Ransomware - Was tun im Ernstfall?
Incident-Response-Checkliste: Die ersten 72 Stunden nach einem Ransomware-Angriff
Ein Ransomware-Angriff kann jedes Unternehmen treffen - und die ersten Stunden entscheiden über das Ausmaß des Schadens.
Wer vorbereitet ist und besonnen handelt, kann den Schaden drastisch begrenzen.
Dieser Ratgeber liefert eine praxiserprobte Checkliste für den Ernstfall.
Inhaltsverzeichnis
Sofort-Maßnahmen: Die ersten 30 Minuten
Sobald ein Ransomware-Angriff erkannt wird, zählt jede Minute. Trennen Sie betroffene Systeme sofort vom Netzwerk - Netzwerkkabel ziehen, WLAN deaktivieren. Schalten Sie Geräte NICHT aus - laufende Systeme enthalten wertvolle forensische Daten im Arbeitsspeicher. Informieren Sie sofort Ihren IT-Verantwortlichen oder externen IT-Dienstleister. Dokumentieren Sie alles: Screenshots der Lösegeldforderung, Zeitpunkt der Entdeckung, betroffene Systeme. Kontaktieren Sie Ihre Cyberversicherung über die 24/7-Notfall-Hotline - die meisten Versicherer stellen innerhalb von 2 Stunden Forensiker bereit.
Stunde 1-6: Schadensbegrenzung und Analyse
In der ersten Phase geht es darum, den Angriff einzudämmen und das Ausmaß zu verstehen. IT-Forensiker analysieren den Angriffsvektor: Wie sind die Angreifer eingedrungen? Über Phishing-Mail, RDP-Schwachstelle oder kompromittierte Zugangsdaten? Prüfen Sie, welche Systeme verschlüsselt sind und welche Backups verfügbar und intakt sind. Setzen Sie alle Passwörter zurück - insbesondere für Administratoren-Konten, VPN-Zugänge und Cloud-Dienste. Informieren Sie die Geschäftsführung über den aktuellen Stand und die voraussichtliche Ausfallzeit.
Zahlen oder nicht zahlen? Die Lösegeldfrage
Das BSI und Strafverfolgungsbehörden raten klar davon ab, Lösegeld zu zahlen. Die Gründe: Nur in 65 % der Fälle werden nach Zahlung tatsächlich alle Daten entschlüsselt. Zahlende Unternehmen werden häufig erneut angegriffen - sie gelten als "zahlungswillig". Lösegeld finanziert kriminelle Strukturen und weitere Angriffe. In manchen Fällen kann die Zahlung sogar strafrechtliche Konsequenzen haben, wenn die Empfänger sanktionierten Gruppen angehören. Trotzdem: Besprechen Sie die Entscheidung mit Ihrem Versicherer und einem Rechtsanwalt. In einigen Situationen - etwa wenn Menschenleben auf dem Spiel stehen - kann eine Zahlung als letztes Mittel in Betracht kommen.
Meldepflichten: Wer muss informiert werden?
Bei einem Ransomware-Angriff mit Datenverlust greifen mehrere Meldepflichten: DSGVO Art. 33 - Meldung an die zuständige Datenschutzbehörde innerhalb von 72 Stunden. DSGVO Art. 34 - Benachrichtigung betroffener Personen bei hohem Risiko. NIS2 - Erstmeldung an das BSI innerhalb von 24 Stunden (für betroffene Unternehmen). Strafanzeige bei der Polizei - empfohlen, um die Strafverfolgung zu ermöglichen. Die Cyberversicherung unterstützt bei allen Meldungen und übernimmt die Kosten für Rechtsberatung und Benachrichtigungen.
Wiederherstellung: Der Weg zurück zum Normalbetrieb
Die Wiederherstellung beginnt mit der Bereinigung der Systeme - kompromittierte Geräte werden komplett neu aufgesetzt. Anschließend werden Daten aus sauberen Backups wiederhergestellt. Prüfen Sie vor der Wiederinbetriebnahme, ob die Angreifer Backdoors hinterlassen haben. Implementieren Sie vor dem Neustart die Sicherheitslücke, die zum Angriff geführt hat. Planen Sie mit 1-4 Wochen Wiederherstellungszeit - je nach Größe und Komplexität der IT-Infrastruktur.
Prävention: So schützen Sie sich vor dem nächsten Angriff
Nach dem Angriff ist vor dem Angriff. Implementieren Sie die Erkenntnisse aus dem Vorfall: 3-2-1-Backup-Strategie mit mindestens einem Offline-Backup. Multi-Faktor-Authentifizierung für alle Remote-Zugänge. Regelmäßige Mitarbeiterschulungen gegen Phishing. Netzwerksegmentierung, um die Ausbreitung von Ransomware zu verhindern. Endpoint Detection & Response (EDR) für frühzeitige Erkennung. Einen dokumentierten IT-Notfallplan, der regelmäßig geübt wird.
Häufige Fragen
Soll ich bei Ransomware die Polizei rufen?
Zahlt die Cyberversicherung auch Lösegeld?
Wie lange dauert die Wiederherstellung nach Ransomware?
Sind verschlüsselte Daten endgültig verloren?
Unabhängiger Versicherungsmakler mit Spezialisierung auf Cyberversicherungen für KMU, Arztpraxen und Kanzleien. Erlaubnis nach §34d GewO.
Kostenlos beraten lassen – zu Ihrem Betrieb
Schildern Sie uns Ihr Anliegen. Gemeinsam klären wir, worauf es bei Ihrem Schutz ankommt.
SSL-verschlüsselt · Verarbeitung zur Bearbeitung Ihrer Anfrage