Was tun nach einem Cyberangriff – die Kurzantwort
Im Ernstfall zählen die ersten 2 Stunden: betroffene Systeme isolieren (Netzwerk trennen), nicht selbst versuchen zu löschen oder zu entschlüsseln, IT-Sicherheitsexperten hinzuziehen und bei schweren Angriffen das BSI sowie die Polizei informieren. Danach folgt die Schadenserfassung. Wer diese Reaktionskette vorab geplant hat, muss im Ernstfall niemanden raten lassen – genau darin unterstützt Beraterium KMU im Rahmen der Risikoanalyse für den Mittelstand.
Dieser Artikel liefert beides: die Sofortmaßnahmen-Checkliste für den akuten Fall und die Prävention, mit der es gar nicht erst so weit kommt.
Die ersten 2 Stunden: Sofortmaßnahmen-Checkliste
Arbeite diese Schritte der Reihe nach ab – Geschwindigkeit schlägt Perfektion:
- Systeme isolieren: Betroffene Rechner und Server vom Netzwerk trennen (LAN-Kabel ziehen, WLAN deaktivieren). Nicht herunterfahren – im Arbeitsspeicher liegen Spuren für die Forensik.
- Nichts löschen, nichts entschlüsseln: Keine eigenen Rettungsversuche, keine Zahlung von Lösegeldforderungen. Beides verschlimmert die Lage fast immer.
- Notfallkontakte aktivieren: IT-Dienstleister oder IT-Sicherheitsexperten anrufen. Die Nummern gehören auf Papier oder ins private Handy – nicht nur ins möglicherweise verschlüsselte System.
- Zugänge sichern: Alle Passwörter zentraler Konten (E-Mail, Bank, Cloud) von einem sauberen Gerät aus ändern, Zwei-Faktor-Authentifizierung prüfen.
- Lage dokumentieren: Fotos von Bildschirmen, Uhrzeiten, betroffene Systeme notieren – wichtig für Versicherung, Polizei und Meldepflichten.
- Meldeketten starten: Bei schweren Angriffen BSI und Polizei (ZAC) informieren, bei Datenabfluss die Datenschutzaufsicht (siehe nächster Abschnitt).
Wen muss ich informieren – und bis wann?
Nach einem Angriff laufen mehrere Fristen parallel. Die wichtigsten im Überblick:
- Datenschutzaufsicht (DSGVO Art. 33): Bei Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden – das betrifft praktisch jeden Angriff, bei dem Kunden- oder Mitarbeiterdaten abgeflossen sein könnten.
- BSI (nur NIS2-regulierte Unternehmen): Erstmeldung binnen 24 Stunden, Bewertungsmeldung binnen 72 Stunden, Abschlussbericht nach einem Monat. Ob dein Unternehmen unter NIS2 fällt und was die Geschäftsführung persönlich verantworten muss, erklärt die Seite NIS2 für KMU.
- Polizei / ZAC: Keine Frist, aber dringend empfohlen – die Zentralen Ansprechstellen Cybercrime der Landeskriminalämter sind auf Unternehmen spezialisiert und arbeiten diskret.
- Cyber-Versicherung: Sofort, sonst riskierst du den Versicherungsschutz. Viele Policen stellen zudem eigene Incident-Response-Teams.
- Betroffene Personen: Bei hohem Risiko für Kunden oder Mitarbeitende verlangt die DSGVO auch deren direkte Benachrichtigung.
Wie schütze ich mich präventiv – ohne eigene IT-Abteilung?
Die gute Nachricht: Die wirksamsten Maßnahmen gegen die häufigsten Angriffe (Phishing, Ransomware, gestohlene Passwörter) sind für jedes KMU umsetzbar:
- Zwei-Faktor-Authentifizierung für alle Konten, ausnahmslos – der günstigste Schutz mit der größten Wirkung.
- Offline-Backups nach der 3-2-1-Regel (drei Kopien, zwei Medien, eine außer Haus) – und mindestens einmal im Quartal testen, ob die Wiederherstellung wirklich funktioniert.
- Automatische Updates für Betriebssysteme und alle Programme.
- Passwort-Manager statt wiederverwendeter Passwörter.
- Kurze, regelmäßige Schulungen: Die meisten Angriffe beginnen mit einer E-Mail an einen Menschen, nicht mit einem Hack der Technik.
- Schriftlicher Notfallplan: Wer macht was, wer wird angerufen, wo liegen die Backups? Auf Papier, nicht nur digital.
Vertiefung mit Schadenszenarien und Maßnahmenpaketen für den Mittelstand: Cyberangriffe als Unternehmensrisiko.
Wie ordnet Beraterium Cyberrisiko in die Gesamt-Risikoanalyse ein?
Cyber ist für die meisten KMU ein großes Risiko – aber selten das einzige und nicht immer das größte. Im 3-Ebenen-Gefahrenkatalog von Beraterium wird das Cyberrisiko deshalb neben Ausfall-, Markt- und Finanzrisiken erfasst, in Euro bewertet und in der Risikomatrix priorisiert. Das Ergebnis: Du siehst schwarz auf weiß, ob ein Ransomware-Stillstand oder etwa der Ausfall einer Schlüsselperson dein Unternehmen härter treffen würde – und investierst dein Budget dort, wo es am meisten Risiko senkt. Die Grundlagen dieser Methodik erklärt Was ist Risikomanagement?.
Wenn du wissen willst, wo dein Unternehmen heute steht: Im kostenlosen Erstgespräch klären wir in 30 Minuten, welche Risiken bei dir oben auf der Liste stehen sollten – Cyber eingeschlossen.
