Ransomware im KMU: Was im Ernstfall in den ersten 24 Stunden zu tun ist

Wenn Dateien plötzlich nicht mehr öffnen

Ein Server verhält sich ungewöhnlich, Dateien lassen sich nicht öffnen oder eine Lösegeldforderung erscheint. In diesen ersten Minuten ist Aktionismus gefährlich. Die ersten 24 Stunden entscheiden nicht darüber, ob der Vorfall einfach wird, aber darüber, ob wichtige Optionen erhalten bleiben: Ausbreitung stoppen, Beweise sichern, Auswirkungen verstehen und Wiederherstellung kontrolliert vorbereiten.

In einem kleinen Betrieb trifft ein Vorfall oft Personen mit mehreren Rollen: Die Geschäftsleitung entscheidet über Kundenkommunikation, eine Fachperson kennt die Daten und ein externer Partner betreut die Systeme. Gerade dann hilft ein vorher vereinbarter Ablauf. Er nimmt niemandem die Verantwortung ab, verhindert aber, dass gleichzeitig widersprüchliche Massnahmen getroffen werden.

Zuerst isolieren und koordinieren

Trennen Sie verdächtige Geräte und Systeme vom Netzwerk, beispielsweise durch Entfernen des Netzwerkkabels oder Deaktivieren von WLAN. Schalten Sie Systeme nicht vorschnell aus, sofern keine unmittelbare Sicherheitsgefahr besteht; flüchtige Informationen können für die Analyse wichtig sein. Die konkrete Massnahme muss zur Umgebung passen. Ein definierter Kontakt zum betreuenden Partner oder zur IT-Security ist deshalb zentral.

Für die erste Reaktion braucht es keine lange Anleitung, sondern einen klaren Rahmen:

• betroffene Systeme isolieren
• zuständige Personen unverzüglich informieren
• Beobachtungen und getroffene Massnahmen festhalten

Unkoordinierte Einzelaktionen können die Untersuchung erschweren. Informieren Sie die vorab bestimmten Verantwortlichen; sie koordinieren technische Entscheide, Geschäftsleitung, Kommunikation und bei Bedarf externe Spezialisten. Ein Ausdruck mit Kontaktangaben und Entscheidungsrollen ist im Ernstfall oft hilfreicher als ein Notfallplan, der nur auf einem nicht erreichbaren Laufwerk liegt.

Beobachtungen festhalten, bevor Annahmen entstehen

Notieren Sie Zeitpunkte, betroffene Geräte, sichtbare Meldungen, verwendete Konten und bereits getroffene Massnahmen. Screenshots oder Lösegeldnotizen können für die Analyse sowie für Versicherungs- oder Rechtsfragen relevant sein. Unterscheiden Sie klar zwischen nachweislich betroffen, nicht erreichbar und noch ungeklärt.

Konten, Fernzugriffe und auffällige Anmeldungen sollten von einem vertrauenswürdigen Gerät aus und abgestimmt mit der Analyse geprüft werden. IT Security und Überwachung schafft mit getrennten Admin-Konten, nachvollziehbaren Zugängen und Protokollierung eine wichtige Grundlage. Kommunizieren Sie intern nur, was gesichert ist, und geben Sie einen nächsten Zeitpunkt für ein Update an. Das schafft mehr Vertrauen als Spekulationen.

Wiederherstellung erst nach Prüfung beginnen

Eine Lösegeldzahlung ist keine Wiederherstellungsstrategie: Sie garantiert weder einen funktionierenden Schlüssel noch die Löschung möglicher Datenkopien. Prüfen Sie Sicherungen getrennt vom betroffenen Umfeld auf Lesbarkeit und Wiederherstellbarkeit. Beginnen Sie mit Abhängigkeiten wie Identität, Netzwerk und zentralen Diensten, nicht mit der lautesten Fehlermeldung. Die Backup-3-2-1-1-0-Regel und RTO und RPO helfen bei Schutz und Priorisierung.

Datenschutz- und Meldepflichten müssen im Einzelfall fachlich beurteilt werden; ziehen Sie je nach Lage zuständige Stellen, Versicherung oder Rechtsberatung bei. Für KMU und Dienstleister muss ein Notfallplan nicht lang sein. Er muss unter Druck funktionieren: isolieren, dokumentieren, koordinieren, prüfen und kontrolliert wiederherstellen.