Ransomware: Was Sie in den ersten 24 Stunden tun – und was Sie nicht anfassen

Es ist kurz nach 8. Der erste Mitarbeiter ruft an: Der Bildschirm zeigt eine rote Meldung. Die Dateien auf dem Netzlaufwerk tragen plötzlich die Endung .locked. Outlook öffnet sich nicht. Der Drucker zeigt „Verbindung getrennt“ – weil der Server, auf dem er hängt, gerade nicht erreichbar ist.

In den nächsten zehn Minuten entscheiden Sie Dinge, die später vor Gericht, bei der Versicherung und im Vorstandsgespräch nachwirken. Und Sie tun es mit einem Kopf, der gerade nicht klar denken will.

Dieser Text ist kein „Fünf Tipps gegen Ransomware“-Artikel. Er ist ein Ablaufplan für den Moment, in dem es passiert ist. Und für die 48 Stunden danach, in denen die eigentliche Arbeit beginnt.

Die ersten 30 Minuten: Was Sie tun – und was Sie nicht anfassen

Was Sie sofort tun

1. Isolation, nicht Ausschalten.
Trennen Sie die betroffenen Systeme vom Netzwerk. Kabel raus, WLAN aus, Switch-Port deaktivieren. Nicht den PC ausschalten, wenn noch nicht klar ist, ob der Angreifer noch aktiv ist: Der RAM-Inhalt (Schlüssel, Session-Daten, Logs) geht beim Herunterfahren verloren. Wenn Sie unsicher sind: einfach vom Netz trennen, laufen lassen, anrufen.

2. Nicht weitersuchen.
Jeder Klick auf eine „Ransomware-Entschlüsselung“ von der ersten Google-Trefferseite, jedes „mal sehen, ob die Datei noch da ist“, jede Formatierung des Laufwerks macht forensische Arbeit schwieriger und kann Beweise zerstören.

3. Anrufen.
Nicht den IT-Dienstleister, der „das schon mal gemacht hat“ und sofort am System herumschraubt. Sondern jemanden, der den Vorfall ordnet, dokumentiert und bei Bedarf Forensik, Versicherung und Behörden zusammenbringt. In Bonn und Umgebung: Meurologic kontaktieren. Wir bieten keine Forensik selbst an – wir vermitteln und begleiten die richtigen Partner und die nächsten Schritte.

4. Einen einzigen Ansprechpartner benennen.
Ab jetzt spricht eine Person mit Versicherung, Anwalt, Behörden, IT und Mitarbeitern. Nicht der Inhaber, nicht die Buchhaltung, nicht der Techniker. Eine Person. Alle anderen sagen: „Das regelt [Name].“

Was Sie nicht tun

• Kein Lösegeld zahlen. Nicht nur, weil es moralisch falsch ist. Sondern weil es keine Garantie für die Entschlüsselung gibt. Es finanziert die nächste Welle, und es garantiert nicht, dass der Angreifer nicht wiederkommt (Double Extortion).
• Nicht selbst „nachschauen“, was los ist. Sie sind kein Forensiker. Jeder Befehl in einer CMD-Eingabeaufforderung, jede umkopierte Datei verändert den Zustand.
• Nicht das Backup „schnell mal einspielen“. Bevor Sie wissen, ob die Sicherung sauber ist, riskieren Sie, auch diese zu kompromittieren. Mehr dazu unten.

Stunden 1 bis 24: Der strukturierte Vorfall

Was jetzt passiert, ist kein IT-Problem. Es ist ein Vorfall mit IT-Anteil. Die Unterscheidung ist wichtig, weil sie bestimmt, wer was tut und in welcher Reihenfolge.

Phase 1: Eindämmung und Dokumentation (Stunde 1–6)

• Betroffene Systeme identifizieren und isolieren.
• Vorfallzeitpunkt, erste Symptome, betroffene Bereiche dokumentieren. Screenshot der Lösegeld-Meldung machen (mit dem Handy, nicht am PC!).
• Klären: Ist der Angreifer noch im Netz?
• Unbetroffene Systeme identifizieren. Das Büro muss nicht komplett stillstehen, wenn Teilbereiche sicher getrennt sind.

Phase 2: Forensik und Einschätzung (Stunde 6–24)

• Wer ist der Angreifer?
• Was wurde verschlüsselt? Was wurde exfiltriert (gestohlen)?
• Wie ist der Angreifer eingedrungen? (Phishing, offenes RDP, gestohlene Zugangsdaten.)
• Ist das Backup betroffen?
• Welche Systeme müssen neu aufgebaut werden?

