Ransomware-Angriff: Die ersten Stunden, Meldepflichten und wen Sie anrufen sollten

Bei einem Ransomware-Angriff zählen die ersten Stunden: betroffene Systeme vom Netzwerk trennen, aber nicht ausschalten oder neu aufsetzen, die Notfallkontakte alarmieren, Beweise sichern und Meldepflichten prüfen. Wer hektisch handelt, zerstört Spuren oder verschlimmert den Schaden. Dieser Leitfaden gibt eine Reihenfolge vor, die sich an gängigen Empfehlungen orientiert. Er ersetzt weder Ihren Notfallplan noch die Beratung durch Fachleute im konkreten Fall.

Woran Sie einen Angriff erkennen

Dateien lassen sich nicht öffnen, haben neue Endungen oder sind unlesbar.
Auf Bildschirmen erscheinen Erpressernachrichten, oft mit Zahlungsfrist.
Server sind nicht erreichbar, Anwendungen funktionieren nicht mehr.
Mitarbeitende melden ungewöhnliche Meldungen oder langsame Rechner, teils schon Stunden oder Tage vor dem sichtbaren Ausbruch.

Der sichtbare Ausbruch ist oft das Ende einer längeren Phase, in der Angreifer bereits im Netz waren, Daten kopiert und Zugänge erweitert haben. Deshalb gilt: Gehen Sie davon aus, dass mehr betroffen ist, als Sie sehen.

Die ersten Schritte in der richtigen Reihenfolge

Ruhe bewahren und Krisenstab einberufen. Geschäftsleitung, IT, Datenschutz, Kommunikation. Ein Verantwortlicher koordiniert und protokolliert Zeiten und Entscheidungen.
Betroffene Systeme isolieren. Netzwerkkabel ziehen, WLAN trennen, Zugänge sperren. Rechner nicht herunterfahren, wenn es sich vermeiden lässt, weil Hauptspeicher Spuren enthält. Ob das im konkreten Fall richtig ist, klären Sie mit Fachleuten.
Nicht neu aufsetzen und nichts löschen. Spuren werden für Analyse, Versicherung und Behörden gebraucht.
Notfallkontakte aktivieren. Incident-Response-Dienstleister, Cyberversicherung (Hotline), Rechtsberatung, Datenschutzbeauftragte. Nutzen Sie Telefon, nicht die möglicherweise kompromittierte E-Mail.
Datensicherungen schützen. Prüfen Sie, ob Backups intakt und vom Netz getrennt sind. Trennen Sie Backup-Systeme, bevor Angreifer sie erreichen.
Zugangsdaten kontrollieren. Administratorkonten sperren oder zurücksetzen, aber erst, wenn ein sicherer Zugang besteht, sonst bemerken Angreifer die Reaktion.
Beweise sichern. Fotos der Erpressernachricht, Protokolle, Zeitpunkte, betroffene Systeme.
Interne Kommunikation regeln. Mitarbeitende informieren, Gerüchte vermeiden, keine Spekulationen nach außen.

Was Sie nicht tun sollten

Fehler	Warum problematisch
Sofort neu installieren	Spuren und Entschlüsselungsmöglichkeiten gehen verloren
Lösegeld überstürzt zahlen	Keine Garantie auf Entschlüsselung, Finanzierung von Kriminalität, mögliche rechtliche Probleme, Daten können dennoch veröffentlicht werden
Mit den Tätern ohne Beratung verhandeln	Risiko von Fehlern, Eskalation, Verstoß gegen Auflagen der Versicherung
Versicherung zu spät informieren	Leistungen können gefährdet sein, wenn Fristen oder Abstimmungspflichten verletzt werden
Kompromittierte E-Mail für Krisenkommunikation nutzen	Angreifer lesen eventuell mit
Backups ungeprüft einspielen	Schadsoftware kann in der Sicherung stecken

Meldepflichten prüfen

Datenschutz: Liegt eine Verletzung des Schutzes personenbezogener Daten vor, ist sie nach Art. 33 DSGVO grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Bei hohem Risiko sind nach Art. 34 DSGVO auch die Betroffenen zu benachrichtigen. Verschlüsselte oder abgeflossene Daten sind in der Regel eine solche Verletzung, weil Verfügbarkeit oder Vertraulichkeit verletzt wurden. Zuständig ist die Datenschutzaufsicht des Bundeslandes, in dem Ihr Unternehmen seinen Sitz hat.

