Bei einem Ransomware-Angriff zählt die Reihenfolge der ersten Schritte. Betroffene Systeme sollten vom Netz getrennt, aber nicht heruntergefahren werden – im Arbeitsspeicher liegen Spuren, die für die Aufklärung entscheidend sind. Löschen oder verändern Sie nichts. Dokumentieren Sie ab der ersten Minute, wer wann was festgestellt hat. Informieren Sie parallel die Geschäftsleitung, ein spezialisiertes Incident-Response-Team und, bei personenbezogenen Daten, den Datenschutzbeauftragten. Die Meldefristen an Aufsichtsbehörden laufen ab Kenntnis des Vorfalls.
Wenn ein Retainer besteht, ist das der erste Anruf. Ohne Vertrag erreichen Sie die Argos-Notfall-Hotline rund um die Uhr unter +49 89 45 24 24-112.
Jedes Bundesland unterhält eine Zentrale Ansprechstelle Cybercrime für Unternehmen. Eine Anzeige schließt Versicherungsleistungen nicht aus und verzögert die Wiederherstellung nicht.
Bei personenbezogenen Daten greift die 72-Stunden-Frist der DSGVO. Für NIS2-pflichtige Unternehmen gilt zusätzlich die 24-Stunden-Erstmeldung an das BSI.
Die Notfall-Hotline +49 89 45 24 24-112 ist rund um die Uhr besetzt; in der Regel meldet sich innerhalb von 30 Minuten ein Experte. Mit IR-Retainer vertraglich zugesichert: remote in ≤ 30 Minuten, vor Ort in 4–8 Stunden in der DACH-Region. Über 600 bearbeitete Vorfälle.
Was Sie tun – und was Sie auf keinen Fall tun sollten, bevor Hilfe da ist.
Kabel ziehen oder WLAN deaktivieren. Nicht herunterfahren: Der Arbeitsspeicher enthält Beweismittel, die beim Ausschalten verloren gehen.
Auch keine vermeintlich harmlosen Aufräumarbeiten. Jede Änderung erschwert die forensische Aufklärung und kann Beweise vernichten.
Uhrzeit, Beobachtung, handelnde Person. Ein einfaches Protokoll reicht – Hauptsache lückenlos und von der ersten Minute an.
Entscheidungen über Produktionsstopp, Kommunikation und externe Hilfe gehören auf die Leitungsebene – nicht in die IT-Abteilung allein.
Je früher ein eingespieltes Team übernimmt, desto kleiner der Schaden. Die Argos-Hotline erreichen Sie rund um die Uhr unter +49 89 45 24 24-112.
Nicht sofort zurückspielen. Erst klären, ob die Sicherung selbst betroffen ist – sonst verschlüsseln Sie sich ein zweites Mal.
Datenschutzbehörde (72 Stunden), BSI bei NIS2-Pflicht (24 Stunden), gegebenenfalls die Cyberversicherung. Die Fristen laufen ab Kenntnis.
Nicht eigenständig auf Erpresser reagieren. Verhandlung, Bewertung der Forderung und Kommunikation gehören in erfahrene Hände.
Die Fragen, die in den ersten Stunden gestellt werden – hier unsere Antworten.
Das BSI rät ausdrücklich davon ab. Eine Zahlung garantiert weder die vollständige Entschlüsselung noch, dass abgeflossene Daten nicht doch veröffentlicht werden – und sie finanziert weitere Angriffe. Die Entscheidung gehört auf die Leitungsebene, mit rechtlicher Begleitung.
Das hängt von Vorbereitung und Backup-Qualität ab. Erfahrungswerte reichen von wenigen Tagen bis zu mehreren Wochen. Entscheidend sind getestete Sicherungen und ein geübter Notfallplan – beides lässt sich nur vorher schaffen.
Ja. Die 24/7-Hotline steht auch ohne Vertrag offen. Retainer-Kunden haben vertraglich zugesicherte Reaktionszeiten und priorisierten Zugang – ohne Vertrag richtet sich die Verfügbarkeit nach der aktuellen Auslastung.
Eine allgemeine Veröffentlichungspflicht gibt es nicht. Es bestehen aber Meldepflichten gegenüber Behörden und unter Umständen Informationspflichten gegenüber Betroffenen. Was davon greift, hängt von Datenarten und Sektor ab.