Nach einer Cyberattacke bestehen die ersten Prioritäten darin, die Ausbreitung zu begrenzen, für die Analyse nützliche Elemente zu bewahren und die richtigen Ansprechpartner zu identifizieren. Ein Unternehmen sollte improvisierte Maßnahmen vermeiden, die Spuren löschen oder den Vorfall verschlimmern könnten. Das Formular von Cybersécurité Solution ist kein Notfalldienst.
Offizielle Referenzquelle: BSI — Ich habe einen IT-Sicherheitsvorfall, was kann ich tun?
Redaktion: Cybersécurité Solution.
Dokumentarische Zusammenfassung auf Grundlage institutioneller Quellen und der im Artikel zitierten offiziellen Dokumentationen. Unsere redaktionelle Methodik einsehen.
Redaktionelle Überprüfung: 24. August 2026. Dieser Inhalt dient der Information und stellt keine individuelle technische oder rechtliche Beratung dar.
Diese Seite enthält allgemeine Informationen aus offiziellen Veröffentlichungen. Cybersécurité Solution führt keine technischen Eingriffe durch und erteilt keine individuelle Beratung. Jede Umgebung muss von einer kompetenten Fachperson entsprechend ihres Kontexts geprüft werden.
Bei einer Cyberattacke sollte ein Unternehmen zunächst den Support alarmieren, betroffene Systeme isolieren, um die Ausbreitung zu begrenzen, eine chronologische Aufzeichnung der Maßnahmen führen und verfügbare Beweise bewahren. Anschließend müssen die technische, rechtliche, versicherungsbezogene, kommunikative und betriebliche Dimension koordiniert werden, ohne für die Analyse nützliche Elemente vorzeitig zu löschen. Das BSI beschreibt unter „Ich habe einen IT-Sicherheitsvorfall, was kann ich tun?" diese ersten Reflexe.
In einem Kleinunternehmen oder KMU muss oft dieselbe Person die Geschäftsführung informieren, den Dienstleister anrufen, Kunden antworten und Zahlungen prüfen. Diese Bündelung von Verantwortlichkeiten erhöht das Risiko, Spuren zu verlieren oder zu früh noch unsichere Informationen zu kommunizieren.
Eine nützliche Unterstützungsanfrage beschreibt die Fakten ohne übermäßige Interpretation: betroffene Systeme, Uhrzeit der ersten Symptome, bereits ergriffene Maßnahmen, vorhandene Backups und Kontaktdaten der üblichen Ansprechpartner. Sie darf niemals Passwörter oder technische Geheimnisse enthalten.
Dieser Ratgeber stellt allgemeine Informationen zur Vorbereitung des Austauschs mit einer unabhängigen Fachperson bereit. Die konkreten Maßnahmen hängen von der Umgebung, der Art des Angriffs und den geltenden Pflichten der Organisation ab.
Eine Unterstützungsanfrage wird vorrangig, wenn mehrere Konten betroffen sind, ein wesentlicher Dienst ausfällt, eine Zahlung umgeleitet wurde oder Daten eingesehen worden sein könnten. Ein auf ein Gerät begrenzter Vorfall kann ebenfalls eine umfassendere Kompromittierung offenbaren.
Die Einschätzung sollte nicht improvisiert erfolgen. Eine verdächtige Nachricht ist nicht zwangsläufig ein Eindringen, während ein noch zugängliches Konto bereits von Dritten kontrolliert sein kann. Chronologie und technische Protokolle helfen der Fachperson, Zweifel auszuräumen.
Die Uhrzeit von Warnmeldungen, informierte Personen und beobachtete Änderungen zu notieren, hilft, den Verlauf zu verstehen. Screenshots, Ticket-Referenzen, erhaltene Nachrichten und verfügbare Protokolle sollten an geschütztem Ort aufbewahrt werden.
Es empfiehlt sich, Beobachtetes von Vermutetem zu trennen. Eine Formulierung wie „drei Nachrichten wurden vom Buchhaltungspostfach gesendet" ist verwertbarer als „das ganze Netzwerk wurde gehackt" ohne geprüfte Grundlage.
Die geschäftliche Priorität ist nicht immer der sichtbarste Server. Ein Unternehmen kann ohne seine Vitrinen-Website weiterarbeiten, aber nicht ohne Bestellsoftware oder Zahlungsmittel. Die Bestandsaufnahme kritischer Tätigkeiten lenkt die Entscheidungen zur Kontinuität.
Übergangslösungen müssen die Datensicherheit wahren. Der Wechsel zu privaten E-Mail-Adressen oder das Kopieren sensibler Dateien auf nicht kontrollierte Datenträger kann einen zweiten Vorfall auslösen. Der Notbetrieb sollte dokumentiert und zeitlich begrenzt bleiben.
Die Fachperson benötigt in der Regel Angaben zu betroffenen Geräten, eingesetzten Dienstleistern, Administratorkonten, Backups, Sicherheitswarnungen und bereits ergriffenen Maßnahmen. Hosting- oder Wartungsverträge können Verantwortlichkeiten und Fristen präzisieren.
