Ein Ransomware-Vorfall ist kein IT-Problem, sondern ein Betriebsproblem: Produktion steht, Rechnungen gehen nicht raus, Kunden erreichen niemanden. Wer den Ablauf vorher einmal durchdacht und geübt hat, verliert Stunden statt Wochen. Dieser Beitrag gibt den roten Faden – als Grundgerüst für Ihren eigenen Plan.
Wichtig: Ein Notfallplan ersetzt keine Prävention. Die Maßnahmen unten wirken nur, wenn Backups getestet, Kontaktlisten aktuell und Zuständigkeiten geklärt sind – vor dem Ernstfall.
Phase 1 – Erkennen und eindämmen (erste Stunde)
- Nicht ausschalten, sondern trennen. Betroffene Geräte vom Netz nehmen (LAN-Kabel, WLAN aus), aber eingeschaltet lassen – flüchtige Spuren können für die Analyse wichtig sein.
- Ausbreitung stoppen. Freigaben trennen, betroffene Konten sperren, VPN-Zugänge und Fernwartung deaktivieren, wenn unklar ist, wie der Angreifer hereinkam.
- Backups schützen. Sicherungssysteme sofort isolieren, damit sie nicht mitverschlüsselt werden. Offline- und unveränderbare Kopien sind jetzt Gold wert.
- Notfallteam aktivieren. Nach vorbereiteter Liste: Geschäftsleitung, IT-Verantwortliche, IT-Dienstleister, ggf. externe Incident-Response.
Phase 2 – Bewerten und melden (erster Tag)
- Umfang feststellen. Welche Systeme, welche Daten, welche Standorte? Gibt es Hinweise auf Datenabfluss (nicht nur Verschlüsselung)?
- Rechtliche Meldungen prüfen. Bei personenbezogenen Daten die DSGVO-Meldefrist von 72 Stunden beachten. Für NIS2-Einrichtungen die 24-Stunden-Frühwarnung an das CSIRT. Bei Straftat: Anzeige bei der Polizei / dem Cybercrime-Meldestelle.
- Versicherung informieren. Eine Cyber-Versicherung hat oft eigene Hotlines und schreibt Vorgehensweisen vor – früh Kontakt aufnehmen.
- Kein vorschnelles Lösegeld. Zahlung ist keine Garantie für Entschlüsselung, finanziert Folgeangriffe und kann rechtlich heikel sein. Erst mit Fachleuten und Versicherung bewerten.
Phase 3 – Wiederherstellen (Tage bis Wochen)
- Saubere Umgebung aufbauen. Nicht in die kompromittierte Umgebung zurück – neu aufsetzen, härten, Passwörter und Schlüssel tauschen.
- Priorisiert wiederherstellen. Zuerst die Systeme, die den Betrieb tragen (ERP, Warenwirtschaft, E-Mail), dann der Rest.
- Einfallstor schließen. Ursache verstehen (Phishing, offene Fernwartung, ungepatchte Lücke) und beheben, sonst folgt der nächste Vorfall.
- Kommunikation. Mitarbeitende, Kunden und Partner sachlich informieren – abgestimmt, nicht panisch.
Checkliste: vorbereitet sein
| Bereich | Bereit? |
|---|---|
| Getestetes Backup nach dem 3-2-1-Prinzip, mit Offline-/Immutable-Kopie | □ |
| Wiederanlauf schon einmal geübt (nicht nur dokumentiert) | □ |
| Notfall-Kontaktliste (auch außerhalb der eigenen IT erreichbar, z. B. ausgedruckt) | □ |
| Zuständigkeiten und Entscheidungswege festgelegt | □ |
| Vertrag mit IT-Dienstleister / Incident-Response inkl. Reaktionszeit | □ |
| MFA überall, Fernwartung abgesichert, Systeme aktuell | □ |
| Cyber-Versicherung inkl. bekannter Melde- und Ablaufvorgaben | □ |
Häufige Fragen
Wie oft sollte man den Wiederanlauf testen?
Mindestens einmal jährlich vollständig, kritische Systeme häufiger. Ein Backup, das noch nie zurückgespielt wurde, ist eine Annahme, keine Sicherung.
Reicht ein Cloud-Backup von Microsoft 365?
Die eingebauten Aufbewahrungsfunktionen sind kein Backup im eigentlichen Sinn. Für Ransomware-Resilienz braucht es eine separate, unveränderbare Sicherung.
Sind wir als kleiner Betrieb überhaupt ein Ziel?
Ja. Die meisten Angriffe sind automatisiert und suchen das leichteste Ziel, nicht das größte. Firmengröße schützt nicht.
Dieser Beitrag ist ein Grundgerüst und keine Rechtsberatung. Melde- und Anzeigepflichten prüfen Sie im konkreten Fall mit rechtlicher Begleitung.
Notfallplan & Wiederanlauf-Test
Wir erstellen mit Ihnen einen konkreten Notfallplan, richten ein resilientes Backup ein und üben den Wiederanlauf, bevor es ernst wird.
Security-Check starten