Es fängt selten dramatisch an. Eine Datei lässt sich nicht öffnen. Dann noch eine. Jemand ruft aus dem Lager an, dass die Etiketten nicht mehr drucken. Und irgendwann liegt auf dem Desktop eine Textdatei, die nicht von Ihnen ist. Ab diesem Moment zählt, was in den nächsten Stunden passiert – und ob jemand vorher darüber nachgedacht hat.
Der folgende Ablauf ist für ein Unternehmen ohne eigene IT-Abteilung gedacht. Er ersetzt keinen Notfallplan, den Sie mit Ihrem Dienstleister für Ihre Systeme geschrieben haben. Aber wenn Sie so einen Plan nicht haben, ist er besser als Panik.
Zum Ausdrucken: Notfallfahrplan als PDF – eine Seite zum Aufhängen, mit Feldern für Ihre eigenen Notfallnummern.
Die erste Stunde: Ausbreitung stoppen
Netzwerk trennen, Geräte nicht ausschalten
Ziehen Sie das Netzwerkkabel aus dem betroffenen Rechner, schalten Sie das WLAN ab, und wenn Sie nicht wissen, welche Geräte betroffen sind, trennen Sie das ganze Unternehmen vom Internet: Stecker am Router oder an der Firewall. Das klingt radikal. Es ist der einzelne Schritt, der am meisten rettet, weil Verschlüsselungstrojaner sich über das Netz ausbreiten und mit dem Angreifer draußen kommunizieren.
Schalten Sie die Rechner nicht aus und starten Sie nichts neu. Im Arbeitsspeicher liegen Spuren, die später zeigen, was passiert ist und wie weit es gekommen ist. Wer alles neu startet, löscht die Beweise, bevor jemand sie ansehen konnte.
Das Backup vom Netz nehmen – sofort
Wenn Ihre Sicherung auf einem NAS im Haus läuft oder auf einem Server erreichbar ist, trennen Sie das Gerät als Erstes. Ransomware sucht gezielt nach Backups und verschlüsselt sie zuerst, weil ein Unternehmen ohne Backup zahlt. Was nicht erreichbar ist, kann nicht verschlüsselt werden.
Anrufen, nicht mailen
Ihr IT-Dienstleister, mit Telefonnummer. Wenn Sie keinen haben, jemanden, der so etwas schon gesehen hat. Ihre E-Mail kann mitgelesen sein, also Telefon. Und sagen Sie im Betrieb Bescheid: Niemand meldet sich mehr irgendwo an, niemand öffnet Anhänge, niemand versucht, „schnell noch“ etwas zu retten.
Die ersten Stunden: Verstehen, was passiert ist
Was ist betroffen, was nicht?
Welche Rechner zeigen die Meldung? Ist der Server betroffen? Die Cloud? Die Buchhaltung? Machen Sie eine Liste, mit Handy-Fotos der Bildschirme. Das brauchen Sie später für die Versicherung und die Anzeige, und es hilft dem, der jetzt helfen soll.
Die Erpresserbotschaft fotografieren, nicht antworten
Sie enthält meist eine Kennung und eine Kontaktadresse. Beides ist wichtig für die Ermittlungsbehörden und für die Frage, welche Gruppe dahintersteckt. Antworten Sie nicht, verhandeln Sie nicht auf eigene Faust. Und zahlen Sie am ersten Tag auf keinen Fall.
Wurden Daten gestohlen?
Fast alle Ransomware-Gruppen kopieren die Daten vor dem Verschlüsseln und drohen mit Veröffentlichung. Das ändert alles an den Meldepflichten. Gehen Sie davon aus, dass es passiert ist, bis jemand das Gegenteil belegt.
Noch am ersten Tag: Melden und informieren
Hier hört unsere Zuständigkeit auf und die Ihres Anwalts oder Datenschutzbeauftragten beginnt. Was Sie wissen sollten, damit Sie die richtigen Fragen stellen:
Datenschutzbehörde. Wenn personenbezogene Daten betroffen sein könnten – und das sind sie fast immer, Kundendaten, Mitarbeiterdaten, Mails –, gilt eine Meldefrist von 72 Stunden. Die läuft ab dem Moment, in dem Sie den Vorfall bemerkt haben. Nicht ab dem Moment, in dem Sie ihn verstanden haben.
Versicherung. Wenn Sie eine Cyber-Versicherung haben, steht in den Bedingungen fast immer eine sofortige Meldepflicht. Viele Versicherer stellen dann selbst Spezialisten, die Ihnen helfen. Das ist der Moment, in dem sich die Police bezahlt macht – wenn Sie sie rechtzeitig aktivieren.
