Der Moment, in dem jemand die erste verschlüsselte Datei bemerkt, entscheidet mehr über den Schaden als die Wochen danach. Nicht, weil in dieser Stunde alles zu retten wäre – sondern weil sich in ihr die teuersten Fehler machen lassen. Wer unvorbereitet reagiert, löscht Spuren, verliert Beweise oder infiziert beim übereilten Wiederanfahren die frisch bereinigte Umgebung ein zweites Mal.
Dieser Ablauf ersetzt keinen Notfallplan – er beschreibt, was in der ersten Stunde trägt, wenn der Plan noch nicht gezogen wurde.
Isolieren, nicht ausschalten
Betroffene Systeme gehören vom Netz getrennt – aber nach Möglichkeit nicht hart heruntergefahren. Ein Ausschalten vernichtet flüchtige Spuren im Arbeitsspeicher, die für die spätere Analyse (welcher Zugang, welche Schadsoftware, seit wann) entscheidend sein können. Netzwerkkabel ziehen, WLAN und VPN trennen, betroffene Segmente abriegeln: Das stoppt die Ausbreitung, ohne die Beweislage zu zerstören.
Backups sofort schützen
Moderne Ransomware sucht gezielt nach Sicherungen und löscht oder verschlüsselt sie mit. Der erste aktive Schritt gilt deshalb den Backups: Sind sie erreichbar, werden Verbindungen dorthin getrennt; unveränderbare, vom Netz getrennte Kopien (Object-Lock, „immutable”) sind jetzt das wertvollste Gut im Haus. Was noch nicht angetastet wurde, darf jetzt nicht mehr erreichbar sein.
Eine Person entscheidet
Im Ernstfall braucht es eine benannte Person, die koordiniert – nicht ein Dutzend, die parallel handeln. Diese Rolle entscheidet über Isolierung, Kommunikation und die Reihenfolge der Wiederherstellung. Steht sie nicht vorab fest, kostet allein die Klärung „Wer darf hier eigentlich was?” wertvolle Zeit.
Melden gehört dazu
Je nach Betroffenheit bestehen Meldepflichten: bei personenbezogenen Daten gegenüber der Datenschutzaufsicht (in der Regel binnen 72 Stunden), für regulierte Betreiber zusätzlich nach NIS-2 oder branchenspezifischen Vorgaben. Eine Strafanzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) der Polizei sichert Spuren und ist oft Voraussetzung für Versicherungsleistungen. Diese Schritte parallel anzustoßen, statt sie „nach dem Aufräumen” zu erledigen, verhindert Fristverletzungen.
Was man in der ersten Stunde besser lässt
- Nicht zahlen unter Zeitdruck. Die Lösegeldfrage ist eine Entscheidung für später, mit Rechtsbeistand und Behörden – nicht für die erste Stunde.
- Nicht voreilig wiederherstellen. Ein Restore in eine noch kompromittierte Umgebung verschlüsselt die Daten ein zweites Mal. Erst die Ursache verstehen, dann wiederherstellen.
- Nicht die Spuren aufräumen. Logs, betroffene Systeme und Datenträger bleiben unangetastet, bis die Analyse sie freigibt.
Warum das vorbereitet gehört
All das lässt sich in der ersten Stunde nur ausführen, wenn es vorher aufgeschrieben und einmal geprobt wurde: Wer entscheidet, wo die getrennten Backups liegen, welche Systeme in welcher Reihenfolge zurückkommen, wen man wann informiert. Als inhabergeführtes Systemhaus in Solingen halten wir diese Notfallvorsorge für unsere Kunden aktuell – mit unveränderbaren, geo-redundanten Backups und getesteten Wiederherstellungen (Veeam-Praxis), 24/7-Beobachtung über unser NOC und einem geübten Ablauf – zu planbaren monatlichen Pauschalen im Rahmen unserer Business Continuity und Managed Services. Die erste Stunde ist kein guter Zeitpunkt, um über das Verfahren erst nachzudenken.