Probleme · Sicherheit, Backup & Datenschutz
Ransomware im KMU: Was tun in den ersten 24 Stunden?
Kurz gesagt
In den ersten 24 Stunden nach einem Ransomware-Angriff isolierst du betroffene Systeme vom Netz, informierst die vorher bestimmten Verantwortlichen und hältst Beobachtungen fest. Schalte Geräte nicht vorschnell aus und handle nicht auf eigene Faust. Wiederhergestellt wird erst nach Prüfung der Sicherungen, beginnend bei Identität, Netzwerk und zentralen Diensten.
Für wen das gilt
Für KMU, in denen ein Server sich ungewöhnlich verhält, Dateien sich nicht mehr öffnen lassen oder eine Lösegeldforderung erscheint, und für alle, die sich vorher auf diesen Fall vorbereiten wollen. Das Thema gehört zum Zeitdieb Sicherheit, Backup & Datenschutz.
Die ersten 24 Stunden machen den Vorfall nicht einfach. Sie entscheiden aber, ob wichtige Optionen erhalten bleiben: Ausbreitung stoppen, Beweise sichern, Auswirkungen verstehen, Wiederherstellung kontrolliert vorbereiten.
Auf einen Blick: die ersten 24 Stunden
| Schritt | Was | Was nicht |
|---|---|---|
| 1. Isolieren | betroffene Geräte vom Netz trennen (Kabel ziehen, WLAN aus) | Geräte vorschnell ausschalten |
| 2. Informieren | vorher bestimmte Verantwortliche und betreuenden Partner | unkoordinierte Einzelaktionen |
| 3. Festhalten | Zeitpunkte, Geräte, Meldungen, Konten, Massnahmen, Screenshots | Annahmen als Fakten weitergeben |
| 4. Prüfen | Konten, Fernzugriffe, auffällige Anmeldungen von einem vertrauenswürdigen Gerät aus | auf betroffenen Geräten weiterarbeiten |
| 5. Wiederherstellen | Sicherungen getrennt prüfen, mit Identität, Netzwerk und zentralen Diensten beginnen | mit der lautesten Fehlermeldung anfangen |
Aus der Praxis
In einem kleinen Betrieb trifft ein Vorfall oft Personen mit mehreren Rollen: Die Geschäftsleitung entscheidet über Kundenkommunikation, eine Fachperson kennt die Daten, ein externer Partner betreut die Systeme. Gerade dann hilft ein vorher vereinbarter Ablauf. Er nimmt niemandem die Verantwortung ab, verhindert aber widersprüchliche Massnahmen.
Ein ausgedrucktes Blatt mit Kontaktangaben und Entscheidungsrollen hilft im Ernstfall oft mehr als ein Notfallplan auf einem Laufwerk, das gerade nicht erreichbar ist.
Intern kommunizierst du nur, was gesichert ist, und nennst den Zeitpunkt für das nächste Update. Das schafft mehr Vertrauen als Spekulationen.
Ehrlich gesagt
Ein Notfallplan muss nicht lang sein. Er muss unter Druck funktionieren: isolieren, dokumentieren, koordinieren, prüfen, kontrolliert wiederherstellen. Ob er das tut, weisst du erst, wenn Sicherungen und Ablauf vorher geprüft wurden. Getrennte Admin-Konten, nachvollziehbare Zugänge und Protokollierung sind die Grundlage, auf der eine Analyse überhaupt möglich wird.
So gehst du vor (vorher)
- Verantwortliche und Entscheidungsrollen festlegen und ausgedruckt bereithalten.
- Kontakt zum betreuenden Partner oder zur IT-Security definieren.
- Wiederherstellungsziele festlegen: Was muss zuerst wieder laufen, und wie viel Datenverlust ist tragbar? Siehe Wie lange darf unsere IT ausfallen?.
- Sicherungen regelmässig auf Lesbarkeit und Wiederherstellbarkeit prüfen, getrennt vom produktiven Umfeld. Für Microsoft 365 siehe Microsoft-365-Backup: Wie teste ich die Wiederherstellung?.
- Mitarbeitende schulen, verdächtige Nachrichten zu melden: Wie erkenne ich Phishing und reagiere richtig?.
Die Preise für Sicherheit und Backup findest du auf der Preisseite.
Häufige Fragen
Soll ich betroffene Geräte ausschalten?
Nicht vorschnell, sofern keine unmittelbare Sicherheitsgefahr besteht. Flüchtige Informationen können für die Analyse wichtig sein. Trenne die Geräte stattdessen vom Netz, etwa durch Ziehen des Netzwerkkabels oder Ausschalten des WLAN, und stimme das weitere Vorgehen mit dem betreuenden Partner ab.
Sollen wir das Lösegeld zahlen?
Eine Zahlung ist keine Wiederherstellungsstrategie. Sie garantiert weder einen funktionierenden Schlüssel noch die Löschung möglicher Datenkopien.
Was muss ich dokumentieren?
Zeitpunkte, betroffene Geräte, sichtbare Meldungen, verwendete Konten und getroffene Massnahmen. Screenshots oder Lösegeldnotizen können für Analyse, Versicherung oder Rechtsfragen wichtig sein. Unterscheide zwischen nachweislich betroffen, nicht erreichbar und noch ungeklärt.
Müssen wir den Vorfall melden?
Datenschutz- und Meldepflichten müssen im Einzelfall fachlich beurteilt werden. Zieh je nach Lage zuständige Stellen, Versicherung oder Rechtsberatung bei.
