselt werden.
- Angreifer können trotz Zahlung Daten veröffentlichen.
- Unternehmen finanzieren damit weitere Straftaten.
Stattdessen sollten Wiederherstellung und Forensik im Mittelpunkt stehen.
Warum gute Backups allein nicht ausreichen
Viele Geschäftsführer sagen: “Wir haben doch Backups.”
Das ist gut. Aber entscheidend sind weitere Fragen:
- Wurden sie getestet?
- Sind sie gegen Manipulation geschützt?
- Sind sie vom Produktivsystem getrennt?
- Wie lange dauert ein Restore?
Passende weiterführende Links dazu:
Backup & Recovery Was kostet ein IT-Ausfall pro Stunde?
Wie sich Ransomware-Angriffe verhindern lassen
Die wirksamsten Maßnahmen sind keine einzelne Software, sondern ein Zusammenspiel aus Technik, Prozessen und Menschen.
Dazu gehören:
- Multi-Faktor-Authentifizierung
- konsequentes Patchmanagement
- Endpoint Detection & Response (EDR)
- regelmäßige Security-Awareness-Schulungen
- Netzwerksegmentierung
- getestete und möglichst unveränderbare (immutable) Backups
- ein dokumentierter Notfallplan
Das BSI beschreibt Ransomware ausdrücklich als Bedrohung, gegen die es keine einzelne Wunderlösung gibt. Entscheidend ist ein mehrschichtiger Sicherheitsansatz ("Defense in Depth").
FAQ
Wie erkenne ich einen Ransomware-Angriff?
Typische Anzeichen sind verschlüsselte Dateien, ungewöhnliche Dateiendungen, Erpressernachrichten oder plötzlich nicht mehr erreichbare Netzlaufwerke.
Kann Microsoft 365 betroffen sein?
Ja. Werden Benutzerkonten kompromittiert oder Daten verschlüsselt beziehungsweise gelöscht, können auch Cloud-Dienste betroffen sein. Zusätzliche Sicherheitsmaßnahmen und unabhängige Backups sind daher sinnvoll.
Wie lange dauert die Wiederherstellung?
Das hängt von der Vorbereitung ab. Unternehmen mit getesteten Wiederherstellungsprozessen sind meist deutlich schneller wieder arbeitsfähig als Unternehmen ohne Notfallplan.
Muss ein Cyberangriff gemeldet werden?
Je nach Art des Vorfalls und den betroffenen Daten können Meldepflichten bestehen, etwa nach der DSGVO oder aufgrund anderer regulatorischer Anforderungen. Das sollte frühzeitig geprüft werden.
Die wichtigste Frage lautet nicht, ob Ihr Unternehmen Ziel eines Cyberangriffs wird, sondern wie gut Sie darauf vorbereitet sind.
Mit dem IT-Quick-Check der Merkl IT erfahren Sie in ca. einer Minute, wie sicher Ihre aktuelle IT ist und ob Handlungsbedarf besteht.
Alternativ können Sie aber auch direkt eine kostenlose Erstberatung buchen:
