Es ist Montagmorgen, und auf drei Bildschirmen steht dasselbe Erpresserschreiben. Oder jemand aus der Buchhaltung ruft an, weil sich das Microsoft-Konto nicht mehr öffnen lässt und Kunden seltsame Mails erhalten. In diesem Moment zählt nicht, wie gut die Firewall ist. Es zählt, was die nächsten sechzig Minuten passiert.
Wir begleiten Vorfälle bei Schweizer KMU und sehen immer wieder dasselbe Muster: Der Schaden entsteht nicht nur durch den Angriff, sondern durch das, was danach gut gemeint, aber falsch gemacht wird. Geräte werden neu gestartet, Spuren gelöscht, oder es passiert eine Stunde lang gar nichts, weil niemand weiss, wer entscheidet. Dieser Artikel ist die Reihenfolge, die wir im Ernstfall abarbeiten. Druck ihn aus und leg ihn dorthin, wo du ihn ohne Computer findest.
Schritt 1: Ruhe bewahren, nichts löschen, nichts neu starten
Der erste Impuls ist fast immer falsch. Nicht das Erpresserschreiben schliessen, nicht den Rechner neu starten, nicht verdächtige Dateien löschen, nicht das Virenprogramm anwerfen und alles bereinigen lassen. Jede dieser Handlungen vernichtet Informationen, die später nötig sind, um zu verstehen, wie der Angreifer hereingekommen ist und was er mitgenommen hat.
Ebenso wichtig: Niemand nimmt Kontakt mit den Erpressern auf, und niemand bezahlt. Nicht aus Prinzip, sondern weil diese Entscheidung nicht in der ersten Stunde und nicht von der Person vor dem Bildschirm getroffen wird. Lies dazu, wie Ransomware heute funktioniert und warum die Verschlüsselung oft nur der letzte Schritt ist.
Schritt 2: Isolieren statt abschalten
Das betroffene Gerät muss vom Netz, aber es soll eingeschaltet bleiben. Netzwerkkabel ziehen, WLAN deaktivieren, fertig. Im Arbeitsspeicher eines laufenden Rechners liegen Spuren, die beim Ausschalten unwiederbringlich verloren gehen: welche Programme laufen, welche Verbindungen offen sind, manchmal sogar der Schlüssel, mit dem gerade verschlüsselt wird.
Wenn mehrere Geräte betroffen sind oder du nicht weisst, wie weit sich der Angriff ausgebreitet hat, trenne den Standort oder das Segment als Ganzes vom Internet. Das ist radikal, aber es stoppt den Abfluss von Daten und die Kommunikation des Angreifers mit seinen Systemen. Ein Tag ohne Internet ist billiger als eine Woche ohne Firma.
Schritt 3: Konten sperren und Fernzugriffe kappen
Die meisten Angriffe laufen über gültige Zugangsdaten. Deshalb gehören alle Konten gesperrt, die mit dem Vorfall in Verbindung stehen könnten: das Konto der betroffenen Person, alle Admin-Konten, Dienstkonten auf dem betroffenen System. Sperren heisst deaktivieren und aktive Sitzungen beenden, nicht nur das Passwort ändern. Eine bestehende Sitzung überlebt eine Passwortänderung oft.
Dann der Blick nach aussen: VPN-Zugänge, Fernwartungstools, Zugänge von IT-Partnern und Lieferanten. Was nicht zwingend gebraucht wird, wird vorübergehend abgeschaltet. Angreifer legen sich gern einen zweiten Weg zurück ins Netz, und der führt oft über ein unscheinbares Konto, das niemand im Blick hat.
Schritt 4: Beweise sichern
Fotografiere das Erpresserschreiben mit dem Handy, inklusive der Adresse, die dort angegeben ist. Notiere, welche Geräte betroffen sind, mit Namen und Zeitpunkt. Wenn Mails der Auslöser waren, bewahre sie auf statt sie zu löschen. Fasse keine Logs an, lösche nichts aus dem Papierkorb, räume nicht auf.
Das klingt nach Nebensache, ist aber die Grundlage für alles, was danach kommt: für die Analyse, für die Versicherung, für die Meldung an Behörden und für die Frage, ob Kundendaten abgeflossen sind. Was in der ersten Stunde nicht gesichert wird, lässt sich später meist nicht mehr rekonstruieren.
Schritt 5: Die richtigen Leute alarmieren
Jetzt kommt die Frage, die ein Notfallplan vorher beantwortet haben sollte: Wer entscheidet, und wen rufen wir an? Intern braucht es eine Person, die die Führung übernimmt, und das ist nicht automatisch die IT. Die IT arbeitet am Problem, jemand anderes koordiniert, kommuniziert und trifft Entscheidungen.
Extern gehören auf die Liste: der IT-Partner, ein Incident-Response-Partner, falls vorhanden, und die Cyberversicherung. Letztere früh, nicht am Ende. Viele Policen schreiben vor, dass der Versicherer innert weniger Stunden informiert wird und bei der Wahl der Dienstleister mitredet. Wer das überspringt, riskiert die Deckung. Falls du keinen festen Partner hast, ist unser Incident Response der Kontakt, den du auf diese Liste schreiben kannst.
