Die ersten Stunden
entscheiden.

Die ersten Schritte, in dieser Reihenfolge

1. Betroffene Geräte vom Netz trennen. Kabel ziehen, WLAN aus. Nicht ausschalten – im Arbeitsspeicher liegen Spuren, die nach dem Ausschalten weg sind.
2. Ausbreitung stoppen. Netzlaufwerke trennen, Sicherungsmedien abziehen, wenn sie noch angeschlossen sind. Verschlüsselung greift sonst auch auf die Sicherung über.
3. Zugänge sperren. Passwörter ändern, von einem sauberen Gerät aus. Zuerst E-Mail und Bank, dann der Rest. Aktive Sitzungen überall abmelden.
4. Bank informieren, wenn Zahlungsverkehr betroffen sein könnte. Schnelligkeit entscheidet über die Rückholung von Überweisungen.
5. Dokumentieren. Fotos von den Bildschirmen, Uhrzeiten, wer was bemerkt hat, welche Schritte unternommen wurden. Diese Aufzeichnung brauchen später Versicherung, Behörde und Fachleute.
6. Fachliche Hilfe holen. Wer keinen eigenen Dienstleister hat, findet Ansprechstellen bei den Landeskriminalämtern und beim Bundesamt für Sicherheit in der Informationstechnik.
7. Anzeige erstatten. Die Polizei hat für Cybercrime eigene Ansprechstellen.
8. Meldepflichten prüfen. Sind personenbezogene Daten betroffen, läuft eine Frist von 72 Stunden für die Meldung an die Aufsichtsbehörde. Diese Prüfung gehört in die ersten Stunden, nicht in die nächste Woche.

Die drei Fehler, die den Schaden vergrößern

• Geräte ausschalten oder neu aufsetzen, bevor jemand nachgesehen hat. Damit sind die Spuren weg – und niemand kann sagen, wie der Angreifer hereinkam und ob er noch drin ist.
• Zahlen. Es gibt keine Garantie für einen funktionierenden Schlüssel, die Daten bleiben oft trotzdem veröffentlicht, und wer zahlt, gilt als zahlungsbereit. Zudem kann eine Zahlung selbst rechtliche Probleme aufwerfen. Die Empfehlung der Behörden ist eindeutig: nicht zahlen.
• Schweigen. Aus Scham oder Sorge um den Ruf. Die unterlassene Meldung ist ein eigener Verstoß, und Kunden erfahren es am Ende ohnehin – dann aber von jemand anderem.

Der Notfallplan, der vorher entsteht

Im Ernstfall ist keine Zeit zu recherchieren, und oft ist genau das Systen nicht erreichbar, in dem die Informationen stehen. Deshalb gehört der Plan auf Papier.

1. Wer entscheidet? Eine Person, eine Vertretung.
2. Wen rufen wir an? IT-Dienstleister, Versicherung, Bank, Steuerberatung, Polizei – mit Nummern.
3. Wo liegen die Sicherungen, und wie kommt man heran? Wer kennt das Passwort?
4. Welche Systeme sind kritisch? Ohne welches steht der Betrieb still?
5. Wie erreichen wir Kunden und Mitarbeiter, wenn E-Mail und Telefonanlage ausfallen?
6. Wer schreibt was an Kunden? Ein vorbereiteter Text spart am Tag X viel Streit.

Ein solcher Plan passt auf zwei Seiten. Er gehört ausgedruckt an einen Ort, den alle kennen – und einmal im Jahr durchgesprochen.

Was das Risiko dauerhaft senkt

• Zwei-Faktor-Anmeldung überall, wo es sie gibt. Der wirksamste Einzelschritt.
• Sicherungen nach der 3-2-1-Regel, mit einer Kopie, die nicht dauerhaft verbunden ist.
• Alles aktuell halten: Betriebssysteme, Programme, Website, Netzwerktechnik.
• Rechte eng vergeben. Niemand arbeitet täglich mit Administratorrechten.
• Passwortspeicher für alle, keine geteilten Passwörter.
• Das Team einmal im Jahr für Phishing sensibilisieren – die meisten Angriffe beginnen mit einer Mail.
• Eine Cyberversicherung prüfen. Sie ersetzt keine Vorsorge, aber sie liefert im Ernstfall Fachleute innerhalb von Stunden.

Dieser Beitrag ordnet ein und ersetzt keine Rechts- oder Sicherheitsberatung. Im konkreten Fall gehört fachkundige Hilfe dazu, und zwar sofort.