Ein Ransomware-Vorfall ist kein IT-Problem, sondern ein Betriebsproblem: Produktion steht, Rechnungen gehen nicht raus, Kunden erreichen niemanden. Wer den Ablauf vorher einmal durchdacht und geübt hat, verliert Stunden statt Wochen. Dieser Beitrag gibt den roten Faden – als Grundgerüst für Ihren eigenen Plan.
Wichtig: Ein Notfallplan ersetzt keine Prävention. Die Maßnahmen unten wirken nur, wenn Backups getestet, Kontaktlisten aktuell und Zuständigkeiten geklärt sind – vor dem Ernstfall.
Der Ablauf im Überblick
Wie ein Angriff typischerweise abläuft
Die meisten Vorfälle folgen einem ähnlichen Muster. Wer es kennt, erkennt die Warnzeichen früher:
- Einstieg. Häufige Wege sind eine Phishing-Mail, ein Fernzugang ohne Mehrfaktor-Anmeldung oder eine ungepatchte Lücke in einem erreichbaren System.
- Ausbreitung. Der Angreifer verschafft sich höhere Rechte, sucht Backups und Administratorkonten und bewegt sich durch das Netz.
- Datenabfluss. Oft werden vor der Verschlüsselung Daten kopiert, um zusätzlich mit ihrer Veröffentlichung zu drohen.
- Verschlüsselung. Zum Schluss wird verschlüsselt, häufig nachts oder am Wochenende, wenn niemand hinschaut.
Anzeichen, dass etwas nicht stimmt: Dateien mit ungewohnter Endung, eine Nachricht mit Lösegeldforderung, plötzlich nicht mehr öffenbare Dokumente, ungewöhnlich langsame Systeme oder Administratorkonten, die niemand angelegt hat. Bei jedem dieser Signale gilt: Nicht abwarten, sondern die Phase 1 unten sofort starten.
Phase 1 – Erkennen und eindämmen (erste Stunde)
- Nicht ausschalten, sondern trennen. Betroffene Geräte vom Netz nehmen (LAN-Kabel, WLAN aus), aber eingeschaltet lassen – flüchtige Spuren können für die Analyse wichtig sein.
- Ausbreitung stoppen. Freigaben trennen, betroffene Konten sperren, VPN-Zugänge und Fernwartung deaktivieren, wenn unklar ist, wie der Angreifer hereinkam.
- Backups schützen. Sicherungssysteme sofort isolieren, damit sie nicht mitverschlüsselt werden. Offline- und unveränderbare Kopien sind jetzt Gold wert.
- Notfallteam aktivieren. Nach vorbereiteter Liste: Geschäftsleitung, IT-Verantwortliche, IT-Dienstleister, ggf. externe Incident-Response.
Phase 2 – Bewerten und melden (erster Tag)
- Umfang feststellen. Welche Systeme, welche Daten, welche Standorte? Gibt es Hinweise auf Datenabfluss (nicht nur Verschlüsselung)?
- Rechtliche Meldungen prüfen. Bei personenbezogenen Daten die DSGVO-Meldefrist von 72 Stunden beachten. Für NIS2-Einrichtungen die 24-Stunden-Frühwarnung an das CSIRT. Bei Straftat: Anzeige bei der Polizei oder der Cybercrime-Meldestelle.
- Versicherung informieren. Eine Cyber-Versicherung hat oft eigene Hotlines und schreibt Vorgehensweisen vor – früh Kontakt aufnehmen.
- Kein vorschnelles Lösegeld. Zahlung ist keine Garantie für Entschlüsselung, finanziert Folgeangriffe und kann rechtlich heikel sein. Erst mit Fachleuten und Versicherung bewerten.
Phase 3 – Wiederherstellen (Tage bis Wochen)
- Saubere Umgebung aufbauen. Nicht in die kompromittierte Umgebung zurück – neu aufsetzen, härten, Passwörter und Schlüssel tauschen.
- Priorisiert wiederherstellen. Zuerst die Systeme, die den Betrieb tragen (ERP, Warenwirtschaft, E-Mail), dann der Rest.
