Cyberangriff – was tun? Die ersten Stunden nach einem Angriff

Meist an Dingen, die niemand bewusst ausgelöst hat. Typische Anzeichen sind Dateien, die sich nicht mehr öffnen lassen und eine fremde Endung tragen, ein Erpresserschreiben auf dem Bildschirm, neue Administratorkonten oder Mails aus euren Postfächern, die keiner geschrieben hat.

Auch kleinere Auffälligkeiten können der Anfang sein: ein Virenschutz, der plötzlich deaktiviert ist, Anmeldungen zu ungewöhnlichen Zeiten oder ein Kollege, der berichtet, er habe sein Passwort auf einer seltsamen Seite eingegeben. Wichtig ist, solche Beobachtungen nicht für sich zu behalten. Hat jemand auf einen Link in einer verdächtigen Mail geklickt, aber noch ist nichts passiert? Dann helfen die ersten Schritte aus unserem Beitrag Phishing-Mails erkennen.

Der erste Schritt ist kein technischer: Ruhe bewahren und den Vorfall sofort an die zuständige Stelle melden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bringt es auf seiner IT-Notfallkarte auf den Punkt: lieber einmal mehr als einmal zu wenig anrufen.

Die IT-Notfallkarte des BSI nennt fünf Fragen, die eine gute Meldung beantwortet:

Dazu drei Verhaltensregeln: die Arbeit am betroffenen System einstellen, Beobachtungen dokumentieren und Maßnahmen nur nach Anweisung einleiten. Gerade der letzte Punkt ist wichtig. Gut gemeinte Aufräumaktionen, etwa Dateien löschen oder einen Virenscan starten, können Spuren vernichten, die später für die Aufklärung fehlen.

Betroffene Systeme werden vom Netzwerk und vom Internet getrennt, aber nicht heruntergefahren. So stoppt ihr die Ausbreitung, ohne Spuren im Arbeitsspeicher zu verlieren.

In seiner Checkliste Technik empfiehlt das BSI, betroffene Systeme vom internen Netz und vom Internet zu trennen, zum Beispiel durch Ziehen des Netzwerkkabels. Und es rät ausdrücklich, das Gerät nicht herunterzufahren oder auszuschalten, wenn eine technische Analyse geplant ist. Im Arbeitsspeicher stecken oft Hinweise darauf, wie die Angreifer vorgegangen sind.

Ganz so einfach ist es in der Praxis nicht immer: Laptops laufen auf Akku weiter, WLAN-Geräte haben kein Kabel. Das BSI rät deshalb auch nicht pauschal zum Stecker-Ziehen, sondern dazu, Gegenmaßnahmen mit den zuständigen Ansprechpartnern abzustimmen (FAQ zur IT-Notfallkarte). Für euer Team heißt das: melden und Finger weg. Die Trennung übernimmt, wer dafür festgelegt ist.

Danach gilt laut BSI:

Ein Cyberangriff ist eine Straftat, und für Unternehmen gibt es bei der Polizei eine eigene Anlaufstelle. In Nordrhein-Westfalen ist das die Zentrale Ansprechstelle Cybercrime (ZAC) beim Landeskriminalamt NRW.

Die ZAC ist laut polizei.de der polizeiliche Kontaktpunkt für Unternehmen, besonders in akuten Fällen. Zuständig ist die ZAC des Bundeslandes, in dem euer Unternehmen sitzt oder die Tat begangen wurde. Für NRW nennt die Übersicht folgende Kontaktdaten:

Das LKA NRW empfiehlt bei Ransomware klar: Anzeige erstatten, kein Lösegeld zahlen und keine eigenen Entschlüsselungsversuche unternehmen, weil sie eine spätere Entschlüsselung erschweren können. Wer Strafverfolgung will, sollte beweissicher vorgehen. Das BSI empfiehlt dafür, gegebenenfalls eine forensische Sicherung inklusive Speicherabbild anzufertigen, bevor Virenschutzprogramme laufen.

Ob und wo ihr melden müsst, hängt davon ab, was betroffen ist und wer ihr seid. Drei Fragen helfen beim Sortieren.

Sind personenbezogene Daten betroffen? Dann greift die Datenschutz-Grundverordnung. Nach Art. 33 DSGVO meldet ihr eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie euch bekannt wurde, an die zuständige Aufsichtsbehörde, es sei denn, sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Für Unternehmen in NRW ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI NRW). Besteht ein hohes Risiko, müsst ihr nach Art. 34 DSGVO auch die betroffenen Personen benachrichtigen. Bindet euren Datenschutzbeauftragten früh ein.

Seid ihr eine NIS2-Einrichtung? Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz (BSI-FAQ). Besonders wichtige und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle an das BSI melden: eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach (§ 32 BSIG). Ob ihr dazugehört, klärt die Betroffenheitsprüfung des BSI. Alle anderen können Vorfälle freiwillig und auf Wunsch anonym über das Meldeformular des BSI melden.

Was steht in euren Verträgen? Die Checkliste Organisatorisches des BSI erinnert an vertragliche Informationspflichten gegenüber Auftraggebern, Geschäftspartnern, Dienstleistern und Versicherungen. Wer eine Cyberversicherung hat, sollte deren Meldewege kennen, bevor etwas passiert.

Dieser Überblick ist keine Rechtsberatung. Bei Fragen zu Meldepflichten im Einzelfall hilft euer Datenschutzbeauftragter oder eine Anwältin bzw. ein Anwalt.

Nach einem Angriff wollen Mitarbeitende, Kunden und manchmal die Presse wissen, was los ist. Wer nicht informiert, lässt Raum für Gerüchte.

Das BSI rät in seiner Checkliste Organisatorisches, die interne Information der Mitarbeitenden nicht zu vernachlässigen, eine Person für die Kommunikation zu benennen und auch Kunden und Öffentlichkeit mitzudenken. Aus der Praxis kommen drei Punkte dazu:

Die beste Zeit für einen IT-Notfallplan ist, bevor ihr ihn braucht. Ein einfacher Einstieg ist die IT-Notfallkarte des BSI, die wie das Schild »Verhalten im Brandfall« funktioniert.

Die Karte könnt ihr kostenlos herunterladen, mit eurer Notfallnummer ergänzen und im Flur oder an den Arbeitsplätzen aushängen (BSI). Darauf aufbauend:

Bei unseren Kunden mit Managed Services gilt: Im Ernstfall steht sofort jemand bereit, der eure Systeme kennt. Ein fester Ansprechpartner, laufendes Monitoring und vorher festgelegte Reaktionszeiten sorgen dafür, dass im Notfall niemand erst suchen muss, wer zuständig ist.

Noch besser ist, wenn es gar nicht so weit kommt. Auf unserer Seite zur IT-Sicherheit beschreiben wir, wie wir mit euch vorgehen: erst ein Lagebild mit Prioritäten, in dem wir auch Backup und Notfallvorsorge prüfen, dann ein Sicherheitskonzept mit Notfallplan, dazu Awareness-Trainings, damit ein Angriff gar nicht erst Fuß fasst.