Inhalt in Kürze
- Trennen, nicht ausschalten. Geräte vom Netzwerk nehmen, aber eingeschaltet lassen — ein Neustart vernichtet Spuren im Arbeitsspeicher und manchmal die letzte Chance auf Entschlüsselung ohne Lösegeld.
- Erst einordnen, dann handeln. Trojaner, toter Server, gekapertes E-Mail-Konto und Leitungsausfall brauchen vier verschiedene erste Schritte.
- Die Uhr läuft ab Kenntnis. Bei personenbezogenen Daten gilt die 72-Stunden-Frist aus Artikel 33 DSGVO. Wer unter NIS 2 fällt, meldet dem BSI nach 24 Stunden.
- Nicht allein entscheiden. Kein Lösegeld ohne Beratung, keine Zahlung ohne den Versicherer. Soforthilfe: 040 284 10 26-0.
Wenn Sie das gerade im Ernstfall lesen: Trennen Sie die betroffenen Geräte vom Netzwerk, lassen Sie sie aber eingeschaltet. Und rufen Sie jemanden an, der so etwas nicht zum ersten Mal sieht — bei uns unter 040 284 10 26-0.
IT-Notfall: die ersten 60 Minuten entscheiden
Ein IT-Notfall ist kein technisches Problem, sondern ein Zeitproblem. In der ersten Stunde entscheidet sich, ob der Vorfall ein Ärgernis bleibt oder zum Betriebsstillstand wird. Genau in dieser Stunde ist niemand ruhig — und deshalb passieren dort die teuersten Fehler.
Das Bundesamt für Sicherheit in der Informationstechnik hat dafür eine Kurzanleitung für kleine und mittlere Unternehmen veröffentlicht: die TOP 12 Maßnahmen bei Cyber-Angriffen. Zwei Punkte ziehen sich durch: Ruhe bewahren, nichts überstürzt löschen oder neu starten.
Sofort-Triage: Was ist es überhaupt?
Ordnen Sie den Vorfall zuerst ein. Vier Bilder decken die meisten IT-Notfälle im Mittelstand ab — jedes verlangt einen anderen ersten Schritt.
| Was Sie sehen | Wahrscheinlich | Erster Schritt |
|---|---|---|
Dateien heißen plötzlich .locked, eine Textdatei fordert Zahlung | Verschlüsselungs-Trojaner | Netzwerk trennen, Gerät anlassen |
| Server nicht erreichbar, Dienste tot, aber kein Erpresserbrief | Hardware-, Storage- oder Update-Ausfall | Fehlerbild dokumentieren, nichts neu starten |
| Kunden bekommen Mails, die Sie nie geschrieben haben | Gekapertes E-Mail-Konto | Passwort ändern, Sitzungen beenden |
| Alles lokal läuft, nur nichts geht mehr raus | Leitungs- oder Firewall-Ausfall | Provider-Status prüfen, dann Firewall |
In allen vier Fällen gilt: Schreiben Sie mit — Uhrzeit, Beobachtung, wer was gemacht hat. Diese Notizen brauchen Aufsichtsbehörde und Versicherung. Unsicher, ob überhaupt ein Angriff vorliegt? Dann hilft die Übersicht dazu, woran man ein gehacktes Netzwerk erkennt.
Verschlüsselungs-Trojaner: die fünf ersten Schritte
- Netzwerk trennen. Kabel ziehen, WLAN aus, VPN kappen. Auch Netzlaufwerke und Backup-Platten, bevor die Verschlüsselung dorthin weiterläuft.
- Geräte eingeschaltet lassen. Nicht herunterfahren, nicht neu starten — im Arbeitsspeicher stehen Spuren, die zur Aufklärung gebraucht werden.
- Ausmaß feststellen. Welche Server, Freigaben, Clients? Und vor allem: Ist das Backup noch sauber und vom Netz getrennt?
- Meldeuhr starten. Zeitpunkt der Kenntnisnahme notieren — ab hier laufen die Fristen aus DSGVO und ggf. NIS 2.
- Hilfe holen, nicht verhandeln. IT-Dienstleister und Cyberversicherer anrufen. Keine Kontaktaufnahme mit den Tätern auf eigene Faust.
