Ransomware-Angriff: Was in den ersten 24 Stunden zu tun ist

Die Bildschirme zeigen eine Lösegeldforderung, und jede Entscheidung fällt unter Zeitdruck. Dieser Ablauf zeigt, was in den ersten 24 Stunden zuerst kommt, welche gut gemeinten Reflexe den Schaden vergrößern und was sich vorab vorbereiten lässt.

Das Wichtigste in Kürze

Betroffene Systeme vom Netz trennen, aber nicht ausschalten, sofern eine technische Analyse vorgesehen ist.
Auf einem möglicherweise infizierten System im Netz niemals mit einem Administratorkonto anmelden.
Das BSI rät davon ab, Lösegeld zu zahlen. Wiederhergestellt wird nach der Bereinigung aus sauberen Sicherungen.
Die Meldefristen laufen parallel: bei NIS2 24 Stunden an das BSI, bei personenbezogenen Daten 72 Stunden an die Datenschutzaufsicht.

Warum die erste Stunde so viel entscheidet

Bei einem Ransomware-Angriff beginnt der Schaden meist nicht mit der Lösegeldforderung. Die Angreifer waren in vielen Fällen schon länger im Netz, haben sich Rechte verschafft und Daten kopiert. Die Verschlüsselung ist das Ende ihres Plans und der Anfang Ihres Ernstfalls.

In dieser Lage gibt es zwei Ziele, die sich teilweise widersprechen: die Ausbreitung sofort stoppen und die Spuren erhalten, die später zeigen, wie die Angreifer hereingekommen sind. Wer nur das erste verfolgt, stellt womöglich ein System wieder her, durch das sie erneut eindringen. Die folgende Reihenfolge orientiert sich an den Empfehlungen des BSI („Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“) und ersetzt keinen auf Ihr Haus zugeschnittenen Notfallplan.

Der Ablauf der ersten 24 Stunden

Sofort: Eindämmen

Betroffene Systeme vom Netz trennen, Krisenteam rufen, Protokoll beginnen.

Stunde 1–4: Lage klären

Ausmaß eingrenzen, Spuren sichern, Sicherungen schützen, Experten hinzuziehen.

Bis Stunde 24: Melden

Erstmeldung an das BSI, falls NIS2 greift, Anzeige, Versicherer, Kommunikation.

Ab Tag 2: Wiederanlaufen

Einfallstor schließen, bereinigen, nach Priorität aus sauberen Sicherungen aufbauen.

Sofort: Ausbreitung stoppen, ohne Spuren zu vernichten

Netzwerkkabel ziehen: Trennen Sie betroffene Systeme vom internen Netz und vom Internet, WLAN eingeschlossen.
Nicht ausschalten: Lassen Sie die Geräte laufen, sofern eine technische Analyse vorgesehen ist. Im Arbeitsspeicher liegen Spuren, die beim Abschalten verloren gehen.
Keine Administratoranmeldung: Melden Sie sich auf einem möglicherweise infizierten System im Netz nicht mit privilegierten Konten an. Genau auf diese Zugangsdaten warten die Angreifer.
Krisenteam zusammenrufen: Geschäftsleitung, IT, Datenschutz, Kommunikation. Weichen Sie für die Abstimmung auf Kanäle außerhalb des betroffenen Netzes aus, etwa Mobiltelefone, und gehen Sie davon aus, dass E-Mail mitgelesen wird.
Protokoll beginnen: Halten Sie jede Beobachtung und Entscheidung mit Uhrzeit und Namen fest, notfalls auf Papier. Das hilft bei der Analyse, bei Meldungen und gegenüber dem Versicherer.

Stunde 1 bis 4: Lage klären und Sicherungen schützen

Das Ausmaß eingrenzen

Welche Standorte, Server und Dienste sind betroffen? Welche laufen noch? Hängt die Produktion oder Versorgung daran? Ist das Active Directory betroffen, müssen Sie grundsätzlich davon ausgehen, dass auch die Zugangsdaten kompromittiert sind. Trennen Sie im Zweifel ganze Segmente oder die Internetanbindung. Ein geplanter Ausfall ist besser als eine weitere Verschlüsselung.

Sicherungen sofort isolieren

Angreifer haben es gezielt auf Sicherungen abgesehen. Trennen Sie die Sicherungssysteme vom Netz, stoppen Sie laufende Sicherungsjobs und überschreiben Sie keine alten Stände. Selbst wenn sie unversehrt wirken, kann ein Stand bereits die Schadsoftware enthalten. Prüfen Sie ihn deshalb vor dem Einspielen.

Spuren sichern und Fachleute hinzuziehen

Soll der Vorfall strafrechtlich verfolgt werden, empfiehlt das BSI gegebenenfalls eine forensische Sicherung einschließlich Speicherabbild, bevor Sie Systeme bereinigen. Protokolle von Firewall, VPN und Verzeichnisdienst haben oft nur eine begrenzte Aufbewahrung. Sichern Sie sie früh. Ziehen Sie erfahrene Unterstützung früh hinzu, solange die Spuren noch frisch sind.

