Die ersten Schritte
- Ruhe bewahren, Verantwortliche informieren: Wer leitet den Vorfall? Wer entscheidet? Das sollte vorher feststehen.
- Betroffene Systeme vom Netz trennen: Netzwerkkabel ziehen oder WLAN trennen, um die Ausbreitung zu stoppen. Geräte nicht vorschnell neu aufsetzen, weil sonst Spuren verloren gehen.
- Backups schützen: Prüfen, ob Sicherungen erreichbar sind, und sie vom Netz nehmen, bevor sie ebenfalls betroffen werden.
- Beweise sichern: Lösegeldforderung fotografieren, Zeitpunkt notieren, betroffene Systeme dokumentieren.
- Zugangsdaten ändern: Wenn möglich von einem sauberen Gerät: Administratorkonten und wichtige Dienste.
Wen Sie informieren sollten
- Ihren IT-Dienstleister und, falls vorhanden, Ihre Cyberversicherung. Viele Policen verlangen schnelle Meldung.
- Die Polizei: Die Zentrale Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts nimmt Anzeigen auf.
- Bei Verlust oder Zugriff auf personenbezogene Daten: die Datenschutzaufsicht, in der Regel innerhalb von 72 Stunden nach Bekanntwerden (Art. 33 DSGVO), sowie gegebenenfalls Betroffene.
- Wenn Ihr Unternehmen unter NIS-2 fällt: die dort vorgesehenen Meldefristen beachten.
Lösegeld zahlen?
Behörden raten in der Regel davon ab. Eine Zahlung garantiert weder die Entschlüsselung noch dass Daten nicht veröffentlicht werden, und sie finanziert weitere Angriffe. Die Entscheidung gehört nicht in die Hektik der ersten Stunde, sondern mit Fachleuten und gegebenenfalls Rechtsbeistand besprochen.
Wiederherstellung und Lehren
Stellen Sie Systeme aus sauberen Backups wieder her, nachdem Einfallstor und Verbreitung geklärt sind. Sonst wiederholt sich der Angriff. Danach gehören Zugangsdaten, Berechtigungen und Netzwerkregeln auf den Prüfstand. Schreiben Sie auf, was gut und was schlecht lief, und passen Sie den Notfallplan an.
Was Sie vorab vorbereiten sollten
Ein Notfallplan mit Telefonnummern, Rollen und einer Anleitung für die erste Stunde, ausgedruckt, denn bei einem Angriff sind digitale Dokumente womöglich nicht erreichbar. Dazu getestete Backups (siehe 3-2-1-Regel) und ein Ansprechpartner, den Sie anrufen können. Dieser Beitrag ersetzt keine Rechtsberatung.