- Einfallstor schließen. Ursache verstehen (Phishing, offene Fernwartung, ungepatchte Lücke) und beheben, sonst folgt der nächste Vorfall.
- Kommunikation. Mitarbeitende, Kunden und Partner sachlich informieren – abgestimmt, nicht panisch.
Wer im Notfallteam wofür zuständig ist
Im Ernstfall gibt es keine Zeit für Zuständigkeitsdebatten. Legen Sie die Rollen vorher fest und schreiben Sie sie zusammen mit den Telefonnummern auf:
| Rolle | Aufgabe | Beispiel |
|---|---|---|
| Entscheidung | Priorisieren, Freigaben, Budget, Kommunikation nach außen | Geschäftsführung |
| Technische Leitung | Eindämmen, Analysieren, Wiederherstellen | interne IT oder IT-Dienstleister |
| Datenschutz | Meldepflichten prüfen, Betroffene informieren | Datenschutzbeauftragte oder Geschäftsführung |
| Recht und Versicherung | Meldungen, Versicherungsfall, Anzeige | Rechtsberatung, Cyber-Versicherer |
| Kommunikation | Mitarbeitende, Kunden, Partner informieren | Geschäftsführung oder Assistenz |
Was Sie im Ernstfall nicht tun sollten
- Nicht auf betroffenen Geräten „aufräumen“. Löschen und Neuinstallieren vernichtet Spuren, die für Analyse und Versicherung wichtig sind.
- Nicht über kompromittierte Kanäle abstimmen. Wenn E-Mail oder Chat betroffen sein könnten, nutzen Sie Telefon oder ein separates Konto.
- Nicht allein mit dem Angreifer verhandeln. Das gehört in die Hand von Fachleuten und Versicherung.
- Nicht zu früh zurückspielen. Ein Backup in eine noch kompromittierte Umgebung einzuspielen, startet den Vorfall neu.
- Nicht schweigen. Mitarbeitende und Partner brauchen zeitnah eine ruhige, abgestimmte Information.
Checkliste: vorbereitet sein
| Bereich | Bereit? |
|---|---|
| Getestetes Backup nach dem 3-2-1-Prinzip, mit Offline-/Immutable-Kopie | □ |
| Wiederanlauf schon einmal geübt (nicht nur dokumentiert) | □ |
| Notfall-Kontaktliste (auch außerhalb der eigenen IT erreichbar, z. B. ausgedruckt) | □ |
| Zuständigkeiten und Entscheidungswege festgelegt | □ |
| Vertrag mit IT-Dienstleister / Incident-Response inkl. Reaktionszeit | □ |
| MFA überall, Fernwartung abgesichert, Systeme aktuell | □ |
| Cyber-Versicherung inkl. bekannter Melde- und Ablaufvorgaben | □ |
Backup richtig: von 3-2-1 zu 3-2-1-1-0
Backup ist die wichtigste Versicherung gegen Ransomware, aber nur, wenn es selbst geschützt ist. Die erweiterte Regel beschreibt, worauf es ankommt:
| Regel | Bedeutung | Warum es hilft |
|---|---|---|
| 3 | drei Kopien der Daten | fällt eine aus, bleiben zwei |
| 2 | zwei verschiedene Speichermedien oder -systeme | ein Fehler betrifft nicht alles |
| 1 | eine Kopie an einem anderen Ort | schützt vor Brand, Diebstahl und Wasserschaden |
| 1 | eine Kopie offline oder unveränderbar | Ransomware kann sie nicht verschlüsseln oder löschen |
| 0 | null Fehler beim Wiederherstellungstest | ein Backup gilt erst, wenn es zurückgespielt wurde |
Wiederanlauf-Übung in vier Stunden
Eine Übung muss nicht aufwendig sein. Ein halber Tag genügt, um die größten Lücken zu finden:
- Szenario festlegen. Zum Beispiel: Der Dateiserver ist verschlüsselt, das ERP ist nicht erreichbar.
- Ablauf durchspielen. Wer wird informiert, wer entscheidet, wer stellt wieder her? Ausgedruckte Kontaktliste verwenden.
- Ein System wirklich zurückspielen. Zeit messen: Wie lange dauert es tatsächlich, bis der Betrieb wieder läuft?
