Ein Angriff fällt selten dramatisch auf. Häufiger meldet jemand, dass Dateien sich nicht mehr öffnen lassen, dass eine Kundin eine Rechnung mit fremder Kontonummer erhalten hat oder dass sich ein Mitarbeiter nicht mehr in sein Postfach einloggen kann. Was in den ersten Stunden passiert, entscheidet über den Umfang des Schadens und darüber, ob Versicherung und Aufsichtsbehörde später mitspielen.
Die ersten 60 Minuten
Ziel ist nicht Reparatur, sondern Eindämmung. Trennen Sie betroffene Geräte physisch vom Netzwerk, ziehen Sie das Netzwerkkabel oder schalten Sie WLAN und VPN ab. Nicht ausschalten: Ein laufendes System enthält Spuren, die nach dem Herunterfahren verloren sind. Löschen Sie nichts, auch keine verdächtigen Mails.
Legen Sie sofort fest, wer koordiniert. In kleinen Betrieben ist das meist die Geschäftsführung zusammen mit dem IT-Dienstleister. Eine zweite Person schreibt mit: Was wurde wann beobachtet, wer wurde wann informiert, welche Maßnahme lief um welche Uhrzeit. Dieses Protokoll ist später die Grundlage für Meldung, Versicherung und Aufarbeitung.
Was Sie auf keinen Fall tun sollten
- Geräte platt machen, bevor jemand die Ursache geklärt hat.
- Backups einspielen, solange nicht klar ist, ob der Zugang des Angreifers noch offen ist.
- Lösegeld zahlen, ohne dass Behörden und Versicherung eingebunden sind. Eine Zahlung garantiert weder Entschlüsselung noch Löschung abgeflossener Daten.
- Über die möglicherweise kompromittierten Mailkonten kommunizieren.
- Den Vorfall intern kleinreden. Halbwissen erzeugt Gerüchte und falsche Aussagen.
Zeitplan der ersten 48 Stunden
| Zeitfenster | Aufgabe |
|---|---|
| 0 bis 1 Stunde | Isolieren, Koordination festlegen, Protokoll starten, IT-Dienstleister rufen |
| 1 bis 4 Stunden | Passwörter zurücksetzen, Sitzungen beenden, Fernzugänge sperren, Backups vom Netz nehmen |
| 4 bis 12 Stunden | Betroffenheit eingrenzen, Logs sichern, Versicherung melden, Meldepflicht prüfen |
| 12 bis 48 Stunden | Anzeige erstatten, Kunden und Partner informieren, saubere Neuinstallation starten |
Meldepflichten und Ansprechpartner
Sind personenbezogene Daten betroffen, greift Artikel 33 DSGVO: Die Meldung an die zuständige Aufsichtsbehörde muss innerhalb von 72 Stunden nach Kenntnis der Verletzung erfolgen, sofern ein Risiko für die betroffenen Personen nicht ausgeschlossen werden kann. Die Frist läuft ab dem Moment, in dem Ihnen der Vorfall bekannt wird, nicht ab dem Abschluss der Analyse. Details dazu stehen im Artikel Datenpanne nach DSGVO.
Parallel: Strafanzeige bei der Zentralen Ansprechstelle Cybercrime der Polizei Ihres Bundeslandes. Das kostet wenig Zeit, ist Voraussetzung für viele Versicherungsleistungen und hilft bei der Beweislage. Melden Sie den Vorfall außerdem umgehend Ihrer Cyberversicherung, viele Policen verlangen die Meldung binnen 24 oder 48 Stunden und stellen selbst Krisenhilfe bereit.
Kommunikation nach außen
Halten Sie es sachlich und knapp: was passiert ist, was Sie tun, was der Empfänger tun soll. Wenn Rechnungen manipuliert wurden, warnen Sie aktiv vor Überweisungen und nennen Sie die korrekte Bankverbindung telefonisch. Spekulationen über Täter oder Ursachen gehören nicht in eine Kundenmail.
Wiederanlauf ohne Rückfall
Systeme werden neu aufgesetzt, nicht gesäubert. Daten kommen aus einem Backup, das nachweislich vor dem Angriffszeitpunkt liegt und offline oder unveränderlich gespeichert war. Vor dem Wiederanschluss ans Netz: alle Passwörter neu, Mehrfaktor überall, Fernzugänge auf das Nötigste reduziert. Eine saubere Backup-Strategie entscheidet an dieser Stelle darüber, ob Sie in Tagen oder in Wochen wieder arbeiten.
Nach dem Vorfall
Zwei Wochen später sollte eine kurze Auswertung stehen: Wie kam der Angreifer herein, was hat gefehlt, welche drei Maßnahmen verhindern die Wiederholung. Meist sind es dieselben Punkte: fehlende Mehrfaktor-Anmeldung, ein Fernzugang ohne Absicherung, veraltete Software und ein Backup, das nie getestet wurde.