Polizei. Anzeige erstatten, bei der Zentralen Ansprechstelle Cybercrime Ihres Bundeslandes. Nicht, weil die den Fall lösen werden. Sondern weil die Versicherung sie braucht, und weil Ihre Kennung aus der Erpresserbotschaft anderen hilft.
Kunden und Partner. Wenn Ihre E-Mail betroffen ist, verschicken die Angreifer möglicherweise in Ihrem Namen weiter. Ein kurzer Anruf bei den wichtigsten Kunden, dass sie Mails von Ihnen gerade nicht öffnen sollen, ist unangenehm. Der Anruf, warum Ihr Kunde jetzt auch verschlüsselt ist, ist schlimmer.
Ab Tag zwei: Wiederherstellen, aber richtig
Jetzt entscheidet sich, ob Sie ein Backup hatten oder nur geglaubt haben, eines zu haben. Wenn eine saubere Sicherung existiert, die vor dem Vorfall liegt und nicht erreichbar war, ist die Wiederherstellung Arbeit, aber planbar. Wenn nicht, wird es die teuerste Woche in der Geschichte Ihres Unternehmens. Warum ein Cloud-Sync hier nicht hilft, steht in Backup ist kein Sync.
Ein Fehler, den wir immer wieder sehen: Rechner neu aufsetzen und weitermachen, ohne zu wissen, wie die Angreifer hineingekommen sind. Ein offener Fernzugang, ein altes Passwort, ein Rechner ohne Updates – wenn die Tür noch offen ist, kommen sie wieder. Erst die Ursache, dann der Neustart. Auch wenn jeder Tag Stillstand Geld kostet.
Was Sie heute tun können, damit dieser Text nur Lektüre bleibt
Alles oben wird einfacher, wenn drei Dinge vorher geklärt sind: Wen rufen Sie an, mit Nummer, und weiß derjenige das? Wo liegt das Backup, ist es vom Netz getrennt, und wann wurde es zuletzt getestet? Und wer im Unternehmen darf im Notfall entscheiden, wenn Sie gerade im Urlaub sind?
Diese drei Fragen sind Teil des 15-Punkte-Selbstchecks. Wenn Sie sie nicht sicher beantworten können, ist das kein Grund zur Panik, aber ein Grund, es diese Woche zu klären. Wir helfen dabei im Erstgespräch, und ehrlich gesagt lieber vorher als nachher.
Häufige Fragen
Sollen wir das Lösegeld zahlen?
Das ist Ihre Entscheidung, und wir würden sie nicht am ersten Tag treffen. Zahlen garantiert weder, dass Sie einen funktionierenden Schlüssel bekommen, noch, dass die gestohlenen Daten nicht trotzdem auftauchen. Wer ein getestetes Backup hat, stellt diese Frage in der Regel gar nicht.
Müssen wir den Vorfall melden?
Wahrscheinlich an mehr Stellen, als Sie denken: Wenn personenbezogene Daten betroffen sein könnten, an die Datenschutzbehörde, innerhalb von 72 Stunden. Dazu Versicherung, unter Umständen Kunden, bei NIS2-Betroffenheit das BSI, und die Polizei für die Anzeige. Was in Ihrem Fall gilt, klären Sie mit Anwalt oder Datenschutzbeauftragtem – aber am ersten Tag, nicht in der zweiten Woche.
Wie lange dauert es, bis wir wieder arbeiten können?
Mit einem funktionierenden, sauberen Backup: Tage. Ohne: Wochen, und manchmal gar nicht vollständig. Die Antwort steht also nicht in diesem Text, sondern in Ihrem Backup-Konzept – und zwar heute, nicht am Tag des Vorfalls.
Können wir die Rechner nicht einfach neu aufsetzen und weitermachen?
Neu aufsetzen ja, weitermachen erst, wenn klar ist, wie die Angreifer hineingekommen sind. Sonst stehen Sie in zwei Wochen wieder am Anfang, diesmal mit dem frisch eingerichteten System.
Was hilft am meisten, damit es gar nicht so weit kommt?
Ein Backup, das offline oder unveränderbar ist und regelmäßig getestet wird. Zwei-Faktor-Anmeldung überall. Updates, die nicht liegen bleiben. Und Mitarbeiter, die sich trauen, bei einer verdächtigen Mail nachzufragen. Nichts davon ist teuer.