Bis Stunde 24: Melden und kommunizieren

Parallel zur Technik laufen die Fristen. Welche davon für Sie gelten, sollten Sie vorab geklärt haben:

BSI (NIS2): Unter NIS2 fallende Unternehmen melden einen erheblichen Sicherheitsvorfall spätestens nach 24 Stunden, mit erster Bewertung spätestens nach 72 Stunden, abschließend spätestens nach einem Monat.
Datenschutzaufsicht: Sind personenbezogene Daten betroffen, gilt Artikel 33 DSGVO: Meldung möglichst innerhalb von 72 Stunden, außer es besteht voraussichtlich kein Risiko für die Betroffenen. Bei hohem Risiko sind auch die Betroffenen zu informieren.
Polizei: Das BSI empfiehlt die Anzeige. Die Zentralen Ansprechstellen Cybercrime der Länder sind auf solche Fälle eingestellt.
Cyber-Versicherer: Viele Policen enthalten kurze Anzeigepflichten und nennen Dienstleister, die freigegeben werden müssen. Sehen Sie früh in die Bedingungen.

Nach innen braucht es eine klare Ansage an die Beschäftigten: Was ist passiert, was dürfen sie nicht tun, wer antwortet auf Fragen? Nach außen sollten Sie abgestimmt und sachlich kommunizieren. Sagen Sie nur, was gesichert ist. Kunden und Partner erfahren es lieber von Ihnen als aus der Presse oder von der Leak-Seite der Täter.

Lösegeld zahlen?

Das BSI rät ausdrücklich davon ab: nicht auf die Erpressung eingehen, sondern die Daten nach einer Bereinigung des Netzes aus intakten Sicherungen zurückspielen. Dafür sprechen auch praktische Gründe. Niemand garantiert, dass der Schlüssel funktioniert oder dass kopierte Daten wirklich gelöscht werden, und das Einfallstor ist dadurch nicht geschlossen.

Treffen Sie die Entscheidung nicht allein in der IT, sondern in der Geschäftsleitung und mit rechtlicher Beratung. Sollte ein Unternehmen entgegen dieser Empfehlung zahlen, bittet das BSI darum, die Polizei zu informieren.

Die häufigsten Fehler in dieser Lage

Sofort neu aufsetzen, bevor das Einfallstor bekannt ist. Dann kommen die Angreifer über denselben Weg zurück.
Alle Rechner herunterfahren lassen und damit flüchtige Spuren vernichten.
Sich mit dem Domänen-Administrator anmelden, um „schnell nachzusehen“.
Die Sicherung unbesehen zurückspielen, die bereits die Schadsoftware enthält.
Passwörter nur für einzelne Nutzer ändern, statt privilegierte Konten und Dienstkonten planvoll zu erneuern.
Über den kompromittierten Mailserver das weitere Vorgehen abstimmen.

Ab Tag 2: Sicher wiederanlaufen

Der Wiederanlauf folgt der Geschäftspriorität, nicht der Reihenfolge im Rack. Zuerst stehen die Grunddienste wie Verzeichnisdienst, Netz und Sicherung, dann die Systeme, die Produktion, Versorgung oder Lieferfähigkeit tragen. Bauen Sie in einem sauberen, abgetrennten Bereich auf und nehmen Sie jedes System erst nach einer Prüfung wieder in Betrieb. Überwachen Sie die Umgebung in dieser Phase besonders eng, etwa über ein Managed SOC, denn Angreifer versuchen häufig, wiederzukommen.

Was das in Euro bedeuten kann, zeigt unser Ransomware-Ausfallrechner mit Ihren eigenen Zahlen.

Was Sie heute vorbereiten können

Ein Notfallplan auf Papier mit Telefonnummern, Rollen und Vertretungen
Sicherungen, die vom Produktivnetz getrennt sind, und ein belegter Rücksicherungstest
Eine festgelegte Wiederanlaufreihenfolge und ein geübter Notbetrieb
Vorab geklärte Meldewege für BSI, Datenschutzaufsicht, Polizei und Versicherer
Eine Übung des Ablaufs mit der Geschäftsleitung, mindestens einmal im Jahr
Ein Assumed-Breach-Test, der zeigt, wie weit ein Angreifer nach dem ersten Rechner käme

Häufige Fragen

Soll ich betroffene Rechner ausschalten?

In der Regel nein. Das BSI empfiehlt, sie vom Netz zu trennen und nicht auszuschalten, sofern eine technische Analyse vorgesehen ist. Im Arbeitsspeicher liegen Spuren, die sonst verloren gehen.

Muss ich einen Ransomware-Angriff melden?

Das hängt von Ihrer Einstufung ab. Unter NIS2 fallende Unternehmen melden erhebliche Vorfälle an das BSI, die erste Meldung spätestens nach 24 Stunden. Sind personenbezogene Daten betroffen, greift zusätzlich Artikel 33 DSGVO mit einer Frist von 72 Stunden. Eine Anzeige bei der Polizei wird empfohlen.

Kann man verschlüsselte Daten ohne Lösegeld zurückbekommen?

Der verlässliche Weg führt über intakte Sicherungen, die nach der Bereinigung zurückgespielt werden. Deshalb sind vom Produktivnetz getrennte und getestete Sicherungen so wichtig. Für einzelne Schadsoftware-Varianten gibt es teils Entschlüsselungswerkzeuge, darauf verlassen sollte man sich aber nicht.

Reicht es, wenn wir die Systeme einfach neu aufsetzen?

Nur, wenn das Einfallstor bekannt und geschlossen ist und die Zugangsdaten erneuert wurden. Sonst besteht die Gefahr, dass die Angreifer über denselben Weg oder eine hinterlassene Hintertür zurückkommen.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.