Ransomware im Betrieb: Was gehört in den Notfallplan?

Woran erkennen Sie einen Ransomware-Angriff?

Bei Ransomware verschlüsseln Angreifer Ihre Daten und verlangen Geld für die Entschlüsselung. Oft drohen sie zusätzlich, gestohlene Daten zu veröffentlichen. Typische Anzeichen sind:

• Dateien lassen sich nicht mehr öffnen und haben eine fremde Endung.
• In Ordnern oder am Bildschirm erscheint eine Textdatei mit Zahlungsaufforderung.
• Der Virenschutz ist plötzlich ausgeschaltet oder meldet viele Funde.
• Server oder NAS sind extrem langsam, die Festplatten arbeiten ununterbrochen.
• Sicherungen fehlen oder die Sicherungssoftware meldet Fehler.

Was tun Sie in der ersten Stunde?

Das Bundeskriminalamt empfiehlt in seinem Infoblatt zu Ransomware ein klares Vorgehen. Für den Aushang im Büro lässt es sich so zusammenfassen:

1. Betroffene Geräte sofort vom Netzwerk trennen: Kabel ziehen, WLAN ausschalten.
2. Die im Plan benannte Person und den IT-Dienstleister verständigen, per Telefon.
3. Nichts löschen und nicht auf eigene Faust neu installieren. Spuren werden für die Aufklärung gebraucht.
4. Lösegeldforderung fotografieren, Uhrzeiten und Beobachtungen notieren.
5. Prüfen, ob die Sicherungen noch intakt sind, und sie sofort vom Netz trennen.
6. Zugangsdaten von Administratoren und E-Mail von einem sauberen Gerät aus ändern.
7. Anzeige bei der Polizei erstatten und Meldepflichten prüfen.

Wen rufen Sie an?

Tragen Sie die Kontakte vorab in Ihren Plan ein und drucken Sie ihn aus. Die öffentlichen Stellen in der Tabelle sind Stand Oktober 2026.

Haben Sie eine Cyberversicherung, lesen Sie die Bedingungen schon heute. Viele Polizzen verlangen, dass Sie einen Schaden sofort melden und bestimmte Schritte mit der Versicherung abstimmen, manche stellen eigene Fachleute für den Ernstfall. Tragen Sie Polizzennummer und Schadenhotline in den Plan ein. Ob eine Versicherung für Ihren Betrieb sinnvoll ist, besprechen Sie mit Ihrer Versicherungsberatung.

Welche Meldepflichten gelten?

Die Datenschutzbehörde weist darauf hin, dass bei Ransomware eine Meldung in Schritten möglich ist: zuerst das, was bekannt ist, später die Ergänzungen. Ob Ihr Betrieb unter das NISG 2026 fällt, erklärt der Beitrag NIS2 in Österreich, eine schnelle Einschätzung gibt der NIS2-Check. Bei rechtlichen Fragen zur Meldung fragen Sie im Zweifel Ihre Anwältin oder Ihren Anwalt.

Soll man das Lösegeld zahlen?

Das Bundeskriminalamt rät davon ab. Es gibt keine Garantie, dass Sie einen funktionierenden Schlüssel bekommen oder dass gestohlene Daten gelöscht werden. Wer zahlt, finanziert weitere Angriffe und kann erneut zum Ziel werden. Die beste Versicherung gegen die Erpressung ist eine Sicherung, die der Angreifer nicht erreicht hat. Wie Sie die aufbauen, zeigt der Ratgeber Backup-Strategie nach der 3-2-1-Regel.

Wie stellen Sie wieder her, ohne den Angreifer zurückzuholen?

1. Herausfinden, wie die Angreifer hineingekommen sind: Phishing, offener Fernzugang, Sicherheitslücke oder gestohlenes Passwort.
2. Diese Lücke schließen, bevor Systeme wieder ans Netz gehen.
3. Alle Passwörter ändern, zuerst Administratoren, E-Mail und Fernzugänge, und Mehr-Faktor-Anmeldung aktivieren.
4. Betroffene Geräte neu aufsetzen statt nur zu „säubern“.
5. Eine Sicherung wählen, die vor dem Angriff entstanden ist, und sie vor dem Einspielen prüfen.
6. In festgelegter Reihenfolge wiederherstellen: zuerst, was der Betrieb am dringendsten braucht.
7. Danach eine Woche lang Anmeldungen und Netzwerk genauer beobachten.

