Ransomware-Angriff: Was in den ersten 24 Stunden zu tun ist

Die erste Stunde: Ausbreitung stoppen, Spuren erhalten

In den ersten 24 Stunden nach einem Ransomware-Angriff kommt es auf fünf Dinge an: betroffene Systeme isolieren, intern alarmieren, Beweise sichern, Meldepflichten prüfen und die Wiederherstellung aus sauberen Backups vorbereiten. Ransomware verschlüsselt Daten und blockiert Systeme, oft verbunden mit der Drohung, gestohlene Daten zu veröffentlichen. Sobald Sie verschlüsselte Dateien, unbekannte Dateiendungen oder eine Erpressernachricht bemerken, lautet das erste Ziel: die Ausbreitung stoppen, ohne Beweise zu zerstören.

• Netzwerkkabel ziehen und WLAN an betroffenen Geräten deaktivieren.
• Verdächtige Server und Netzsegmente über Switch oder Firewall isolieren und VPN-Zugänge vorübergehend sperren.
• Backup-Systeme vom Netzwerk trennen, damit sie nicht ebenfalls verschlüsselt werden.
• Die Erpressernachricht fotografieren und Uhrzeit sowie erste Beobachtungen notieren.

Intern alarmieren und ein Krisenteam bilden

Informieren Sie umgehend die Geschäftsleitung, die interne IT oder Ihren IT-Dienstleister und die für Datenschutz verantwortliche Person. Ein kleines Krisenteam trifft Entscheidungen, verteilt Aufgaben und hält fest, wer wann was getan hat. Dieses Protokoll brauchen Sie später für Meldungen, Versicherung und Analyse.

Stimmen Sie sich über einen Kanal ab, der vom Angriff wahrscheinlich nicht betroffen ist, etwa per Telefon oder über Mobilgeräte nach klarer Vorgabe. Angreifer haben in manchen Fällen Zugriff auf E-Mail-Postfächer oder Chat-Systeme und könnten mitlesen. Mitarbeitende erhalten eine kurze, klare Anweisung: Geräte nicht neu starten, nichts löschen, Auffälligkeiten melden.

Legen Sie früh fest, wer mit Kunden, Partnern und gegebenenfalls Medien spricht. Formulieren Sie Aussagen sachlich und stimmen Sie sie mit der Rechtsberatung ab, vor allem bevor ein Datenabfluss bestätigt ist.

Beweise sichern und Fachleute hinzuziehen

Logdateien von Firewall, Servern, Endpoint-Schutz und Cloud-Diensten werden oft nur für begrenzte Zeit aufbewahrt. Exportieren Sie sie früh und speichern Sie sie getrennt vom betroffenen Netz. Betroffene Datenträger sollten nicht überschrieben werden, bis klar ist, ob eine forensische Sicherung nötig ist.

Ziehen Sie früh spezialisierte Fachleute für Incident Response hinzu. Sie helfen, das Ausmaß einzuschätzen, die Einfallstür zu finden und zu klären, ob Daten abgeflossen sind. Haben Sie eine Cyberversicherung, informieren Sie diese ebenfalls sofort: Viele Polizzen verlangen eine rasche Meldung und nennen eigene Notfallkontakte.

Meldungen: Datenschutzbehörde, NIS2 und Polizei

Ein Ransomware-Angriff ist fast immer auch ein rechtliches Thema. Manche Meldungen sind gesetzlich vorgeschrieben, andere dringend zu empfehlen, und was genau gilt, hängt vom Einzelfall ab. Prüfen Sie diese Punkte innerhalb der ersten 24 Stunden, am besten gemeinsam mit Ihrer Rechtsberatung:

