Sie kommen ins Büro. Nichts funktioniert mehr. Eine Meldung erscheint: Ihre Dateien sind verschlüsselt, zahlen Sie X Bitcoin. Was tun in den nächsten 24 Stunden? Hier der Aktionsplan, den wir bei unseren Kunden anwenden.
Stunde 0 — Isolieren, nicht abschalten
Erster Reflex: kompromittierte Maschinen vom Netzwerk isolieren. Ethernet-Kabel ziehen, WLAN deaktivieren, Switches bei Bedarf ausschalten. Aber die Maschinen selbst NICHT herunterfahren. Forensische Analysen können RAM-Daten retten, die helfen, die Ransomware-Familie zu identifizieren und manchmal den Schlüssel zu rekonstruieren.
Stunde 1 — Krisenstab aktivieren
Versammeln Sie: Geschäftsführung, IT-Leitung oder IT-Dienstleister, HR, Kommunikation, Recht. Ernennen Sie eine einzige Stabsleitung. Stoppen Sie während der Diagnose jede unkontrollierte externe Kommunikation — kein Tweet, kein LinkedIn-Post.
Stunde 2 — Die richtigen Stellen anrufen
- 17 / Polizei: Anzeige erstatten (Pflicht für Versicherung und CNIL)
- Cybermalveillance.gouv.fr: kostenlose staatliche Unterstützung
- Ihr IT-Dienstleister / Cyber-Partner: sofortiger technischer Einsatz
- Ihr Cyber-Versicherer: Schadensmeldung (Verträge verlangen oft Meldung innerhalb 24–48 h)
- ANSSI, falls Sie eine wesentliche NIS2-Einrichtung sind (Pflichtmeldung innerhalb 24 h)
- CNIL, falls personenbezogene Daten betroffen sind (Meldung innerhalb 72 h)
Stunde 4 — Lösegeld NICHT zahlen
Zahlen garantiert keine Wiederherstellung (laut ANSSI bringen 30 % der Zahlungen nichts). Zahlen finanziert die organisierte Kriminalität und birgt rechtliche Risiken (Terrorismusfinanzierung in einigen Jurisdiktionen). Zahlen signalisiert den Angreifern eine leichte Beute — häufiger Rückfall.
Stunde 6 — Technische Diagnose
Ransomware-Familie identifizieren (LockBit, BlackCat, Akira u. a.), Eintrittsvektor (Phishing, offenes RDP, ungepatchtes Software-Exploit), Ausbreitungsumfang (1 Arbeitsplatz? alle Server? AD?). Diese Analyse bestimmt das weitere Vorgehen.
Stunde 8 — Maßnahmenplan
Drei Szenarien je nach Tiefe der Kompromittierung: (1) Wiederherstellung aus validiertem unveränderlichem Backup — bester Fall, 24–48 h Umschaltung; (2) Teil-Rebuild kompromittierter Umgebungen + reine Datenwiederherstellung — 3–7 Tage; (3) vollständiger Rebuild AD + Endpoints + Server — 1 bis 3 Wochen, Katastrophenfall.
Stunde 24 — Interne und externe Kommunikation
Mitarbeitende informieren (beruhigen + externe Kommunikation rahmen). Kritische Kunden mit einer sachlichen, professionellen Botschaft informieren. Eine juristisch vorab geprüfte Mitteilung vorbereiten, falls der Vorfall öffentlich wird. Professionelle Transparenz schützt den Ruf besser als Schweigen.
Und danach?
Sobald die Krise bewältigt ist, beginnt das Post-Mortem: chronologische Rekonstruktion, Ursachenidentifikation, Maßnahmenplan zur Vermeidung eines Rückfalls. Alle Strukturen, die wir nach einem Vorfall begleiten, gehen gestärkt daraus hervor — der Schmerz nützt, wenn man die Lehren zieht.