Forensische Untersuchungen größerer Vorfälle übernehmen darauf spezialisierte Dienstleister. Für die Reihenfolge der Wiederherstellung hilft eine einfache Liste im Plan. Die Werte in der folgenden Tabelle sind ein Beispiel für ein Büro mit Branchensoftware, keine Vorgabe:

Wie informieren Sie Team und Kunden?

• Das Team zuerst und persönlich informieren, mit klaren Regeln: keine Geräte einschalten, keine eigenen Rettungsversuche.
• Eine Person spricht nach außen, alle anderen verweisen an sie.
• Kunden sachlich informieren, wenn Termine oder Daten betroffen sind. Für Einrichtungen unter dem NISG 2026 gilt das ausdrücklich gegenüber den Empfängern ihrer Dienste.
• Keine Vermutungen über Täter oder Umfang veröffentlichen, solange nichts geprüft ist.
• Ersatzwege nennen: Telefonnummer, eine vorübergehende E-Mail-Adresse oder Termine vor Ort.

Was gehört in den Notfallplan auf zwei Seiten?

• **Verantwortlich:** wer entscheidet, wer vertritt, wer spricht mit Kunden
• **Kontakte:** IT-Dienstleister, Hotline, Polizei, Bank, Versicherung, Datenschutz
• **Erste Schritte:** die sieben Punkte für die erste Stunde
• **Systemliste:** welche Systeme es gibt, wo die Sicherungen liegen, wer Zugang hat
• **Reihenfolge der Wiederherstellung:** mit grober Zeit, wie lange ein Ausfall verkraftbar ist
• **Meldepflichten:** DSGVO und gegebenenfalls NISG 2026, mit Fristen
• **Arbeiten ohne IT:** Telefonliste auf Papier, Formulare, Kassabuch für den Notfall
• **Ablageort:** ausgedruckt im Büro und zuhause bei zwei Personen

Der Punkt „Arbeiten ohne IT“ wird oft vergessen. Überlegen Sie, was an einem Tag ohne Computer weiterlaufen muss: Termine, Kassa, Lieferungen, Lohnverrechnung zum Monatsende. Eine ausgedruckte Liste mit Kundennummern und Terminen der nächsten zwei Wochen kann den Betrieb über die ersten Tage retten.

Wie beugen Sie vor?

CERT.at nennt in seinen Warnungen zu Ransomware immer wieder dieselben Grundlagen: Sicherheitsupdates rasch einspielen, Mehr-Faktor-Anmeldung für Fernzugänge und E-Mail, Bewusstsein im Team und Sicherungen, die offline liegen. Konkret für ein kleines Büro:

• Fernzugriff nur über VPN mit zweitem Faktor, keine offenen Fernwartungsports, siehe Homeoffice und VPN-Fernzugriff.
• Mehr-Faktor-Anmeldung und eigene Passwörter für jedes Konto, siehe Passwort-Manager und Zwei-Faktor.
• Das Team schulen, denn viele Angriffe beginnen mit einer E-Mail, siehe Phishing erkennen.
• Microsoft 365 richtig einstellen, siehe Microsoft 365 absichern.
• Arbeitsplätze ohne Administratorrechte für den Alltag.

Wie üben Sie den Ernstfall am Tisch?

Ein Plan, den niemand kennt, hilft im Ernstfall wenig. Eine Übung am Besprechungstisch dauert etwa eine Stunde und braucht keine Technik. Wir empfehlen sie einmal im Jahr und nach größeren Änderungen:

1. Szenario vorlesen: „Montag, 7:30 Uhr, am Server sind alle Dateien verschlüsselt, am Bildschirm steht eine Lösegeldforderung.“
2. Jede Person sagt, was sie als Erstes tut und wen sie anruft.
3. Mit dem Plan vergleichen: Stimmen die Nummern? Weiß jeder, wo der Ausdruck liegt?
4. Fragen klären: Wer entscheidet über Meldungen? Wer spricht mit Kunden?
5. Lücken notieren und den Plan innerhalb einer Woche anpassen.

Ihr nächster Schritt: Notfallplan prüfen oder erstellen

Mit dem IT-Sicherheits-Check sehen Sie, ob Sicherung, Fernzugang und Notfallplan in Ihrem Büro geregelt sind. Den Notfallplan erstellen wir gemeinsam mit Ihnen ab 490 € netto: Kontakte, Zugänge und Reihenfolge der Wiederherstellung als Dokument zum Ausdrucken, einmal gemeinsam durchgespielt. Mehr dazu unter IT-Sicherheit für kleine Unternehmen. In der laufenden IT-Betreuung kontrollieren wir Updates, Virenschutz und Sicherungen. Wenn Sie den Plan angehen wollen, schreiben Sie uns.