Was danach kommt — Wiederherstellung, Forensik, Lösegeldfrage — steht im Leitfaden Ransomware-Angriff: was tun, statt Lösegeld zu zahlen.
E-Mail-Konto gekapert: die fünf ersten Schritte
- Passwort ändern — von einem anderen Gerät aus. Ist der Rechner kompromittiert, tippen Sie das neue Passwort sonst beim Angreifer mit.
- Alle aktiven Sitzungen beenden. Ein Passwortwechsel allein wirft niemanden raus. Erst das Abmelden aller Sitzungen beendet den Zugriff.
- Weiterleitungsregeln prüfen. Der Klassiker: eine unauffällige Regel, die jede Mail an eine fremde Adresse kopiert. Auch Postfach-Berechtigungen kontrollieren.
- Mehr-Faktor-Anmeldung erzwingen. Und die hinterlegten Zweitfaktoren nachsehen — Angreifer registrieren still eine eigene Authenticator-App.
- Empfänger warnen. Wer zuletzt Mails aus dem Konto bekam, sollte wissen, dass gefälschte darunter sein können — vor allem Rechnungen mit neuer Bankverbindung.
Die beiden anderen Szenarien sind kürzer. Beim toten Server: Fehlerbild fotografieren, Protokolle sichern, nichts blind neu starten — ein Reboot kann eine defekte Platte endgültig verabschieden. Beim Leitungsausfall erst die Störungsmeldung des Providers prüfen, dann Firewall und Router, danach die Verkabelung. Was der Stillstand pro Stunde kostet, rechnen wir bei den Kosten von IT-Ausfällen für kleine Unternehmen vor.
Einmal ausgefüllt und ausgedruckt, muss im Ernstfall niemand mehr nachlesen: die IT-Notfallplan-Vorlage zum Ausfüllen.
Die fünf teuersten Reflexe
Aus unserer Praxis in Hamburg und Norddeutschland: Diese fünf Reaktionen kosten regelmäßig mehr als der Vorfall selbst.
- Den Server ausschalten und neu starten. Der häufigste und teuerste Reflex. Ein Neustart leert den Arbeitsspeicher — damit sind nicht nur forensische Spuren weg, sondern mitunter auch Schlüsselmaterial, mit dem sich Daten ohne Lösegeld hätten entschlüsseln lassen. Wir haben das erlebt: Der Rechner lief noch, die Chance war da — drei Minuten später nicht mehr.
- Aus Panik das erste Lösegeld-Angebot zahlen. Der zweite große Fehler, meist auf Geschäftsführungsebene. Wer eine Cyberpolice hat, bekommt vom Versicherer Verhandlungs- und Forensik-Profis gestellt — und muss ihn vor jeder Zahlung einbinden. Die eigenmächtige Überweisung löst selten das Problem und kostet die Deckung.
- Das Backup sofort zurückspielen. Ist die Ursache nicht gefunden, holen Sie sich denselben Weg wieder herein. Trojaner sind oft Wochen vorher eingedrungen.
- Spuren aufräumen. Dateien löschen, Protokolle leeren, Konten hastig neu anlegen — das nimmt Ihnen die Antwort darauf, was abgeflossen ist. Genau die will die Aufsichtsbehörde.
- Schweigen und hoffen. Meldefristen laufen ab dem Zeitpunkt, an dem Sie Kenntnis erlangen — nicht ab dem, an dem Sie sich sicher sind.
Bei einem Angriff kann die eigene E-Mail-Umgebung mitgelesen werden. Klären Sie die ersten Schritte per Telefon oder über einen Kanal außerhalb der betroffenen Systeme — und legen Sie die wichtigsten Rufnummern so ab, dass Sie ohne IT drankommen.
Meldepflichten: die Uhr läuft ab Kenntnis
Drei Meldungen sollten Sie kennen, bevor Sie sie brauchen.
DSGVO. Sind personenbezogene Daten betroffen, verlangt Artikel 33 DSGVO eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden. Eine unvollständige Erstmeldung ist ausdrücklich erlaubt und besser als eine späte.
