Die ersten 15 Minuten sind entscheidend

Ein Ransomware-Angriff gehört zu den bedrohlichsten Szenarien für jedes Unternehmen. Laut BSI-Lagebericht werden täglich durchschnittlich 250.000 neue Schadvarianten entdeckt. Wenn es Ihr Unternehmen trifft, zählt jede Minute.

Was Sie in den ersten Minuten nach Entdeckung tun – oder unterlassen – bestimmt maßgeblich, wie hoch der Gesamtschaden ausfällt und wie schnell Sie wieder arbeitsfähig sind.

Sofortmaßnahmen: Die Checkliste

🚨

Cyberangriff? Jetzt Soforthilfe erhalten.

24/7 erreichbar. In 20 Minuten handlungsfähig. TÜV-zertifiziert.

0800 - 292 37 24 Kontaktformular

Ruhe bewahren – nicht in Panik handeln

Der wichtigste erste Schritt: Nicht überstürzt alle Systeme herunterfahren. Ein unkontrollierter Shutdown kann forensische Beweise im RAM vernichten und die spätere Wiederherstellung deutlich erschweren.

Stattdessen: Dokumentieren Sie, was Sie sehen. Machen Sie Screenshots oder Fotos der Erpressernachricht mit Ihrem Smartphone.

Cyber-Notfall-Hotline anrufen

Rufen Sie sofort eine spezialisierte Incident-Response-Hotline an. Überlassen Sie die Entscheidungen nicht allein der internen IT-Abteilung – Ransomware-Angriffe erfordern Forensik-Erfahrung und einen kühlen Kopf.

Tipp: Speichern Sie die Notfallnummer 0800 - 292 37 24 jetzt in Ihrem Telefon – bevor es soweit ist.

Betroffene Systeme isolieren – NICHT abschalten

Identifizieren Sie, welche Systeme betroffen sind. Trennen Sie diese vom Netzwerk:

  • Netzwerkkabel ziehen
  • WLAN deaktivieren
  • VPN-Verbindungen trennen

Aber: Lassen Sie die Geräte eingeschaltet! Im Arbeitsspeicher (RAM) befinden sich oft entscheidende forensische Spuren, die beim Abschalten unwiederbringlich verloren gehen.

Kein Lösegeld zahlen – zumindest nicht sofort

Die Zahlung von Lösegeld ist keine Garantie für die Wiederherstellung Ihrer Daten. Studien zeigen:

  • In 20% der Fälle werden Daten trotz Zahlung nicht entschlüsselt
  • In 80% der Fälle werden zahlende Unternehmen erneut angegriffen
  • Zahlungen finanzieren kriminelle Strukturen und können strafrechtlich relevant sein

Lassen Sie Experten die Situation bewerten, bevor Sie eine Entscheidung treffen.

Was Sie unbedingt vermeiden müssen

  • Nicht alle Systeme pauschal herunterfahren
  • Nicht eigenständig mit den Angreifern kommunizieren
  • Nicht Beweise löschen oder Systeme neu aufsetzen
  • Nicht USB-Sticks oder externe Medien an betroffene Systeme anschließen
  • Nicht Backups auf betroffenen Systemen prüfen (diese könnten ebenfalls kompromittiert sein)

Die richtige Reihenfolge der Reaktion

Phase 1: Triage (0–30 Minuten)

In der ersten halben Stunde geht es darum, den Umfang des Angriffs einzuschätzen:

  • Welche Systeme sind betroffen?
  • Welche Daten sind verschlüsselt?
  • Sind Backups vorhanden und intakt?
  • Gibt es Anzeichen für Datenexfiltration (Double Extortion)?

Phase 2: Eindämmung (30 Min. – 4 Stunden)

Das Incident-Response-Team isoliert betroffene Systeme gezielt und verhindert die weitere Ausbreitung:

  • Netzwerksegmentierung
  • Kompromittierte Accounts sperren
  • Firewall-Regeln anpassen
  • Geschäftskritische Systeme priorisieren

Phase 3: Wiederherstellung (Tage 1–5)

Paralleles Vorgehen für schnellstmögliche Rückkehr zum Normalbetrieb:

  • Forensische Analyse zur Identifikation des Einfallstors
  • Datenrettung aus Backups oder durch Entschlüsselung
  • Schrittweise Wiederherstellung der Systeme
  • Härtung gegen erneuten Angriff

Meldepflichten beachten

Nach DSGVO Art. 33 haben Sie 72 Stunden Zeit, einen Datenschutzvorfall an die zuständige Aufsichtsbehörde zu melden. Bei KRITIS-Betreibern gelten kürzere Fristen nach dem IT-Sicherheitsgesetz 2.0 und der NIS2-Richtlinie.

Ihr Incident-Response-Team unterstützt Sie bei der korrekten und fristgerechten Meldung.

Prävention: Damit es nicht soweit kommt

Die beste Verteidigung gegen Ransomware ist gezielte Vorbereitung:

  • Backup-Strategie: 3-2-1-Regel (3 Kopien, 2 Medien, 1 offsite), regelmäßig testen
  • Patch-Management: Systeme zeitnah aktualisieren
  • Mitarbeiterschulung: Phishing-Awareness regelmäßig trainieren
  • Netzwerksegmentierung: Laterale Bewegung erschweren
  • Notfallplan: Incident-Response-Plan erstellen und üben
  • Cyber-Versicherung: Prüfen, ob eine Absicherung sinnvoll ist

Weiterführende Informationen

Fazit

Ransomware-Angriffe sind ernst – aber beherrschbar. Mit der richtigen Vorbereitung und einem erfahrenen Incident-Response-Team an Ihrer Seite können Sie den Schaden minimieren und schnell zurück ins Geschäft kommen. Der wichtigste Schritt ist der erste Anruf: 0800 - 292 37 24 – 24/7 erreichbar, kostenlose Ersteinschätzung.