Diese Phase macht kein KMU selbst. Ihre Aufgabe: Dem Forensik-Team Zugang geben, nicht selbst graben. Wenn Sie uns anrufen, helfen wir, die richtigen Spezialisten einzubinden und den Ablauf mit Versicherung und Betrieb abzustimmen – ohne selbst forensisch zu untersuchen.

Die Meldepflichten: Was viele übersehen (und was teuer wird)

Das ist der Abschnitt, an den in der ersten Panik niemand denkt – und der am häufigsten zu Bußgeldern oder Versicherungsrückstufen führt.

1. Cyber-Versicherung (Sofort)

Die meisten Cyber-Policen haben eine strenge Meldefrist. Was die Versicherung verlangt:

• Keine eigenmächtige Wiederherstellung.
• Keine Lösegeldzahlung ohne Zustimmung.
• Eine Strafanzeige (siehe Punkt 3).

Rufen Sie die Hotline Ihrer Versicherung in den ersten Stunden an. Nicht, weil Sie alles wissen, sondern weil die Uhr läuft.

2. DSGVO / LDI NRW (72 Stunden)

Betrifft der Vorfall personenbezogene Daten (Mitarbeiter, Kunden, Rechnungen), müssen Sie die Datenschutzbehörde informieren. Für Unternehmen in Bonn und Umgebung ist das die LDI NRW (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen).

Der entscheidende Punkt: Die 72 Stunden laufen ab dem Moment, in dem Sie Kenntnis haben. Nicht ab dem Moment, in dem die Forensik fertig ist. Sie melden, was Sie bisher wissen, und reichen Details nach.

3. Polizei und Strafanzeige (Bonn / NRW)

Fast jede Cyber-Versicherung verlangt für die Schadensregulierung eine offizielle Strafanzeige. In Nordrhein-Westfalen ist die ZAC NRW (Zentral- und Ansprechstelle Cybercrime) die richtige Anlaufstelle für Unternehmen, ebenso wie das zuständige Polizeipräsidium Bonn. Die Polizei kann zudem wertvolle forensische Hinweise liefern, da bestimmte Ransomware-Gruppen dort bereits bekannt sind.

Wiederherstellung: Warum „Backup einspielen“ nicht der Plan ist

Ein Backup, das Sie noch nie getestet haben, ist eine Hoffnung. Kein Plan.

1. Das Backup ist nicht automatisch sauber. War der Angreifer Wochen im Netz (Dwell Time), hat er vielleicht das Backup kompromittiert. Im Idealfall stellen Sie aus einer immutable (unveränderbaren) Sicherung wiederher, die der Angreifer nicht erreichen konnte.
2. Die Reihenfolge entscheidet. Erst Firewall und Netzwerk neu aufsetzen. Dann Server. Dann Arbeitsplätze. Dann Daten. Sonst haben Sie den Angreifer wieder im Netz, bevor Sie die Tür verschlossen haben.
3. Es dauert länger, als Sie denken. Zwei Tage bis zwei Wochen. Das müssen Sie planen, kommunizieren und überbrücken.

Wie belastbare Backup-Konzepte für KMU wirklich aussehen, finden Sie auf unserer Seite zu IT-Sicherheit und Backup.

Prävention: Was Sie jetzt tun können

Sie müssen nicht heute Abend Ihr gesamtes Sicherheitskonzept umwälzen. Aber Sie können Dinge tun, die 80 % des Schadens verhindern:

1. Backup mit Abstand: Prüfen Sie, ob Ihre Sicherung im Ernstfall trägt. Gibt es eine Offline-Kopie oder ein unveränderbares Backup, das nicht über die normalen Admin-Zugänge erreichbar ist?
2. Zugänge straffen: Ist Ihr VPN durch Multifaktor-Authentifizierung (MFA) geschützt? Ist RDP aus dem Internet erreichbar?
3. Wissen, wen Sie anrufen: Wenn es passiert, brauchen Sie jemanden, der ruhig bleibt, den Vorfall strukturiert und Forensik sowie Meldungen organisiert – nicht jemanden, der sofort „repariert“.

Wenn Sie unsicher sind, ob Ihr Backup wirklich schützt: Wir prüfen das mit Ihnen. Ohne Panikmache, mit konkreten nächsten Schritten für KMU in Bonn.

Hinweis: Dieser Text dient der Orientierung im Notfall und ersetzt keine rechtliche Beratung. Für verbindliche juristische Schritte kontaktieren Sie Ihren Datenschutzbeauftragten oder Fachanwalt.