- Lücken festhalten. Fehlende Zugangsdaten, unklare Zuständigkeiten, veraltete Dokumentation, und diese Punkte in den Plan einarbeiten.
Was Stillstand kostet: eine einfache Rechnung
Wer einen Notfallplan begründen muss, braucht eine Zahl. Sie lässt sich mit einer einfachen Rechnung schätzen: Jahresumsatz geteilt durch Arbeitstage ergibt den Umsatz pro Tag. Multipliziert mit dem Anteil, der bei einem Ausfall wegbricht, ergibt sich der Verlust pro Ausfalltag. Personalkosten laufen zusätzlich weiter.
| Beispiel (fiktiv) | Wert |
|---|---|
| Jahresumsatz | 4 Mio. € |
| Arbeitstage pro Jahr | 250 |
| Umsatz pro Arbeitstag | 16.000 € |
| Anteil, der bei einem IT-Ausfall wegbricht | 50 % |
| Verlust pro Ausfalltag (ohne Personalkosten) | 8.000 € |
| Bei fünf Tagen Stillstand | 40.000 € |
Mit diesen Zahlen sehen Sie, wie schnell sich ein getestetes Backup und ein geübter Notfallplan rechnen. Die Werte für Ihren Betrieb setzen Sie einfach selbst ein.
Häufige Fragen
Wie oft sollte man den Wiederanlauf testen?
Mindestens einmal jährlich vollständig, kritische Systeme häufiger. Ein Backup, das noch nie zurückgespielt wurde, ist eine Annahme, keine Sicherung.
Reicht ein Cloud-Backup von Microsoft 365?
Die eingebauten Aufbewahrungsfunktionen sind kein Backup im eigentlichen Sinn. Für Ransomware-Resilienz braucht es eine separate, unveränderbare Sicherung.
Sind wir als kleiner Betrieb überhaupt ein Ziel?
Ja. Die meisten Angriffe sind automatisiert und suchen das leichteste Ziel, nicht das größte. Firmengröße schützt nicht.
Wie schnell muss ich einen Vorfall melden?
Bei personenbezogenen Daten gilt die DSGVO-Meldefrist von 72 Stunden. Für Einrichtungen unter NIS2 kommt eine Frühwarnung innerhalb von 24 Stunden dazu. Klären Sie im Notfallplan vorab, wer diese Meldungen vorbereitet. Mehr zur Einstufung im NIS2-Selbsttest.
Woran erkenne ich, dass wir betroffen sind?
Typische Signale sind Dateien mit ungewohnter Endung, nicht mehr öffenbare Dokumente, eine Lösegeldforderung, sehr langsame Systeme oder unbekannte Administratorkonten. Bei jedem dieser Signale gilt: Geräte vom Netz trennen und das Notfallteam informieren.
Ist Microsoft 365 auch von Ransomware betroffen?
Ja, vor allem über gestohlene Konten. Auch Dateien in OneDrive und SharePoint können verschlüsselt werden, wenn sie synchronisiert sind. Versionierung hilft bei der Wiederherstellung, ein separates, unveränderbares Backup ist aber die sicherere Grundlage.
Wen rufe ich als Erstes an?
Die Person, die im Notfallplan als technische Leitung steht: interne IT oder Ihren IT-Dienstleister. Danach die Geschäftsführung und die Versicherung. Deshalb muss die Kontaktliste vorher stehen und auch ohne Firmen-IT lesbar sein, zum Beispiel ausgedruckt.
Sollen wir Lösegeld zahlen?
Das sollten Sie nie allein entscheiden. Zahlung garantiert keine Entschlüsselung, finanziert Folgeangriffe und kann rechtlich heikel sein. Bewerten Sie diese Frage mit Fachleuten und Ihrer Versicherung.
Dieser Beitrag ist ein Grundgerüst und keine Rechtsberatung. Melde- und Anzeigepflichten prüfen Sie im konkreten Fall mit rechtlicher Begleitung.
Notfallplan & Wiederanlauf-Test
Wir erstellen mit Ihnen einen konkreten Notfallplan, richten ein resilientes Backup ein und üben den Wiederanlauf, bevor es ernst wird.
Security-Check starten