Schritt 6: Ausserhalb der betroffenen Systeme kommunizieren
Wenn der Angreifer in deiner Microsoft-365-Umgebung sitzt, liest er deine Mails. Auch die, in denen du besprichst, wie du ihn loswirst. Die Kommunikation über den Vorfall läuft deshalb ab sofort über Kanäle, die mit dem Firmennetz nichts zu tun haben: Telefon, private Handys, ein Messenger auf privaten Geräten.
Dasselbe gilt für die Kontaktliste aus Schritt 5. Wenn sie nur im Intranet oder im Mailpostfach liegt, ist sie im Ernstfall verschlüsselt oder mitgelesen. Ein ausgedrucktes Blatt in der Schublade ist keine altmodische Idee, sondern die einzige Version, die garantiert funktioniert.
Schritt 7: Umfang klären und Protokoll führen
Erst jetzt beginnt die eigentliche Lagebeurteilung. Welche Systeme sind betroffen, welche nicht? Welche Konten wurden benutzt? Sind die Backups erreichbar und intakt, oder wurden sie ebenfalls verschlüsselt oder gelöscht? Gibt es Hinweise, dass Daten abgeflossen sind? Diese Fragen müssen nicht in der ersten Stunde vollständig beantwortet sein. Aber sie müssen gestellt werden, damit die nächsten Schritte eine Grundlage haben.
Parallel dazu führt eine Person ein Protokoll: Wer hat wann was gemacht, was wurde festgestellt, welche Entscheidungen wurden getroffen. Handschriftlich oder auf einem sauberen Gerät, in einfachen Sätzen mit Uhrzeit. Dieses Protokoll ist Gold wert, wenn später die Versicherung, die Behörden oder die Geschäftsleitung wissen wollen, was passiert ist. Und es verhindert, dass im Chaos dieselben Dinge dreimal gemacht werden.
Was nach der ersten Stunde kommt
Die sieben Schritte stoppen die Blutung. Was danach kommt, dauert Tage bis Wochen und braucht Fachleute. Dazu gehört die Frage, wie der Angreifer hereingekommen ist, denn ohne diese Antwort ist jede Wiederherstellung ein Neustart mit offener Tür. Dazu gehört die saubere Wiederherstellung aus Backups, die nachweislich nicht kompromittiert sind. Und dazu gehört die Kommunikation: an Mitarbeitende, an Kunden, an Lieferanten.
Vergiss die Meldepflichten nicht. Betreiber kritischer Infrastrukturen müssen Cyberangriffe innert 24 Stunden dem Bundesamt für Cybersicherheit melden. Sind Personendaten betroffen, verlangt das Datenschutzgesetz eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten, wenn ein hohes Risiko für die Betroffenen besteht. Auch wer nicht meldepflichtig ist, sollte den Vorfall melden: Die Informationen helfen anderen Unternehmen, und sie kosten nichts.
Vorbereitung: Der Plan vor dem Ernstfall
Alles oben Beschriebene ist in der ersten Stunde nur umsetzbar, wenn es vorher einmal durchdacht wurde. Ein Notfallplan für ein KMU passt auf zwei Seiten:
- Wer entscheidet? Eine Person mit Stellvertretung, und zwar mit Namen und Handynummer.
- Wen rufen wir an? IT-Partner, Incident-Response-Partner, Versicherung mit Policennummer, Datenschutzberatung, bei Bedarf Polizei.
- Was schalten wir zuerst ab? Welche Systeme sind kritisch, welche dürfen vom Netz?
- Wie kommunizieren wir? Welcher Kanal, wenn E-Mail und Teams nicht mehr gehen?
- Wo liegt der Plan? Ausgedruckt, und an einem Ort ausserhalb des Netzes.
Spiele den Plan einmal im Jahr durch. Am Tisch, in einer Stunde, mit einem fiktiven Szenario. Du wirst Lücken finden, und genau das ist der Zweck der Übung. Eine Cyberversicherung fragt inzwischen gezielt danach, und ein Unternehmen, das im Ernstfall sofort weiss, was zu tun ist, spart Tage an Stillstand.
Fazit
Die erste Stunde nach einem Angriff entscheidet nicht darüber, ob er passiert ist, aber darüber, wie teuer er wird. Wer in dieser Stunde isoliert statt abschaltet, Spuren sichert statt löscht und die richtigen Leute erreicht statt alleine zu kämpfen, hat die besten Karten.
Noch besser ist, den Angriff zu erkennen, bevor es ein Erpresserschreiben gibt. Angreifer bewegen sich oft Tage im Netz, bevor sie zuschlagen, und genau in diesem Fenster setzt Spectacles an: Es erkennt verdächtiges Verhalten auf Endpoints und in Cloud-Konten und kann ein betroffenes System isolieren, bevor der Angriff sich ausbreitet. Und wenn du wissen willst, wo dein Unternehmen heute steht, zeigt dir ein Security Health Check die Lücken mit Prioritäten, inklusive der Frage, ob dein Notfallplan trägt.