Was tun bei Ransomware: die erste Stunde entscheidet
Was tun bei Ransomware: die ersten Minuten in der richtigen Reihenfolge, die Handgriffe, die den Schaden vergrößern, und die Fristen, die ab Kenntnis laufen.
- Die erste Empfehlung des BSI bei einem schweren IT-Sicherheitsvorfall lautet nicht „schnell handeln“, sondern Ruhe bewahren und nicht übereilt handeln – die teuersten Schäden entstehen in den ersten Minuten durch Handgriffe, die sich nicht zurücknehmen lassen.
- Betroffene Systeme werden vom Netz getrennt, aber nicht ausgeschaltet: Das Netzwerkkabel stoppt die Ausbreitung im Netz, ein Herunterfahren vernichtet die Spuren im Arbeitsspeicher.
- Die oberste technische Regel des BSI: niemals mit einem privilegierten Nutzerkonto auf einem potenziell infizierten System anmelden, solange dieses noch im produktiven Netzwerk oder am Internet hängt.
- Zwei Uhren laufen ab Kenntnis vom Vorfall: 72 Stunden für die Meldung einer Datenpanne an die Datenschutz-Aufsichtsbehörde nach Artikel 33 DSGVO und – nur für besonders wichtige und wichtige Einrichtungen nach BSIG – 24 Stunden für die frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK.
- Als Erfahrungswert bei vollständiger Kompromittierung nennt das BSI zwei bis vier Wochen, in denen große Teile der Dienstleistung nicht erbracht werden können – der Notbetrieb ist kein Tagesgeschäft, sondern ein Projekt.
Auf dem Bildschirm steht eine Lösegeldforderung, Dateien tragen fremde Endungen, das Netzlaufwerk antwortet nicht mehr. Ab diesem Moment entscheidet nicht das Tempo, sondern die Reihenfolge. Dieser Beitrag beschreibt die erste Stunde: was zuerst passieren muss, welche gut gemeinten Handgriffe den Schaden vergrößern und welche Fristen ab dem Zeitpunkt laufen, an dem Sie von dem Vorfall wissen.
Drei Fragen gehen dabei leicht durcheinander, deshalb vorweg die Einordnung. Wie Sie einem Angriff vorbeugen, steht im Beitrag zum Ransomware-Schutz. Wie das Dokument aussieht, das Sie vor dem Ernstfall schreiben, steht im IT-Notfallplan. Hier geht es ausschließlich um die Minuten danach. Wer gerade mitten drin steckt, braucht das ohnehin nicht auf dem Bildschirm, sondern auf Papier: Die IT-Notfallkarte zum Ausdrucken fasst die ersten Schritte, die Verbote und Ihre eigenen Nummern auf eine A4-Seite.
Was tun bei Ransomware: die ersten Minuten in der richtigen Reihenfolge
Was tun bei Ransomware bedeutet in der ersten Stunde dreierlei: Ausbreitung stoppen, Spuren erhalten, Entscheidungen bündeln – in genau dieser Reihenfolge. Das BSI hat dafür ein eigenes Arbeitspapier geschrieben, das sich ausdrücklich an kleine und mittlere Unternehmen richtet: „Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“ (Arbeitspapier Version 1.2). Der erste Punkt seiner Kurzfassung ist keine technische Maßnahme, sondern eine Haltung: Ruhe bewahren und nicht übereilt handeln.
- Nichts überstürzen. Die folgenden Schritte kosten zusammen wenige Minuten. Eine falsche Aktion in Minute drei kostet Wochen.
- Isolieren, nicht ausschalten. Betroffene Systeme sofort vom Netzwerk trennen, um die seitliche Ausbreitung zu verhindern: Netzwerkkabel ziehen, WLAN aus. Das Gerät dabei weder herunterfahren noch ausschalten.
- Keine Anmeldung mit Administratorkonten. Die oberste technische Regel des BSI. Auf einem potenziell infizierten System, das noch im produktiven Netz oder am Internet hängt, gibt genau diese Anmeldung den Angreifern die Zugangsdaten, die ihnen bisher fehlten.
- Krisenstab bilden. Wer entscheidet, wer koordiniert die Technik, wer spricht nach außen? Diese drei Rollen müssen benannt sein, bevor die erste Stunde vorbei ist.
