Bei einem Hackerangriff zuerst betroffene Geräte vom Netzwerk trennen, aber nicht ausschalten, Server und Backups schützen und sofort den IT-Dienstleister anrufen. In den ersten Stunden Polizei, gegebenenfalls Datenschutzbehörde (72 Stunden), BSI bei NIS-2-Pflicht und Cyberversicherung informieren. Danach Einfallstor schließen, Systeme sauber neu aufsetzen und aus einem geprüften Backup wiederherstellen.
Die ersten Minuten: Schaden begrenzen
- Netzwerk trennen: Betroffene Rechner vom Netzwerk nehmen, Kabel ziehen, WLAN aus. Nicht einfach ausschalten, denn der Arbeitsspeicher kann Spuren für die Analyse enthalten.
- Ausbreitung stoppen: Bei einem Verschlüsselungstrojaner auch Server und Backup-Speicher vom Netz trennen, damit die Sicherungen nicht mit verschlüsselt werden.
- IT-Dienstleister anrufen: sofort, nicht erst am nächsten Morgen.
- Nichts löschen und nichts neu installieren, bevor der Vorfall dokumentiert ist.
Die ersten Stunden: informieren
- Polizei: Jedes Landeskriminalamt hat eine Zentrale Ansprechstelle Cybercrime für Unternehmen. Eine Anzeige ist wichtig, auch für Versicherung und Nachweise.
- Datenschutzbehörde: Sind personenbezogene Daten betroffen, muss die Verletzung in der Regel innerhalb von 72 Stunden gemeldet werden.
- BSI: Unternehmen, die unter NIS-2 fallen, müssen erhebliche Vorfälle innerhalb von 24 Stunden erstmals melden. Mehr dazu im NIS-2-Ratgeber.
- Cyberversicherung: Falls vorhanden, sofort informieren. Viele Versicherungen stellen eigene Krisenteams.
- Mitarbeiter und gegebenenfalls Kunden: sachlich und rechtzeitig, vor allem wenn Ihr Postfach für Betrugsmails missbraucht wurde.
Behörden raten davon ab. Eine Zahlung garantiert weder die Entschlüsselung noch dass Daten nicht trotzdem veröffentlicht werden, und sie finanziert weitere Angriffe. Die beste Verhandlungsposition ist ein funktionierendes Backup.
Die nächsten Tage: wiederherstellen
- Einfallstor finden und schließen, etwa ein gestohlenes Passwort oder eine ungepatchte Firewall.
- Systeme sauber neu aufsetzen, statt nur Schadsoftware zu entfernen.
- Daten aus einem geprüften, sauberen Backup zurückspielen.
- Alle Passwörter ändern und Zwei-Faktor-Anmeldung überall aktivieren.
- Den Vorfall dokumentieren: Zeitpunkt, Maßnahmen, Meldungen.
IT-Notfallplan erstellen: was auf die eine Seite gehört
Im Ernstfall hat niemand Zeit, ein Handbuch zu lesen. Ein guter Notfallplan passt auf eine Seite, hängt ausgedruckt im Büro und enthält: die Nummer Ihres IT-Dienstleisters, die ersten drei Handgriffe, wer im Unternehmen entscheidet, die Kontakte von Polizei, Datenschutzbehörde und Versicherung sowie den Ort der Zugangsdaten für Backup und Firewall.
- Wer ist im Notfall zuständig und wer entscheidet?
- Telefonnummer Ihres IT-Dienstleisters, auch privat oder mobil
- Die ersten drei Handgriffe: Netzwerk trennen, IT anrufen, nichts löschen
- Kontakte: Polizei (Zentrale Ansprechstelle Cybercrime), Datenschutzbehörde, Cyberversicherung, Bank
- Wo liegen die Zugangsdaten für Backup, Firewall und Microsoft 365?
- Welche Systeme werden zuerst wiederhergestellt?
- Vorlage für die Info an Mitarbeiter und Kunden
Fazit
Ein Angriff ist schlimm, aber beherrschbar, wenn Backup, Notfallplan und ein erreichbarer IT-Partner vorhanden sind. Fehlt eines davon, ist jetzt der beste Zeitpunkt, es zu ändern. Unser Sicherheits-Check zeigt, wo Sie stehen.