Eine Kontaktperson sollte geschäftliche Fragen beantworten können, während eine technische Ansprechperson notwendige Zugänge oder Protokolle bereitstellt. In einer kleinen Organisation können diese Rollen von derselben Person wahrgenommen werden, sollten aber klar zugeordnet sein.
Ein Angriff kann Daten von Kunden, Mitarbeitenden oder Partnern betreffen. Nach der DSGVO muss geprüft werden, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und ob eine Meldung an die zuständige Datenschutzaufsichtsbehörde binnen 72 Stunden erforderlich ist. Diese Einschätzung hängt vom Risiko für die betroffenen Personen ab.
Versicherer, Banken, Hosting-Anbieter, Softwareanbieter und Strafverfolgungsbehörden können je nach Situation einzubeziehen sein. Ihre Information sollte kohärent sein und auf gesicherten Fakten beruhen, ohne bei geltenden Fristen zu warten, bis alle technischen Details bekannt sind.
Wiederaufnahme und Untersuchung müssen koordiniert werden. Zu frühe Wiederherstellung kann ein kompromittiertes Konto erneut einführen; zu langes Warten ohne Isolierung kann den Vorfall fortdauern lassen. Die Fachperson passt die Reihenfolge an den Kontext an.
Wenn Ihr Bedarf anschließend eine externe Leistung erfordert, können Sie an einen Fachpartner vermittelt werden.
Jedes Unternehmen hat ein anderes Umfeld, andere Verträge und Rahmenbedingungen. Sie können Ihren Bedarf sachlich beschreiben, ohne Passwort oder sensible Daten zu übermitteln. Mit Ihrer Zustimmung können Ihre Kontaktdaten an einen unabhängigen Partner weitergegeben werden, der allein für seine Analyse, seine Preise und die vorgeschlagenen weiteren Schritte verantwortlich bleibt.
Zum Formular| Zeitpunkt | Ziel | Zu bewahrende Informationen |
|---|---|---|
| Bei der Warnmeldung | Ausbreitung begrenzen, ohne Spuren zu löschen. Bei einem eindeutig betroffenen Gerät dem internen Verfahren folgen und es, wenn angemessen, vom Netzwerk trennen. | Uhrzeit, Nutzerin/Nutzer, beobachteter Bildschirm oder Nachricht, betroffenes Gerät und Konto. |
| Erste Stunde | Interne Verantwortliche und zuständigen Dienstleister alarmieren, kritische Dienste identifizieren und ein Krisenprotokoll eröffnen. | Liste betroffener Systeme, jüngste Änderungen, Kontakte, verfügbare Backups. |
| Folgende Stunden | Für die Analyse nützliche Elemente bewahren und Notbetrieb organisieren. | Protokolle, Nachrichten, verdächtige Dateien, getroffene Entscheidungen und beteiligte Personen. |
| Im Laufe des Tages | Meldepflichten, Kommunikation, Versicherung und Wiederaufnahmestrategie einschätzen. | Möglicherweise betroffene Daten, betroffene Dritte, Kosten und Abhilfemaßnahmen. |
Bei Ransomware empfiehlt das BSI insbesondere, betroffene Geräte zu isolieren, kein Lösegeld zu zahlen und verfügbare Beweise zu sichern. Die genauen Schritte sollten dem Kontext angepasst und, wenn möglich, mit einer qualifizierten Fachperson abgestimmt werden. Bei einer Straftat kann zudem die Polizei (Notruf 110) oder die Zentrale Ansprechstelle Cybercrime (ZAC) des zuständigen Bundeslandes eingeschaltet werden.
Wirksame Unterstützung beginnt mit einer einfachen Beschreibung, einer Chronologie und der Liste betroffener Dienste. Diese Elemente helfen, den Einsatz zu lenken, ersetzen aber nicht die technische Analyse, die von einer kompetenten Fachperson durchgeführt werden muss.
Die Vorbereitung auf den Notfall dient auch der Zeit nach der Krise: Verträge, Backups, Ansprechpartner und Verfahren lassen sich leichter verbessern, wenn die während des Vorfalls getroffenen Entscheidungen dokumentiert wurden.
Nein. Die ersten Fakten, die Chronologie und der erkennbare Umfang genügen, um eine Orientierung anzufragen. Die Ursache kann eine längere Untersuchung erfordern.
Technische Dateien oder sensible Daten sollten nicht in einem allgemeinen Formular übermittelt werden. Sie können später über einen geeigneten Kanal an die zuständige Fachperson übergeben werden.
Eine Person sollte Informationen und Entscheidungen bündeln, auch wenn sie sich auf Geschäftsführung, IT-Dienstleister, Datenschutzbeauftragte oder Rechtsberatung stützt.
Nein. Das Backup kann bei der Wiederherstellung helfen, aber Integrität, Ursache der Kompromittierung und Absicherung der Zugänge müssen vor einer vollständigen Wiederaufnahme geprüft werden.
Diese öffentlichen Quellen dienten zur Überprüfung und Einordnung der dargestellten Informationen.
Links geprüft am 24. August 2026.