05:45 Uhr klingelt das Telefon: Die gesamte virtuelle Umgebung ist verschlüsselt. Rund drei Wochen später ist RIVA Engineering zurück im Regelbetrieb – stärker aufgestellt als zuvor.
Am 15. Dezember 2025 traf ein Ransomware-Angriff den international tätigen Fassadenbauer RIVA Engineering. Gemeinsam mit dem Incident-Response-Team von Argos Security brachte das Unternehmen die Lage binnen Stunden unter Kontrolle, hielt über einen strukturierten Notbetrieb die Produktion weitgehend am Laufen und arbeitete bereits am 7. Januar 2026 wieder regulär.
- Kunde
- RIVA GmbH Engineering
- Branche
- Ingenieur- und Fassadenbau
- Hauptsitz
- Backnang
- Mitarbeitende
- ca. 225
- Vorfall
- 15. Dezember 2025
- Regelbetrieb
- 7. Januar 2026
Ausgangslage: eine IT im Umbau
Wer den Grand Tower in Frankfurt, das Kingdom Centre in Riad oder den Royal Clock Tower in Mekka kennt, sieht das Werk von RIVA Engineering. Sebastian Altmann kam im Juli 2024 als Head of IT an Bord – mit dem Auftrag, die IT von Grund auf neu zu strukturieren. Gemeinsam mit Argos Security war RIVA auf einem guten Weg: Viele Einzelsysteme liefen zuverlässig, doch das Monitoring war noch nicht lückenlos, zwei zentrale Bausteine geplant, aber noch nicht im Einsatz. „Wir waren noch nicht am Limit, aber die Systeme haben noch keine Harmonie gebildet“, erinnert sich Altmann. „Leider ist es so, dass es immer zum falschen Zeitpunkt kommt.“
05:45 Uhr: der Tag, an dem nichts mehr ging
Mitarbeitende können sich nicht einloggen, Systeme sind nicht erreichbar, in der Frühschicht lassen sich keine Aufträge mehr bearbeiten. Rund zweieinhalb Stunden versuchen Altmann und seine Admins, wieder Zugriff zu bekommen – ohne Erfolg. Die gesamte virtuelle Umgebung ist verschlüsselt. Weil RIVA in der Produktion mit Vorlauf arbeitet, steht nicht sofort alles still, doch in mehreren Bereichen ist kein Arbeiten mehr möglich.
Ein Anruf, zehn Minuten, ein Team
Altmann ruft seinen Ansprechpartner bei Argos Security an. Weil beide Seiten zuvor oft über genau dieses Szenario gesprochen hatten, genügen wenige Worte. Die Reaktionszeit nach dem Anruf beträgt keine zehn Minuten. Zuerst geht es um die Lagebestimmung, parallel prüft das Forensik-Team gemeinsam mit der internen IT die Systeme.
„Um 12 Uhr wussten wir, was passiert ist, was wir tun müssen und wie die kommenden Wochen aussehen werden.“
– Sebastian Altmann, Head of IT, RIVA Engineering
Notbetrieb und Wiederanlauf
RIVA startet sofort in den Notbetrieb: Standorte und Leitungen werden abgeriegelt, intern die Systeme voneinander isoliert. Schritt für Schritt entsteht gemeinsam mit Argos ein Wiederanlaufplan – was ergibt Sinn, welche Prioritäten gelten in der Produktion? In der ersten Woche wird von Montag bis Donnerstag weiter produziert, bevor ein Ausfall von lediglich zwei Tagen folgt. „Wir mussten uns in erster Linie um nichts kümmern“, erklärt Altmann. „Uns wurde gesagt, was zu tun ist, und wir bekamen eine Entscheidungsgrundlage.“
Wiederherstellung im Schulterschluss
Die Forensiker von Argos übernehmen die Analyse, während interne Spezialisten die Endgeräte absichern. Rechner werden, wo möglich, neu installiert; andere Geräte gescannt und ausgewertet, bis ihre Unbedenklichkeit feststeht. Erst dann gibt RIVA sie – ebenso wie die Maschinen – wieder frei. Bereits am 7. Januar 2026 wird wieder regulär gearbeitet: für einen Vorfall dieser Größenordnung ein bemerkenswert zügiger Wiederanlauf.
Stärker aus der Krise
Heute ist RIVA so aufgestellt, wie es schon vor dem Vorfall geplant war. XDR sorgt auf Endgeräten und Servern für erweiterte Erkennung, die Microsoft-365-Umgebung ist gegen Phishing, Malware und Spam abgesichert, ergänzt um Backup, Archivierung und Security Awareness. Altmanns Rat an andere IT-Verantwortliche ist eindeutig: „Es ist nicht die Frage, ob man gehackt wird, sondern wann. Keiner ist sicher.“ Entscheidend sei, dass Systeme, Teams und Dienstleister zusammenspielen – und dass man Expertise hinzuzieht, statt an der Sicherheit zu sparen.
„Argos Security ist für uns mittlerweile einfach mehr als ein Dienstleister geworden. Familiär, fachlich überragend und eine mega Einsatzbereitschaft.“
– Sebastian Altmann, Head of IT, RIVA Engineering
