Incident Response · Wissen

Ransomware-Notfall: Was Sie in der ersten Stunde tun müssen

Verschlüsselte Systeme, ein Erpresserschreiben, Stillstand. Die ersten Entscheidungen bestimmen, ob es Tage oder Wochen dauert.

Kurz erklärt

Bei einem Ransomware-Angriff zählt die Reihenfolge der ersten Schritte. Betroffene Systeme sollten vom Netz getrennt, aber nicht heruntergefahren werden – im Arbeitsspeicher liegen Spuren, die für die Aufklärung entscheidend sind. Löschen oder verändern Sie nichts. Dokumentieren Sie ab der ersten Minute, wer wann was festgestellt hat. Informieren Sie parallel die Geschäftsleitung, ein spezialisiertes Incident-Response-Team und, bei personenbezogenen Daten, den Datenschutzbeauftragten. Die Meldefristen an Aufsichtsbehörden laufen ab Kenntnis des Vorfalls.

Zuerst anrufen

Ihr Incident-Response-Team

Wenn ein Retainer besteht, ist das der erste Anruf. Ohne Vertrag erreichen Sie die Argos-Notfall-Hotline rund um die Uhr unter +49 89 45 24 24-112.

Polizei einschalten

Die ZAC Ihres Bundeslands

Jedes Bundesland unterhält eine Zentrale Ansprechstelle Cybercrime für Unternehmen. Eine Anzeige schließt Versicherungsleistungen nicht aus und verzögert die Wiederherstellung nicht.

Fristen im Blick

Datenschutzaufsicht und BSI

Bei personenbezogenen Daten greift die 72-Stunden-Frist der DSGVO. Für NIS2-pflichtige Unternehmen gilt zusätzlich die 24-Stunden-Erstmeldung an das BSI.

Wie hilft Argos?

24/7 aus München & Freiburg

Die Notfall-Hotline +49 89 45 24 24-112 ist rund um die Uhr besetzt; in der Regel meldet sich innerhalb von 30 Minuten ein Experte. Mit IR-Retainer vertraglich zugesichert: remote in ≤ 30 Minuten, vor Ort in 4–8 Stunden in der DACH-Region. Über 600 bearbeitete Vorfälle.

Die ersten 8 Schritte in der richtigen Reihenfolge

Was Sie tun – und was Sie auf keinen Fall tun sollten, bevor Hilfe da ist.

01

1. Netzverbindung trennen, Gerät anlassen

Kabel ziehen oder WLAN deaktivieren. Nicht herunterfahren: Der Arbeitsspeicher enthält Beweismittel, die beim Ausschalten verloren gehen.

02

2. Nichts löschen, nichts verändern

Auch keine vermeintlich harmlosen Aufräumarbeiten. Jede Änderung erschwert die forensische Aufklärung und kann Beweise vernichten.

03

3. Dokumentation beginnen

Uhrzeit, Beobachtung, handelnde Person. Ein einfaches Protokoll reicht – Hauptsache lückenlos und von der ersten Minute an.

04

4. Geschäftsleitung informieren

Entscheidungen über Produktionsstopp, Kommunikation und externe Hilfe gehören auf die Leitungsebene – nicht in die IT-Abteilung allein.

05

5. Incident Response alarmieren

Je früher ein eingespieltes Team übernimmt, desto kleiner der Schaden. Die Argos-Hotline erreichen Sie rund um die Uhr unter +49 89 45 24 24-112.

06

6. Backups prüfen – aber getrennt

Nicht sofort zurückspielen. Erst klären, ob die Sicherung selbst betroffen ist – sonst verschlüsseln Sie sich ein zweites Mal.

07

7. Meldepflichten & Fristen prüfen

Datenschutzbehörde (72 Stunden), BSI bei NIS2-Pflicht (24 Stunden), gegebenenfalls die Cyberversicherung. Die Fristen laufen ab Kenntnis.

08

8. Forderungen & Kontaktaufnahme

Nicht eigenständig auf Erpresser reagieren. Verhandlung, Bewertung der Forderung und Kommunikation gehören in erfahrene Hände.

Häufige Fragen im Ransomware-Notfall

Die Fragen, die in den ersten Stunden gestellt werden – hier unsere Antworten.

Sollen wir zahlen?

Das BSI rät ausdrücklich davon ab. Eine Zahlung garantiert weder die vollständige Entschlüsselung noch, dass abgeflossene Daten nicht doch veröffentlicht werden – und sie finanziert weitere Angriffe. Die Entscheidung gehört auf die Leitungsebene, mit rechtlicher Begleitung.

Wie lange dauert die Wiederherstellung?

Das hängt von Vorbereitung und Backup-Qualität ab. Erfahrungswerte reichen von wenigen Tagen bis zu mehreren Wochen. Entscheidend sind getestete Sicherungen und ein geübter Notfallplan – beides lässt sich nur vorher schaffen.

Wir haben keinen IR-Vertrag. Bekommen wir trotzdem Hilfe?

Ja. Die 24/7-Hotline steht auch ohne Vertrag offen. Retainer-Kunden haben vertraglich zugesicherte Reaktionszeiten und priorisierten Zugang – ohne Vertrag richtet sich die Verfügbarkeit nach der aktuellen Auslastung.

Müssen wir den Vorfall öffentlich machen?

Eine allgemeine Veröffentlichungspflicht gibt es nicht. Es bestehen aber Meldepflichten gegenüber Behörden und unter Umständen Informationspflichten gegenüber Betroffenen. Was davon greift, hängt von Datenarten und Sektor ab.

Quellen & weiterführende Informationen