NIS2 und BSI-Gesetz: Betroffene Einrichtungen haben zusätzliche, gestufte Meldepflichten gegenüber dem BSI. Details und Fristen finden Sie im Beitrag NIS2 in Deutschland und in den aktuellen Hinweisen des BSI.

Verträge: Kundenverträge, Auftragsverarbeitungsverträge und Versicherungsbedingungen enthalten oft eigene Meldefristen.

Strafverfolgung: Eine Anzeige ist bei der Polizei möglich. Die Zentralen Ansprechstellen Cybercrime der Länder beraten Unternehmen und nehmen Hinweise auf.

Zusammenarbeit mit dem Dienstleister

Ein Incident-Response-Dienstleister übernimmt Analyse, Eindämmung und Wiederherstellung. Klären Sie gleich zu Beginn Auftrag, Befugnisse, Kosten und Auftragsverarbeitung. Wer vorab einen Rahmenvertrag hat, gewinnt Zeit. Mehr dazu im Beitrag Incident Response beauftragen.

Wiederherstellung und Lehren

Priorisieren: Zuerst Systeme, die für den Geschäftsbetrieb entscheidend sind.
Saubere Umgebung: Wiederherstellung nur in einer Umgebung, die als frei von Angreifern gilt.
Zugangsdaten erneuern: Alle Passwörter, Schlüssel und Tokens, die betroffen sein könnten.
Ursache klären: Wie kamen die Angreifer hinein? Ohne Ursachenbehebung droht ein zweiter Angriff.
Nachbereitung: Bericht, Maßnahmenplan, Anpassung des Notfallkonzepts, Übungen.

Rechenbeispiel: Kosten des Stillstands (illustrativ)

Angenommen, ein Unternehmen mit 40 Beschäftigten kann fünf Tage nicht arbeiten. Der durchschnittliche Personalaufwand je Tag beträgt im Beispiel 40 × 250 Euro = 10.000 Euro, der entgangene Deckungsbeitrag 6.000 Euro je Tag. Dann ergeben sich 5 × (10.000 + 6.000) = 80.000 Euro, noch ohne Dienstleisterkosten, Wiederherstellung, Rechtsberatung und Imageschäden. Die Zahlen sind frei gewählt und zeigen die Rechenlogik: Jeder Tag Verkürzung der Ausfallzeit hat messbaren Wert.

Vorsorge, die sich lohnt

Getrennte, unveränderbare Backups und regelmäßige Wiederherstellungstests
Mehr-Faktor-Authentifizierung für Fernzugänge und Administratorkonten
Aktuelle Updates, insbesondere für Systeme mit Internetzugang
Notfallplan mit Kontaktliste auf Papier und Übung
Cyberversicherung nach Prüfung der Bedingungen

Wann Sie sich beraten lassen sollten

Bei einem akuten Vorfall sofort: Incident-Response-Dienstleister, Rechtsberatung und Versicherung. Zur Vorbereitung empfiehlt sich die Abstimmung von Notfallplan, Backup-Konzept und Verträgen. Nutzen Sie die Checkliste vor der Beauftragung, um Dienstleister rechtzeitig zu binden.

Häufige Fragen

Soll ich den Rechner ausschalten?

Meist ist es besser, vom Netz zu trennen und den Zustand zu erhalten. Im Einzelfall entscheiden Fachleute, etwa wenn Verschlüsselung noch läuft.

Ist eine Zahlung des Lösegelds verboten?

Es gibt keine allgemeine Zahlungsverbotsnorm für alle Fälle, aber rechtliche Risiken, etwa durch Sanktionsregeln. Holen Sie vorab rechtlichen Rat und sprechen Sie mit den Behörden.

Muss ich jeden Vorfall melden?

Nicht jeder Vorfall ist meldepflichtig. Prüfen Sie Datenschutz, BSI-Gesetz und Verträge. Im Zweifel melden Sie lieber und dokumentieren Ihre Bewertung.

Quellen und weiterführende Stellen

Bundesamt für Sicherheit in der Informationstechnik (BSI) — Hinweise zu Ransomware und Vorfallbewältigung
Bundesbeauftragte für den Datenschutz und die Informationsfreiheit — Informationen zur Meldung von Datenpannen und Hinweise zu den Aufsichtsbehörden der Länder
Bundeskriminalamt — Informationen zu Cybercrime und Ansprechstellen