Zum Inhalt springen
Cyberschutz.io

Im Ernstfall handeln

Bei einem laufenden Vorfall zählt besonnenes, abgestimmtes Vorgehen. Ziehen Sie professionelle IT- beziehungsweise Incident-Response-Hilfe hinzu. Ein Neuabschluss deckt bereits eingetretene Schäden nicht ab.

Ablauf im Vorfall

Elf Schritte, sortiert nach Priorität. Im Ernstfall gilt: besonnen, abgestimmt und dokumentiert vorgehen.

Jetzt

  1. Vorfall eingrenzen

    Was ist betroffen – ein Gerät, ein Konto, ein Server, der Shop? Seit wann? Erste Beobachtungen mit Uhrzeit notieren.

  2. Systeme nicht vorschnell löschen oder zurücksetzen

    Neu aufsetzen vernichtet Spuren, die für Analyse, Versicherer und Behörden wichtig sind. Erst sichern, dann bereinigen.

    Wichtiger Hinweis

  3. Zugänge absichern

    Passwörter betroffener und privilegierter Konten von einem sauberen Gerät ändern, Sitzungen beenden, MFA prüfen.

  4. Betroffene Systeme isolieren

    Netzwerkverbindung trennen, Geräte aber nicht ausschalten, wenn ein Dienstleister das noch analysieren soll.

Als Nächstes

  1. Beweise und Logs sichern

    Protokolle, E-Mails, Erpressernachrichten und Screenshots sichern; Zeitleiste fortführen.

  2. IT-Verantwortliche und Dienstleister aktivieren

    Internen IT-Verantwortlichen und externen Dienstleister bzw. Incident-Response-Team einschalten.

  3. Incident-Verantwortlichkeiten klären

    Eine Person koordiniert. Wer entscheidet, wer dokumentiert, wer kommuniziert?

  4. Backup und Restore prüfen

    Sind Sicherungen unversehrt und getrennt? Erst wiederherstellen, wenn die Ursache verstanden ist – sonst droht erneute Infektion.

Danach

  1. Rechtliche und datenschutzrechtliche Meldepflichten prüfen

    Ob eine Meldung an die Datenschutzaufsicht oder andere Stellen nötig ist, hängt vom Einzelfall ab. Falls eine DSGVO-Meldepflicht besteht, gilt in der Regel eine Frist von 72 Stunden ab Kenntnis. Im Zweifel fachlich beraten lassen.

    Wichtiger Hinweis

  2. Kunden und Partner nur koordiniert informieren

    Abgestimmte, sachliche Kommunikation über einen festgelegten Kanal – keine voreiligen Aussagen zu Ursache oder Umfang.

  3. Versicherer frühzeitig einbinden

    Bei bestehender Cyberversicherung die Schadenhotline früh kontaktieren; viele Policen sehen Dienstleister und Vorgaben für das Vorgehen vor.

Ausführlich im Ratgeber: Cyberangriff: Die ersten Schritte im Betrieb

Diese Hinweise ersetzen keine individuelle Rechts- oder Datenschutzberatung. Ein jetzt abgeschlossener Versicherungsvertrag deckt bereits eingetretene Schäden nicht ab.

Typische Fälle im Betrieb

Ransomware oder verschlüsselte Daten

  1. 1Betroffene Systeme vom Netz trennen, nicht neu aufsetzen
  2. 2IT-Dienstleister bzw. Incident-Response-Team einschalten
  3. 3Versicherer informieren und dessen Vorgaben beachten
Ausführlich im Ratgeber: Backups gegen Ransomware vorbereiten

Übernommenes E-Mail-Konto

  1. 1Passwort ändern und alle Sitzungen beenden
  2. 2Weiterleitungs- und Posteingangsregeln prüfen
  3. 3Kunden und Partner koordiniert warnen, falls Nachrichten verschickt wurden

Zahlungsbetrug / CEO-Fraud

  1. 1Sofort die Bank kontaktieren und Rückruf der Zahlung anfragen
  2. 2Belege sichern; eine Anzeige ist in der Regel sinnvoll
  3. 3Freigabeprozess mit Rückruf über bekannte Nummer einführen
Ausführlich im Ratgeber: Rechnungsbetrug und CEO-Fraud verhindern

Möglicher Datenschutzvorfall

  1. 1Umfang der betroffenen Daten feststellen und dokumentieren
  2. 2Prüfen, ob eine Meldepflicht besteht – nicht jeder Vorfall ist meldepflichtig
  3. 3Betroffene informieren, wenn dies erforderlich ist

Weiterlesen: Ratgeber

Alle Ratgeber