• DSGVO: Sind personenbezogene Daten betroffen, ist die Verletzung nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden ab Kenntnis der österreichischen Datenschutzbehörde zu melden, außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Bei voraussichtlich hohem Risiko sind auch die betroffenen Personen zu informieren.
• NIS2: Fällt Ihr Unternehmen unter das NISG 2026, sind erhebliche Vorfälle dem zuständigen CSIRT zu melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden. Details lesen Sie in unserem Beitrag zu NIS2 für KMU.
• Polizei: Erpressung und Datenbeschädigung sind Straftaten. Eine Anzeige ist bei jeder Polizeidienststelle möglich und empfehlenswert, und auch Ihre Versicherung kann sie verlangen.
• Kunden und Verträge: Verarbeiten Sie personenbezogene Daten im Auftrag von Kunden, müssen Sie diese als Auftragsverarbeiter unverzüglich informieren. Auch Verträge mit Kunden oder Partnern können Informationspflichten enthalten.

Lösegeld zahlen? Keine Entscheidung unter Zeitdruck

Der Druck ist groß, wenn der Betrieb stillsteht. Eine Zahlung garantiert jedoch nicht, dass der Schlüssel funktioniert, dass alle Daten zurückkommen oder dass gestohlene Daten nicht trotzdem veröffentlicht werden. Sie finanziert zudem die Täter und kann Sie als zahlungsbereites Ziel markieren.

Behörden raten grundsätzlich davon ab, Lösegeld zu zahlen. Zahlungen können außerdem rechtliche Fragen aufwerfen, etwa wenn die Empfänger Sanktionen unterliegen. Prüfen Sie zuerst Alternativen: Für einige Ransomware-Varianten stellt das Projekt No More Ransom, an dem Europol beteiligt ist, kostenlose Entschlüsselungswerkzeuge bereit.

Wiederherstellung aus sauberen Backups

Der verlässlichste Weg zurück ist eine Wiederherstellung aus Datensicherungen, die der Angreifer nicht erreichen konnte. Genau dafür gibt es das Prinzip 3-2-1 mit unveränderbarer Kopie. Bevor Sie zurückspielen, muss klar sein, wann der Angriff begonnen hat, denn Täter sind oft schon länger im Netz.

1. Die Einfallstür identifizieren und schließen, etwa einen ungepatchten Fernzugang oder ein kompromittiertes Konto.
2. Saubere Wiederherstellungspunkte bestimmen und Backups vor dem Zurückspielen auf Schadsoftware prüfen.
3. Systeme möglichst aus vertrauenswürdigen Installationsmedien neu aufbauen, statt sie nur zu bereinigen.
4. Alle Passwörter zurücksetzen, besonders für Administrator- und Dienstkonten, und MFA aktivieren.
5. Kritische Systeme zuerst wiederherstellen und den Betrieb danach engmaschig überwachen.

Zeitplan im Überblick und Nachbereitung

Nach der Wiederherstellung folgt die Nachbereitung. Halten Sie fest, wie die Täter eingedrungen sind, was gut funktioniert hat und wo es Verzögerungen gab. Daraus entstehen konkrete Maßnahmen für Technik, Abläufe und Schulungen.

Vorbereitung: Was Sie heute schon tun können

Die meisten Entscheidungen der ersten 24 Stunden lassen sich vorbereiten. Ein Notfallplan von wenigen Seiten ist im Ernstfall mehr wert als ein umfangreiches Dokument, das niemand gelesen hat.

1. Einen kurzen Notfallplan mit Rollen, Entscheidungswegen und Erstmaßnahmen schreiben.
2. Eine Kontaktliste mit IT, Dienstleistern, Versicherung, Rechtsberatung und Behörden auch auf Papier aufbewahren.
3. Mindestens eine Offline- oder unveränderbare Backup-Kopie führen und die Wiederherstellung regelmäßig testen.
4. MFA für E-Mail, Fernzugriff und Administratorkonten einführen und Updates zeitnah einspielen.
5. Den Ernstfall einmal im Jahr in einer kurzen Übung durchspielen.

Q-entra unterstützt Sie dabei, Notfallplan, Backup-Konzept und Schutzmaßnahmen im Rahmen von Cyber Security aufzubauen, und behält Systeme, Updates und Datensicherungen mit Managed Security laufend im Blick.