- Auf Ersatzwege ausweichen. Nicht über die möglicherweise kompromittierte Infrastruktur kommunizieren. Das BSI empfiehlt, kurzfristig eine Ersatzinfrastruktur bereitzustellen: im Zweifel beschaffte Prepaid-Handys, Laptops mit mobilem Hotspot.
- Backups prüfen, bevor irgendetwas angefasst wird. Gibt es saubere, nicht kompromittierte Sicherungen? Diese Antwort bestimmt jede weitere Entscheidung.
- Hilfe holen. Den IT-Dienstleister und, je nach Lage, Forensik-Spezialisten einschalten. Das BSI rät ausdrücklich, sich früh an externe Experten zu wenden.
Parallel dazu gilt eine Annahme, die man besser gleich trifft: Mit einem Abfluss von Daten ist zu rechnen. Das BSI beschreibt es als inzwischen übliches Vorgehen, dass Angreifende bei einem Ransomware-Angriff auch Daten kopieren und anschließend mit deren Veröffentlichung drohen. Was der Begriff technisch umfasst, erklärt der Wissens-Eintrag zu Ransomware.
Die Handgriffe, die den Schaden vergrößern
Fast alles, was in der ersten Stunde schiefgeht, ist gut gemeint. Die folgenden fünf Reaktionen sind die, die wir am häufigsten sehen, wenn der Anruf bei uns eingeht – und jede davon ist schwer bis gar nicht zu korrigieren.
| Handgriff | Was er zerstört | Stattdessen |
|---|---|---|
| Gerät ausschalten oder herunterfahren | Den Arbeitsspeicher und damit die Spuren, aus denen sich Angriffsweg und Umfang rekonstruieren lassen | Netzwerkkabel ziehen, WLAN aus, Gerät eingeschaltet stehen lassen |
| Mit dem Administratorkonto anmelden, um nachzusehen | Die letzten Zugangsdaten, die den Angreifern noch fehlen | Das System zuerst vom Netz trennen; Admin-Konten auf unbekannte Einträge prüfen |
| Nur den einen auffälligen Rechner bereinigen | Die Chance auf einen sauberen Schnitt – Angreifer kommen über Hintertüren auf den übrigen Systemen zurück | Betroffene Systeme als vollständig kompromittiert behandeln und neu aufsetzen |
| Über die eigenen Systeme weiterkommunizieren | Die Vertraulichkeit jeder Lagebesprechung, solange unklar ist, wer mitliest | Ersatzinfrastruktur nutzen: Prepaid-Handys, Laptop mit mobilem Hotspot |
| Passwörter nur in Windows zurücksetzen | Die Illusion, fertig zu sein – Browser, Mail-Clients, RDP, FileZilla und WinSCP bleiben offen | Alle auf betroffenen Systemen gespeicherten Zugangsdaten als kompromittiert behandeln |
Der dritte Punkt ist der teuerste. Das BSI beschreibt, dass Angreifer im Netzwerk Brückenköpfe etablieren: Systeme, die als einzige mit der Außenwelt sprechen, während der Rest still über sie läuft. Wird nur der Brückenkopf bereinigt, weil nur er aufgefallen ist, holen sich die Täter über Hintertüren auf den anderen Systemen die Kontrolle zurück. Genau dieses Muster erkennt eine Angriffserkennung auf den Endgeräten früher als ein Mensch – wie das funktioniert, steht auf der Seite zu EDR für Endgeräte.
Die Regel „nicht ausschalten“ hat eine Ausnahme, und sie ist präzise. Soll ein Gerät forensisch gesichert werden, ist das Abbild des flüchtigen Speichers laut BSI die einzige Aktion, die noch am laufenden System stattfindet. Danach wird das System nicht heruntergefahren, sondern hart vom Strom getrennt – beim geordneten Herunterfahren fasst das Betriebssystem viele Dateien an und überschreibt einige davon. Wer nicht forensisch sichert, lässt das Gerät einfach eingeschaltet und vom Netz getrennt stehen.
