Ransomware-Notfallplan: Die richtigen Schritte in den ersten Stunden nach einem Angriff

Ein durchdachter Ransomware Notfallplan entscheidet in den ersten Stunden nach einem Angriff darüber, ob aus einem Zwischenfall ein existenzbedrohender Schaden wird. Wenn Bildschirme plötzlich Lösegeldforderungen anzeigen und Dateien verschlüsselt sind, zählt jede Minute. Trotzdem richtet blinder Aktionismus oft mehr Schaden an als der Angriff selbst. Dieser Beitrag beschreibt, welche Schritte in den ersten Stunden wirklich zählen und warum die Vorbereitung über den Ausgang eines Ernstfalls bestimmt.

Warum ein Ransomware Notfallplan über den Schaden entscheidet

Ransomware verschlüsselt Daten und legt im schlimmsten Fall den kompletten Geschäftsbetrieb lahm. Für kleine und mittlere Unternehmen bedeutet das nicht nur technischen Stillstand. Es drohen auch Umsatzausfälle, mögliche Meldepflichten und ein Vertrauensverlust bei Kunden. Ein Ransomware Notfallplan sorgt dafür, dass im Ernstfall nicht improvisiert wird, sondern klare Zuständigkeiten und Abläufe greifen.

Zur Abgrenzung: Dieser Beitrag ist ein praktisches Incident-Response-Playbook für den akuten Fall. Grundlagen zu Prävention und Schutzmaßnahmen finden Sie in unserem Ratgeber zu Ransomware im Mittelstand.

Die ersten Stunden: Sofortmaßnahmen Schritt für Schritt

Behalten Sie Ruhe und arbeiten Sie die folgenden Schritte in dieser Reihenfolge ab. Ziel ist es, die Ausbreitung zu stoppen, ohne Beweise zu vernichten.

• Betroffene Systeme isolieren, nicht sofort ausschalten: Trennen Sie infizierte Geräte vom Netzwerk (Netzwerkkabel ziehen, WLAN deaktivieren), lassen Sie sie aber eingeschaltet. Ein sofortiges Herunterfahren kann für die Forensik wichtige Spuren im Arbeitsspeicher zerstören.
• Ausbreitung eindämmen: Trennen Sie gemeinsame Netzlaufwerke, Backups und Cloud-Synchronisationen vom Zugriff der betroffenen Systeme, damit die Verschlüsselung nicht weiterläuft.
• Interne Meldekette auslösen: Informieren Sie umgehend Geschäftsführung, IT-Verantwortliche und Ihren IT-Dienstleister. Jeder sollte wissen, wen er wann informiert.
• Vorfall dokumentieren: Halten Sie Uhrzeiten, betroffene Systeme, angezeigte Meldungen und ergriffene Maßnahmen schriftlich fest. Diese Dokumentation ist für Forensik, Versicherung und Behörden wichtig.
• Nichts überstürzt löschen oder neu aufsetzen: Solange die Ursache nicht verstanden ist, riskiert eine vorschnelle Wiederherstellung eine erneute Infektion.

Meldepflichten und Behörden nicht vergessen

Ein Ransomware-Angriff ist häufig zugleich eine Verletzung des Schutzes personenbezogener Daten. Nach DSGVO kann eine Meldepflicht an die zuständige Datenschutz-Aufsichtsbehörde bestehen, in der Regel innerhalb von 72 Stunden nach Bekanntwerden. Sind Betroffene einem hohen Risiko ausgesetzt, müssen unter Umständen auch diese informiert werden.

Prüfen Sie frühzeitig, ob eine Meldung erforderlich ist, und dokumentieren Sie Ihre Entscheidung. Zusätzlich empfiehlt sich eine Anzeige bei der Polizei. Die Zentralen Ansprechstellen Cybercrime (ZAC) der Landeskriminalämter unterstützen Unternehmen in solchen Fällen, und auch das BSI bietet Anlaufstellen für betroffene Organisationen.

Kein Lösegeld zahlen: die Gründe dafür

Die Zahlung von Lösegeld wird von Sicherheitsbehörden ausdrücklich nicht empfohlen. Dafür gibt es gute Gründe:

• Es gibt keine Garantie, dass Sie nach der Zahlung einen funktionierenden Entschlüsselungsschlüssel erhalten.
• Zahlungen finanzieren die Angreifer und machen Sie zu einem attraktiven Ziel für weitere Attacken.
• Auch nach einer Entschlüsselung bleibt die eigentliche Sicherheitslücke bestehen, wenn sie nicht geschlossen wird.

Der verlässlichere Weg zurück in den Betrieb führt über saubere, getestete Backups.

Wiederherstellen und Ursache schließen

Stellen Sie Systeme erst wieder her, wenn die Umgebung als sauber gilt und die Einbruchsursache identifiziert ist. Nutzen Sie dafür Backups, die nachweislich nicht vom Angriff betroffen sind, idealerweise offline oder unveränderlich gespeichert. Genau hier zeigt sich der Wert eines professionellen Managed Backup: Nur ein regelmäßig getestetes Backup schützt zuverlässig, ein nie erprobtes Backup ist im Ernstfall wertlos.

Schließen Sie anschließend die Einfallstür: Spielen Sie Patches ein, ändern Sie Zugangsdaten und bereinigen Sie kompromittierte Konten. Eine kontinuierliche Überwachung durch Managed Security hilft, künftige Angriffe früher zu erkennen und einzudämmen.

Die wichtigste Erkenntnis daraus: Der beste Zeitpunkt für einen Ransomware Notfallplan ist vor dem Angriff. Wer den Ablauf definiert, Zuständigkeiten festlegt und die Wiederherstellung regelmäßig übt, verkürzt Ausfallzeiten drastisch.

Häufige Fragen

Soll ich befallene Computer sofort ausschalten?

Nein. Trennen Sie betroffene Geräte vom Netzwerk, lassen Sie sie aber möglichst eingeschaltet. Ein sofortiges Herunterfahren kann forensisch wichtige Spuren im Arbeitsspeicher vernichten, die zur Aufklärung des Angriffs benötigt werden.

Muss ich einen Ransomware-Angriff den Behörden melden?

Häufig ja. Sind personenbezogene Daten betroffen, kann nach DSGVO eine Meldepflicht an die Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden bestehen. Zusätzlich ist eine Anzeige bei der Zentralen Ansprechstelle Cybercrime sinnvoll. Prüfen und dokumentieren Sie die Meldepflicht frühzeitig.

Wie schnell sind wir nach einem Angriff wieder arbeitsfähig?

Das hängt fast vollständig von der Vorbereitung ab. Mit einem geübten Notfallplan und regelmäßig getesteten, isolierten Backups ist eine Wiederherstellung oft innerhalb von Stunden bis wenigen Tagen möglich. Ohne funktionierende Backups kann der Ausfall dagegen Wochen dauern.

Sie möchten für den Ernstfall vorbereitet sein? In einem kostenlosen IT-Sicherheitscheck prüfen unsere Fachleute Ihre Backup- und Notfallstrategie und zeigen konkrete Verbesserungen auf. Nehmen Sie Kontakt zu netzorange auf.