Was tun nach einem Hackerangriff? Der 48-Stunden-Notfallplan

Ein Mitarbeiter klickt auf einen Link. Sekunden später friert der Bildschirm ein. Dateien werden umbenannt, eine rote Meldung erscheint: »Ihre Daten wurden verschlüsselt. Zahlen Sie.«

Das ist Ransomware. Erpressungssoftware, die Ihre Dateien verschlüsselt und erst gegen Lösegeld wieder freigeben soll. Sie trifft keine anonymen Großkonzerne irgendwo da draußen, sie trifft Betriebe wie Ihren. Täglich. Der BSI-Lagebericht zeigt seit Jahren dasselbe Muster: Ransomware trifft überwiegend kleine und mittlere Unternehmen.

Panik? Verständlich. Hilft aber niemandem außer den Erpressern. Was jetzt zählt, ist ein klarer Kopf und die richtige Reihenfolge.

Die ersten 48 Stunden entscheiden

Wer richtig reagiert, begrenzt den Schaden. Wer hektisch klickt, macht es schlimmer. Die Angreifer kalkulieren Ihre Panik ein. Enttäuschen Sie sie.

Die erste Stunde

• Gerät vom Netz trennen: LAN-Kabel ziehen, WLAN ausschalten. Sofort. Ransomware verbreitet sich über das Netzwerk weiter.
• Nichts löschen, nicht neu starten: Die Forensik (die Spurensicherung am Rechner) braucht den Ist-Zustand, um den Angriff nachvollziehen zu können.
• Passwörter ändern: alle Zugänge, aber ausschließlich von einem sauberen Gerät aus. Das infizierte liest möglicherweise mit.
• Hilfe holen: IT-Dienstleister anrufen statt selbst zu »reparieren«. Gut gemeinte Rettungsversuche zerstören oft die letzten intakten Daten.

Innerhalb von 24 Stunden

• DSGVO-Meldepflicht prüfen: Sind personenbezogene Daten betroffen, müssen Sie die zuständige Datenschutzbehörde innerhalb von 72 Stunden informieren. In NRW ist das die LDI. Je nach Branche kommt eine zweite Meldepflicht dazu – ob NIS2 auch Ihren Betrieb betrifft, habe ich separat aufgeschrieben.
• Backup prüfen: Gibt es eine aktuelle, saubere Sicherung? Und liegt sie getrennt vom infizierten Netz?
• Versicherung informieren: Falls eine Cyberversicherung besteht, jetzt melden. Wer zu spät meldet, riskiert die Leistung.

Innerhalb von 48 Stunden

• Schadensbericht erstellen: Welche Daten, welche Systeme, welcher Zeitraum? Das brauchen Behörde, Versicherung und Ihr IT-Dienstleister.
• Lösegeld zahlen? Nein. Das BSI rät klar ab, und ich schließe mich an. Sie verhandeln mit Kriminellen. Wer zahlt, hat keine Garantie auf seine Daten und finanziert den nächsten Angriff gleich mit.
• Systeme neu aufsetzen: Kompromittierte Rechner werden nicht »bereinigt«, sondern komplett neu installiert. Alles andere ist Hoffnung, keine Sicherheit.

Warum kleine Betriebe das lukrativere Ziel sind

Große Konzerne haben IT-Abteilungen, Notfallpläne und Budgets. Kleine Betriebe haben davon oft nichts. Genau das wissen die Angreifer: Für sie ist ein kleiner Betrieb kein kleines Ziel, sondern leichte Beute. Weniger geschützt, schneller zahlungsbereit, selten vorbereitet. Besonders im Visier: Arztpraxen. Was Praxen beim Schutz von Patientendaten beachten müssen, habe ich eigens zusammengefasst.

Die häufigsten Einfallstore:

• Phishing-Mails: täuschend echte Nachrichten mit Schadanhang. Dank KI inzwischen in fehlerfreiem Deutsch und mit Ihrem Firmennamen in der Betreffzeile.
• Veraltete Software: das Windows ohne Updates, der Router mit Firmware von 2019. Wer noch auf Windows 10 sitzt, sollte seine vier Optionen nach dem Support-Ende kennen.
• Schwache Passwörter: Ein gestohlenes Passwort reicht für den Totalzugriff.
• Kein Backup: Wer keine Sicherung hat, zahlt oder verliert alles.

Vorsorge ist billiger als jede Wiederherstellung

Der beste Notfallplan ist der, den Sie nie brauchen. Drei Dinge senken Ihr Risiko drastisch: ein zweiter Login-Faktor (MFA), Backups, die getrennt vom Netz liegen, und eine Firewall, die Angriffe erkennt statt sie nur zu protokollieren.

Zum Weiterlesen:

• IT-Sicherheit 2026: Warum »Wir sind zu klein für Hacker« die gefährlichste Lüge ist – MFA, Passkeys und Backups, die Ransomware überstehen
• OPNsense statt FritzBox – wie eine echte Firewall Angriffe erkennt, bevor Dateien verschlüsselt sind
• Netzwerk & Sicherheit – was ich für Betriebe ohne eigene IT-Abteilung einrichte

Im Ernstfall: Sie erreichen mich direkt.

Wenn es brennt, brauchen Sie keinen Ticketstatus und keine Warteschleifenmusik. Ich bin remote meist innerhalb von zwei Stunden an Ihren Systemen, bundesweit. Ich kläre, was passiert ist und welche Daten betroffen sind, setze die Systeme sauber neu auf und hole Ihre Daten aus dem Backup zurück. Danach kümmere ich mich darum, dass derselbe Angriff kein zweites Mal funktioniert.

Eines verspreche ich Ihnen nicht: dass sich jeder Angriff folgenlos heilen lässt. Ohne Backup kann auch ich keine verschlüsselten Daten zurückzaubern. Pauschale Garantien wären hübsch – aber fachlich unseriös.

Noch kein Notfall? Umso besser. Dann ist jetzt der Zeitpunkt, die eigene Absicherung ehrlich prüfen zu lassen. Das Erstgespräch ist kostenlos, läuft remote und funktioniert bundesweit. Sie erfahren, wo Sie stehen. Auch wenn das Ergebnis lautet: Sie sind schon gut aufgestellt.