Wer in der ersten Stunde entscheidet
Ein schwerer Vorfall ist keine IT-Aufgabe, sondern eine Leitungsaufgabe mit IT-Anteil. Das BSI empfiehlt für den Krisenstab eine Besetzung aus Leitungsebene als Leitung – nach Möglichkeit aber nicht die Person an der Spitze des Unternehmens –, IT-Leitung, Juristen, Presse- und Öffentlichkeitsarbeit, Datenschutzbeauftragten sowie Personal- oder Betriebsrat. Ausdrücklich hält das BSI fest, dass nicht alle Rollen aus der IT-Abteilung kommen müssen: Projektmanager und Bürofachkräfte entlasten die IT-Spezialisten bei Organisation, Planung und Kommunikation.
Für die Kommunikation gilt eine Reihenfolge, die im Stress gern verrutscht: erst intern, dann extern. Wer die eigene Belegschaft zuletzt informiert, überlässt die Deutung dem Flurfunk. Und Schuldzuweisungen haben in der akuten Phase nichts verloren – sie halten alle auf, die gerade arbeiten müssten.
Wir sehen es jede Woche: Backups, die seit Monaten niemand geprüft hat. Alle denken, es läuft — bis der Ernstfall kommt und nichts wiederherstellbar ist.
Jens HagelGründer & Geschäftsführer
Die Uhren, die ab Kenntnis laufen
Meldepflichten beginnen nicht mit der Aufklärung, sondern mit der Kenntnis. Wer erst meldet, wenn das Bild vollständig ist, meldet zu spät. Diese Fristen stehen im Gesetz – ob und wie sie auf Ihr Unternehmen zutreffen, klärt Ihre Rechtsberatung, nicht dieser Beitrag.
| Uhr | Was zu tun ist | Wen es trifft | Grundlage |
|---|---|---|---|
| 24 Stunden ab Kenntnis | Frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK: Verdacht auf eine rechtswidrige oder böswillige Handlung, mögliche grenzüberschreitende Auswirkungen | nur besonders wichtige und wichtige Einrichtungen nach BSIG | § 32 Abs. 1 Satz 1 Nr. 1 BSIG |
| 72 Stunden ab Kenntnis | Datenpanne an die zuständige Datenschutz-Aufsichtsbehörde melden, unverzüglich und möglichst binnen 72 Stunden; eine spätere Meldung ist zu begründen | jedes Unternehmen, sobald personenbezogene Daten betroffen sind | Artikel 33 Abs. 1 DSGVO |
| 72 Stunden ab Kenntnis | Zweite Meldung an dieselbe Stelle: Angaben bestätigen oder aktualisieren, erste Bewertung nach Schweregrad und Auswirkungen, Kompromittierungsindikatoren | nur besonders wichtige und wichtige Einrichtungen nach BSIG | § 32 Abs. 1 Satz 1 Nr. 2 BSIG |
| unverzüglich | Betroffene Personen in klarer, einfacher Sprache benachrichtigen | wenn die Panne für die Betroffenen voraussichtlich ein hohes Risiko bedeutet | Artikel 34 Abs. 1 und 3 DSGVO |
| 1 Monat ab der 72-Stunden-Meldung | Abschlussmeldung mit Beschreibung, Ursache und Abhilfemaßnahmen; dauert der Vorfall noch an, zunächst eine Fortschrittsmeldung | nur besonders wichtige und wichtige Einrichtungen nach BSIG | § 32 Abs. 1 Satz 1 Nr. 4 und Abs. 2 BSIG |
Der Wortlaut der gestuften Meldekette steht in § 32 BSIG bei „Gesetze im Internet“; die 72-Stunden-Frist und ihren Startpunkt beschreibt die BfDI in ihrem Hinweis zur Meldung eines Datenschutzverstoßes. Wer unsicher ist, ob das BSIG überhaupt greift, klärt das mit dem NIS2-Check und liest die Pflichten im Detail im Beitrag zum NIS2-Umsetzungsgesetz.
Zwei Anrufe gehören dazu, die keine gesetzliche Frist haben und trotzdem früh fällig sind: die Strafanzeige bei der Zentralen Ansprechstelle Cybercrime der Landespolizei, die Unternehmensfälle annimmt, und die Meldung an die Cyber-Versicherung. Letztere ist keine Frist, sondern eine Obliegenheit aus Ihrer Police – viele Verträge verlangen die Meldung, bevor der erste externe Dienstleister beauftragt wird.