NIS 2. Fällt Ihr Unternehmen unter NIS 2, kommt eine zweite Kette dazu. Nach den Vorgaben zur NIS-2-Meldepflicht des BSI ist ein erheblicher Vorfall binnen 24 Stunden als Erstmeldung anzuzeigen, die Folgemeldung folgt binnen 72 Stunden.
Cyberversicherung. Die dritte Meldung geht früh an den Versicherer. Policen enthalten Obliegenheiten — Pflichten, deren Verletzung die Leistung kürzt oder ausschließt. Welche das sind, steht bei den Ausschlüssen der Cyberversicherung 2026.
Wen Sie anrufen — und was dann passiert
Sie brauchen eine Nummer, unter der jemand abnimmt, der Vorfälle schon gesehen hat. Unsere Soforthilfe: 040 284 10 26-0. Montag bis Freitag von 8 bis 18 Uhr geht ein Mensch ans Telefon, kein Sprachmenü; der Rückruf erfolgt in der Regel innerhalb von 30 Minuten. Bestandskunden mit Wartungsvertrag haben zusätzlich eine 24/7-Rufbereitschaft. Was wir schriftlich zusagen, steht im IT-Vertrag im Klartext.
Vertraglich haben wir vier Stunden Reaktionszeit. Aber unser Anspruch ist: Wenn es bei Ihnen brennt, helfen wir sofort. Dafür haben Sie die Geschäftsführer direkt als Ansprechpartner.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Im ersten Gespräch geht es nicht um Verträge, sondern um drei Fragen: Was ist betroffen, was muss sofort vom Netz, läuft eine Meldefrist? Danach übernehmen wir die Eindämmung — und sagen Ihnen, wo Sie besser die Finger weglassen.
Dass Sie sich so schnell und verbindlich zurückgemeldet haben — da waren andere Anbieter schon raus.
Dass aus einem Notfall oft eine grundsätzliche Frage wird, zeigt der Praxisbericht vom E-Mail-Notfall zum IT-Konzept.
Danach: damit der nächste Notfall keiner wird
Läuft der Betrieb wieder, ist die Nachbesprechung der wichtigste Termin — solange alle noch wissen, was war. Drei Fragen: Wie kam der Angreifer herein? Was fehlte, als es schnell gehen musste? Wie lange dauerte der Wiederanlauf wirklich?
Daraus entsteht ein Notfallplan: Kontakte, Zuständigkeiten, Sofortmaßnahmen je Szenario, Meldefristen, Reihenfolge des Wiederanlaufs — ausgedruckt, weil das Intranet im Ernstfall weg ist. So erstellen Sie den Plan in Ruhe: Baustein für Baustein in unserer Anleitung zum IT-Notfallplan für den Mittelstand. Wie schnell Sie wieder online sein müssen, klären zwei Kennzahlen: RTO und RPO.
„Wir sind zu klein für so einen Plan." Das Gegenteil stimmt. Große Häuser haben ein IT-Team, das improvisieren kann. Bei 20 Leuten hängt im Notfall alles an einer Person — und die ist womöglich im Urlaub. Genau die ersetzen vier Seiten Papier.
Vorbeugen hilft ohnehin mehr als jede Notfallübung: aktuelle Systeme, überwachte Server, getestete Backups. Das ist der Kern unserer Managed IT Services ab rund 50 Euro pro Arbeitsplatz und Monat — welche Bausteine schützen, zeigt die Übersicht zu Cybersecurity aus Hamburg.
Kein akuter Notfall — aber auch kein Plan?
15 Minuten am Telefon, kostenlos. Wir gehen durch, wer bei Ihnen im Ernstfall was tut und wo die größte Lücke sitzt.
Erstgespräch buchen →Ihr nächster Schritt
Wenn es gerade brennt: Netzwerk trennen, Geräte anlassen, 040 284 10 26-0 anrufen. Wenn nicht: Nehmen Sie sich eine halbe Stunde und schreiben Sie auf, wen Ihre Leute anrufen, wenn morgen früh nichts mehr geht.
Wir betreuen Unternehmen mit 5 bis 150 Mitarbeitern als IT-Dienstleister in Hamburg und in ganz Norddeutschland. Alle Wege zu uns stehen auf der Seite Kontakt Hamburg.
