Im Januar 2023 traf ein Ransomware-Angriff ein deutsches mittelständisches Unternehmen. Ob ein solcher Vorfall in einer beherrschbaren Störung oder im wochenlangen Stillstand endet, entscheidet sich meist in den ersten beiden Tagen. Dieser Beitrag ist ein praktischer Fahrplan für genau diese kritische Phase.
Stunde 0–1: Eindämmen, nicht löschen
Der erste Reflex muss sein, die Ausbreitung zu stoppen: betroffene Geräte sofort vom Netzwerk trennen. Aber Vorsicht – nicht herunterfahren und nichts löschen. Arbeitsspeicher-Inhalte und Logdateien sind wertvolle Spuren für die spätere forensische Analyse und oft entscheidend für Versicherung und Strafverfolgung.
Stunde 1–6: Das Notfallteam aktivieren
Jetzt zählt Organisation. Die Geschäftsführung und das Notfallteam werden informiert, ein Incident-Response-Dienstleister hinzugezogen. Parallel laufen die Meldungen: Strafanzeige beim LKA, Information an das BSI und – falls vorhanden – die sofortige Einbindung der Cyber-Versicherung, die häufig konkrete Vorgaben zum weiteren Vorgehen macht.
Stunde 6–24: Ausmaß bestimmen
Welche Systeme sind betroffen? Wurden Daten nicht nur verschlüsselt, sondern auch gestohlen? Diese Frage entscheidet über die rechtlichen Pflichten: Sind personenbezogene Daten abgeflossen, muss die Datenschutzaufsicht binnen 72 Stunden informiert werden. Parallel wird geprüft, welche Backups intakt und vom Angriff unberührt sind.
Stunde 24–48: Kontrolliert wiederherstellen
Jetzt – und nicht früher – beginnt die Wiederherstellung. Voraussetzung: Die Angreifer haben nachweislich keinen Zugang mehr. Andernfalls droht ein zweiter Angriff direkt nach dem Wiederanlauf. Kritische Systeme kommen priorisiert zurück, sauber aus geprüften Backups.
Fazit
Die ersten 48 Stunden sind kein Moment für Improvisation. Wer einen geübten Notfallplan mit klaren Rollen und Kontakten in der Schublade hat, gewinnt genau die Zeit, die über den Schaden entscheidet. Vorbereitung ist hier kein Luxus, sondern die wirksamste Schadensbegrenzung.
Quelle: BSI Lagebericht 2023