Ransomware-Befall: Die ersten 24 Stunden entscheiden

Montagmorgen, die Dateien lassen sich nicht öffnen, auf dem Bildschirm eine Lösegeldforderung: Ransomware. Was Sie in den ersten Stunden tun – und was Sie auf keinen Fall tun sollten – entscheidet darüber, ob der Vorfall ein Ärgernis bleibt oder existenzbedrohend wird.

Sofort: Verbindung trennen, nicht ausschalten

Trennen Sie betroffene Rechner sofort vom Netzwerk (LAN-Kabel ziehen, WLAN aus), aber schalten Sie sie möglichst nicht aus – im laufenden System bleiben Spuren erhalten, die für die Analyse wichtig sind. Informieren Sie umgehend Ihren IT-Dienstleister; jede weitere Stunde, in der sich die Schadsoftware ausbreitet, vergrößert den Schaden.

Nicht zahlen, nicht selbst experimentieren

Die Zahlung des Lösegelds garantiert keine Entschlüsselung und markiert Sie als zahlungsbereites Ziel. Ebenso riskant: eigene Aufräumversuche, die Beweise vernichten oder Backups überschreiben. Profis prüfen zuerst, welcher Verschlüsselungstyp vorliegt und ob saubere Sicherungen existieren.

Backups prüfen – aber richtig

Der wichtigste Rettungsanker ist ein Backup, das der Angreifer nicht erreichen konnte: außer Haus oder unveränderlich gespeichert. Bevor zurückgespielt wird, muss sicher sein, dass die Systeme bereinigt sind – sonst verschlüsselt der Schädling auch die Wiederherstellung.

Melden und dokumentieren

Je nach Fall bestehen Meldepflichten: bei personenbezogenen Daten gegenüber der Datenschutzaufsicht (72-Stunden-Frist der DSGVO), bei versicherten Unternehmen gegenüber der Cyberversicherung, und eine Anzeige bei der Polizei ist grundsätzlich sinnvoll. Dokumentieren Sie Ablauf und Maßnahmen von Anfang an.

Danach: Die Lücke schließen

Nach der Wiederherstellung beginnt die eigentliche Arbeit: Einfallstor finden, Passwörter erneuern, MFA erzwingen, Backup-Konzept härten und Mitarbeiter sensibilisieren. Wer diese Schritte ernst nimmt, geht gestärkt aus dem Vorfall hervor.