Zwei bis vier Wochen: was der Ausfall wirklich bedeutet
Für die Planung des Notbetriebs ist die entscheidende Zahl nicht das Lösegeld, sondern die Dauer. Das BSI nennt in seinem Arbeitspapier als Erfahrungswert bei vollständiger Kompromittierung zwei bis vier Wochen, in denen große Teile der Dienstleistung nicht erbracht werden können oder Produktionsanlagen stillstehen. Wer den Notbetrieb für drei Tage plant, plant zu kurz.
Das BSI empfiehlt für diese Zeit eine unspektakuläre, aber wirksame Sortierung: Jede Dienstleistung wird einer von vier Kategorien zugeordnet – nicht betroffen, auslagerungsfähig, mit sauberem mobilem Gerät eingeschränkt arbeitsfähig, ohne Neuaufbau nicht arbeitsfähig. Erst danach wird priorisiert. Diese halbe Stunde Sortierarbeit ersetzt tagelanges Hin und Her.
Über Weihnachten war alles verschlüsselt. Nur weil ich wöchentlich eine externe Festplatte mit nach Hause genommen habe, gab es noch eine brauchbare Sicherung. Das war Glück.
Nach der ersten Stunde: sauberer Wiederanlauf statt Lösegeld
Das BSI empfiehlt, auf jedwede Form von Erpressung nicht einzugehen und kein Lösegeld zu zahlen; stattdessen sollen die Daten nach einer Bereinigung des Netzwerks aus bestehenden und integren Backups zurückgespielt werden. Der Grund ist nüchtern: Sie verhandeln mit Kriminellen, erhaltene Schlüssel passen nicht immer, und selbst eine erfolgreiche Entschlüsselung ersetzt die Neuinstallation nicht – Hintertüren blieben sonst bestehen. Ob dieser Weg offensteht, entscheidet sich lange vorher, nämlich daran, ob eine geprüfte Datensicherung existiert, die der Angreifer nicht mit erwischt hat.
Ein Einwand, den wir oft hören: Das könne man intern lösen, wenn es so weit sei. Kann man – wenn die eine Person, die das Netz kennt, an diesem Tag da ist, wenn die Nummern der Aufsichtsbehörde nicht im verschlüsselten Adressbuch stehen und wenn jemand parallel mit Kunden spricht. Genau diese drei Bedingungen fallen im Ernstfall zuerst aus. Was vorher schon geordnet ist, hilft dann: Geräte, Konten und Maßnahmen an einer Stelle geführt, wie es die Seite zu Sicherheit und Compliance beschreibt. Bei kjello ist das Teil der Flatrate von 29 Euro je Nutzer und Monat, die Angriffserkennung auf den Endgeräten kommt mit 10 Euro je Nutzer und Monat dazu.
Die IT-Notfallkarte druckt die ersten Schritte, die Verbote, Ihre eigenen Nummern und die laufenden Fristen auf eine A4-Seite. Alle Eingaben bleiben im Browser, nichts wird gesendet. Kostenlos und ohne Anmeldung.
IT-Notfallkarte erstellenFazit: Reihenfolge schlägt Tempo
Die erste Stunde nach einem Ransomware-Angriff lässt sich nicht üben, aber vorbereiten. Wer weiß, dass zuerst das Kabel gezogen und nicht der Stecker, dass kein Administratorkonto ein infiziertes System anfassen darf und dass zwei Uhren ab Kenntnis laufen, trifft in diesen sechzig Minuten keine Entscheidung, die er später bereut. Alles andere – Analyse, Wiederaufbau, Nachbereitung – hat Zeit. Wenn Sie danach ein Stück weiterlesen wollen, ist die IT-Sicherheits-Checkliste für den Mittelstand der ruhige nächste Schritt.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was tun bei Ransomware in den ersten Minuten?
Soll man den Rechner bei Ransomware ausschalten?
Muss ein Ransomware-Angriff gemeldet werden?
Hilft es, bei Ransomware das Lösegeld zu zahlen?
Reicht es, nur den betroffenen Rechner neu aufzusetzen?
Sind bei Ransomware auch Daten abgeflossen?
Vorfälle nachweisbar dokumentieren
Wer im Ernstfall melden muss, braucht Geräte, Konten und Maßnahmen an einer Stelle geführt – sonst beginnt die Beweissuche erst dann, wenn die Uhr schon läuft.
