Ein Ransomware-Angriff beginnt für die meisten KMU mit einem Anruf am Morgen: Dateien lassen sich nicht öffnen, Bildschirme zeigen eine Lösegeldforderung, die Buchhaltung ist nicht erreichbar. Was in den folgenden Stunden passiert, entscheidet, wie lange der Betrieb stillsteht und wie viel Schaden bleibt. Dieser Beitrag beschreibt einen Ablauf, der sich bewährt hat. Er ersetzt keinen Incident-Response-Plan, aber er zeigt, was hineingehört.
Die erste Stunde: eindämmen, nicht aufräumen
Betroffene Geräte und Server vom Netz trennen, indem man Netzwerkkabel zieht oder WLAN deaktiviert, aber nicht ausschalten: Im Arbeitsspeicher liegen Spuren, die für die Analyse wichtig sind. Fernzugänge sperren, insbesondere VPN und Fernwartung. Sicherungen schützen, indem man noch verbundene Sicherungsziele trennt. Nichts löschen, nichts neu installieren, keine Dateien öffnen, die die Angreifer hinterlassen haben.
Stunde eins bis vier: Lage verstehen und Hilfe holen
Die Leitung im Vorfall übernimmt eine benannte Person und führt ein Protokoll mit Zeitstempeln. Der IT-Dienstleister und, wo nötig, Spezialisten für Forensik werden beigezogen. Wer eine Cyberversicherung hat, ruft deren Notfallnummer an, bevor eigene Dienstleister beauftragt werden, weil viele Policen das verlangen. Parallel wird geklärt, welche Systeme betroffen sind, ob Daten abgeflossen sein könnten und ob die Sicherungen intakt sind.
Bis Stunde 24: Meldepflichten
Für Betreiberinnen kritischer Infrastrukturen ist ein erfolgreicher Ransomware-Angriff in aller Regel nach der ISG-Meldepflicht innert 24 Stunden dem BACS zu melden; fehlende Angaben können innert 14 Tagen nachgereicht werden. Sind Personendaten betroffen und besteht ein hohes Risiko für die Betroffenen, ist zusätzlich der EDÖB nach Art. 24 DSG so rasch als möglich zu informieren (Data-Breach-Meldung). Unternehmen unter der DSGVO haben 72 Stunden, Finanzinstitute eigene Meldewege zur FINMA. Das BACS empfiehlt zudem, Strafanzeige bei der Polizei zu erstatten.
Lösegeld
Das BACS rät davon ab, Lösegeld zu bezahlen. Eine Zahlung garantiert weder die Entschlüsselung noch, dass gestohlene Daten nicht trotzdem veröffentlicht werden, und sie finanziert weitere Angriffe. Ob in einer Ausnahmesituation anders entschieden wird, ist ein Entscheid der Geschäftsleitung mit rechtlicher Beratung, nicht eine spontane Reaktion. Wer gute Sicherungen hat, muss diese Frage gar nicht erst stellen.
Kommunikation
Mitarbeitende brauchen früh klare Anweisungen: welche Geräte nicht benutzt werden dürfen, wie kommuniziert wird, wenn E-Mail nicht funktioniert, und dass keine Auskünfte nach aussen gegeben werden. Kunden und Partner werden informiert, sobald feststeht, ob sie betroffen sind, sachlich und ohne Spekulation. Eine vorbereitete Vorlage spart in dieser Phase viel Zeit.
Wiederherstellung
Wiederhergestellt wird aus Sicherungen, die nachweislich vor dem Angriff entstanden und sauber sind, in einer festgelegten Reihenfolge nach geschäftlicher Priorität. Vorher werden alle Passwörter geändert, insbesondere die von Administratoren und Dienstkonten, und der Einstiegsweg wird geschlossen. Wer nur wiederherstellt, ohne die Ursache zu beheben, wird oft ein zweites Mal getroffen. Ob die Sicherungen das leisten, hängt von der 3-2-1-Regel und davon ab, ob die Wiederherstellung je geübt wurde.
Danach
Eine Nachbesprechung klärt, wie die Angreifer hineinkamen, was gut funktioniert hat und was nicht. Die typischen Massnahmen sind bekannt: Mehrfaktor-Authentifizierung überall, Updates der aus dem Internet erreichbaren Systeme, weniger Administratorrechte, eine geprüfte unveränderliche Sicherung und ein geübter Plan. Den Aufbau begleiten wir im Cyber-Readiness-Check; die Meldewege fasst die Checkliste zur Cyber-Meldepflicht zusammen.