Ruhe bewahren, und sofort handeln
Wenn Mitarbeitende auf ihren Bildschirmen die Meldung sehen, dass ihre Dateien verschlüsselt wurden, bricht häufig Panik aus. Das ist verständlich, und gleichzeitig einer der gefährlichsten Zustände in einem Sicherheitsvorfall. Emotionale Reaktionen führen zu vorschnellen Entscheidungen: Systeme werden neu gestartet, Backups ohne Prüfung überschrieben, oder, im schlimmsten Fall, die Lösegeldforderung bezahlt, bevor überhaupt bekannt ist, was genau passiert ist.
Die ersten Minuten nach der Erkennung eines Ransomware-Angriffs sind kritisch. Nicht weil sofortige Aktionen den Schaden rückgängig machen könnten, das können sie nicht, sondern weil falsche Aktionen ihn erheblich vergrößern können. Wer vorbereitet in diese Situation geht, hat einen massiven Vorteil.
Schritt 1: Isolierung, jetzt, nicht in 10 Minuten
Die wichtigste Sofortmaßnahme: betroffene Systeme vom Netzwerk trennen. Ransomware breitet sich aktiv aus, sie springt von System zu System, verschlüsselt Netzlaufwerke und sucht nach weiteren Zugangspunkten. Jede Minute, in der ein infiziertes System weiter mit dem Netzwerk verbunden ist, bedeutet potenziell weitere verschlüsselte Dateien, weitere kompromittierte Maschinen.
Konkret bedeutet das: Netzwerkkabel ziehen oder WLAN deaktivieren. Nicht herunterfahren, das kann forensische Spuren vernichten und Verschlüsselungsprozesse beschleunigen. Systeme bleiben eingeschaltet, werden aber isoliert. IT-Verantwortliche sollten zudem prüfen, welche weiteren Systeme betroffen oder möglicherweise bereits kompromittiert sind, und auch diese vorsorglich isolieren.
Parallel dazu: Passwörter aller administrativen Konten ändern, von einem nicht betroffenen Gerät aus. Angreifer haben oft Wochen lang Zugang zu Systemen, bevor sie Ransomware auslösen, und könnten Zugangsdaten bereits exfiltriert haben.
Schritt 2: Meldepflichten, BSI, Polizei und Datenschutzbehörde
Ein Ransomware-Angriff ist kein internes IT-Problem, das man still lösen kann. Es gibt klare gesetzliche Meldepflichten, die viele Unternehmen unterschätzen.
Nach der DSGVO gilt: Wenn personenbezogene Daten betroffen sind oder betroffen sein könnten, muss der Vorfall innerhalb von 72 Stunden der zuständigen Datenschutzbehörde gemeldet werden. Diese Frist beginnt mit dem Moment, in dem der Verantwortliche Kenntnis von dem Vorfall erlangt. Die 72 Stunden laufen also bereits, während man noch den Überblick gewinnt.
Für Unternehmen, die unter die NIS2-Richtlinie fallen, gelten zusätzlich Meldepflichten gegenüber dem BSI (Bundesamt für Sicherheit in der Informationstechnik), ebenfalls mit engen Fristen. Und: Ransomware ist eine Straftat. Eine Anzeige bei der Polizei ist sinnvoll, auch wenn Skepsis bezüglich des Ermittlungserfolgs besteht, allein schon für Versicherungs- und Dokumentationszwecke.
Schritt 3: Zahlen oder nicht zahlen?
Die Lösegeldforderung steht auf dem Bildschirm, und der Druck ist enorm. Die offizielle Empfehlung des BSI ist eindeutig: Lösegeld nicht zahlen. Die Gründe dafür sind mehrschichtig.
Erstens gibt es keine Garantie, dass nach der Zahlung ein funktionierender Entschlüsselungsschlüssel geliefert wird. Zweitens finanziert jede Zahlung die kriminelle Infrastruktur, die weitere Angriffe ermöglicht. Drittens werden zahlende Unternehmen als zahlungswillig markiert und häufig erneut angegriffen.
In der Praxis ist die Entscheidung oft schwieriger, als sie klingt, besonders wenn kritische Produktionsdaten betroffen sind und Backups fehlen oder ebenfalls verschlüsselt wurden. Genau deshalb ist es so wichtig, diese Frage vor einem Angriff durchzudenken, nicht während einer Krise. Eine vorbereitete Entscheidungsmatrix, wann welche Option in Betracht kommt, kann im Ernstfall Stunden und erheblichen Schaden sparen.
Schritt 4: Kommunikation, intern und extern
Kommunikationsfehler können einen Ransomware-Vorfall von einem beherrschbaren Sicherheitsproblem zu einem Reputationsdesaster machen. Intern müssen alle Mitarbeitenden unverzüglich informiert werden, nicht über Details, aber darüber, dass es einen Vorfall gibt und welche Systeme sie vorläufig nicht nutzen sollen. Das verhindert, dass Unwissende versehentlich infizierte Geräte weiter nutzen und die Ausbreitung fördern.
Extern gilt: Betroffene Kunden, Partner und Behörden müssen informiert werden, rechtlich oft verpflichtend, strategisch immer sinnvoll. Wer einen Vorfall aktiv kommuniziert, behält die Kontrolle über die Botschaft. Wer wartet, bis er durch Dritte auffliegt, verliert sie. Eine vorab vorbereitete Kommunikationsvorlage für genau diesen Fall ist Gold wert.
Warum Vorbereitung mehr zählt als Reaktion
Der beste Zeitpunkt, um einen Ransomware-Angriff zu bewältigen, ist nicht während des Angriffs, sondern davor. Unternehmen, die einen Incident-Response-Plan haben, ihn geübt haben und wissen, wer welche Entscheidung trifft, kommen in der Regel mit deutlich weniger Schaden davon als solche, die improvisieren müssen.
Eine realistische Krisensimulation, bevor der Ernstfall eintritt, macht genau diesen Unterschied sichtbar. Wo hakt die Kommunikation? Wer entscheidet über die Meldung an Behörden? Was passiert, wenn der IT-Verantwortliche nicht erreichbar ist? Diese Fragen zu beantworten, kostet unter kontrollierten Bedingungen ein paar Stunden. Im Ernstfall kostet das Nicht-Wissen Tage, Wochen und erhebliche finanzielle Schäden.