Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

IT-Sicherheitsvorfall: technische Erstmaßnahmen nach BSI

Kurz gesagt: Bei einem IT-Sicherheitsvorfall rät das BSI: betroffene Systeme durch Ziehen des Netzwerkkabels isolieren, aber nicht ausschalten, keine Anmeldung mit Administratorkonten auf befallenen Rechnern, alle dort genutzten Zugangsdaten als kompromittiert behandeln und saubere Offline-Backups sichern. Parallel informierst du Geschäftsleitung und Datenschutzbeauftragten und prüfst Meldepflichten.

Stand: 03.11.2026

Was ist in den ersten Minuten zu tun?

Das BSI hat für Unternehmen zwei Checklisten veröffentlicht: eine für die Technik und eine für das Organisatorische. Beide richten sich vor allem an kleine und mittlere Unternehmen und lassen sich teilweise parallel abarbeiten. Sie ersetzen kein Notfallmanagement, geben aber eine klare Reihenfolge vor. Bei einem Verschlüsselungstrojaner, einem gekaperten E-Mail-Konto oder einem Angreifer im Netz gelten dieselben Grundregeln.

  1. Netzwerkkabel ziehen: Trenne betroffene Systeme vom internen Netz und vom Internet, indem du das Netzwerkkabel ziehst. Bei WLAN-Geräten trennst du entsprechend die Funkverbindung.
  2. Nicht ausschalten: Fahr das Gerät nicht herunter, wenn eine technische Analyse geplant ist. Im Arbeitsspeicher liegen Spuren, die beim Ausschalten verloren gehen.
  3. Keine Admin-Anmeldung: Melde dich auf möglicherweise befallenen Systemen nicht mit privilegierten Konten an. Sonst können Angreifer genau diese Zugangsdaten abgreifen.
  4. Nicht nur das Offensichtliche: Ermittle alle betroffenen Systeme. Laut BSI können weitere Rechner befallen sein, die nur auf Befehle der Angreifer warten.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Welche technischen Maßnahmen empfiehlt das BSI?

Beweise sichern, bevor du aufräumst

Ist eine Strafverfolgung geplant, empfiehlt das BSI eine forensische Sicherung einschließlich eines Abbilds des Arbeitsspeichers, selbst, über einen Dienstleister oder über die Strafverfolgungsbehörden. Virenscanner sollen erst danach laufen, weil sie flüchtige und dauerhafte Speicher verändern können.

Befallene Rechner neu aufsetzen

Infizierte Systeme gelten laut BSI als vollständig kompromittiert. Eine punktuelle Bereinigung erfordert tiefes Fachwissen. Der Regelfall ist deshalb die komplette Neuinstallation.

Zugangsdaten als verloren betrachten

Alle Zugangsdaten, die auf betroffenen Systemen gespeichert waren oder nach der Infektion dort eingegeben wurden, behandelst du als kompromittiert. Ist das Active Directory betroffen, gilt nach dem BSI das gesamte Netzwerk als kompromittiert. Prüfe auch, ob es privilegierte Konten gibt, die niemand braucht, und ob Angreifer kürzlich Rechte angelegt haben.

Überwachen und protokollieren

Falls noch nicht ausreichend vorhanden, richtest du Monitoring und Protokollierung ein, um laufende Angriffe oder Datenabfluss zu erkennen. Stimme das vorher mit dem Datenschutzbeauftragten und gegebenenfalls dem Betriebsrat ab. Das BSI nennt einen vollständigen Mitschnitt des Netzwerkverkehrs als bewährtes Vorgehen, etwa über Spiegelports an zentralen Switches und am Übergang ins Internet, außerdem Firewall-Logs. Protokolle gehören auf eigene Log-Server, möglichst außerhalb des Büronetzes, denn Angreifer versuchen, Protokolle zu verhindern oder zu manipulieren. Erkannte Zugänge der Angreifer sperrst du.

Backups prüfen

Kläre, ob aktuelle, saubere und intakte Datensicherungen vorhanden sind, idealerweise offline gelagert. Das BSI warnt: Online erreichbare Backups können versehentlich oder gezielt mit kompromittiert worden sein. Denk auch an Daten in Außenstellen oder auf Geräten von Mitarbeitenden, die gerade im Urlaub sind.

Was ist organisatorisch zu tun?

  • Intern informieren: IT-Sicherheitsverantwortliche, Datenschutzbeauftragte, IT-Betrieb und Geschäftsleitung. Das BSI verweist dafür auf seine IT-Notfallkarte.
  • Krisenstab bilden: Rollen und Zuständigkeiten festlegen. Wer entscheidet, wer erledigt was bis wann?
  • Informationen sammeln: Was ist passiert, wie ist es aufgefallen, welche Auswirkungen hat es auf Kerndienste, Kunden und Partner? Abwägen, ob der Weiterbetrieb oder die Beweissicherung Vorrang hat.
  • Kommunikation steuern: Eine verantwortliche Person benennen und Mitarbeitende mit abgestimmten Aussagen informieren.
  • Meldepflichten prüfen: Bei einer Datenschutzverletzung muss der Vorfall an die zuständige Datenschutzaufsichtsbehörde gemeldet werden. Prüfe außerdem vertragliche Pflichten gegenüber Auftraggebern, Partnern und der Versicherung. Freiwillig kannst du den Vorfall über das Melde- und Informationsportal des BSI melden.
  • Anzeige erstatten: Die Zentralen Ansprechstellen Cybercrime der Polizeien sind für Unternehmen zuständig.
  • Nachbereiten: Aus dem Vorfall lernen und sich auf den nächsten vorbereiten.

Welche Fehler solltest du vermeiden?

  • Den befallenen Server sofort neu starten oder ausschalten und damit Spuren vernichten.
  • Mit dem Domänen-Administrator auf dem infizierten Rechner nachsehen, was los ist.
  • Die Sicherung, die noch am Netz hängt, für sauber halten, ohne sie zu prüfen.
  • Einen Rechner „nur schnell bereinigen“ und weiterarbeiten, statt ihn neu aufzusetzen.

So unterstützen wir dich

Im Ernstfall helfen wir Unternehmen in Osnabrück und Umgebung vor Ort, entfernt per Fernwartung, sobald eine sichere Verbindung möglich ist. Wir isolieren Systeme, sichern Spuren, prüfen Backups und bauen die Umgebung sauber wieder auf. Alles Weitere findest du auf unserer Seite Soforthilfe bei Hackerangriff.

Häufige Fragen

Soll ich einen befallenen Rechner ausschalten?

Nein, wenn eine Analyse geplant ist. Das BSI rät, das Netzwerkkabel zu ziehen und das Gerät eingeschaltet zu lassen.

Reicht es, einen infizierten Rechner mit dem Virenscanner zu reinigen?

Nach dem BSI gelten infizierte Systeme als vollständig kompromittiert. Der Regelfall ist eine Neuinstallation, der Virenscanner kommt erst nach der Beweissicherung.

Muss ich alle Kennwörter ändern?

Alle Zugangsdaten, die auf betroffenen Systemen gespeichert oder dort eingegeben wurden, gelten als kompromittiert. Ist das Active Directory betroffen, gilt das gesamte Netz als kompromittiert.

Wo melde ich einen Vorfall?

Bei Datenschutzverletzungen bei der zuständigen Datenschutzaufsicht, freiwillig über das Meldeportal des BSI. Eine Anzeige nehmen die Zentralen Ansprechstellen Cybercrime der Polizei auf.

Quellen