Kurzantwort
Bewahren Sie Ruhe und handeln Sie geordnet: Vorfall dokumentieren, betroffene Systeme vom Netz trennen statt löschen, professionelle IT- beziehungsweise Incident-Response-Hilfe einbeziehen und – sofern vorhanden – den Versicherer früh informieren. Prüfen Sie parallel gesetzliche Meldepflichten.
Schritt für Schritt
- 01
Vorfall feststellen und dokumentieren
Notieren Sie Zeitpunkt, beobachtete Auffälligkeiten, betroffene Systeme und bereits ergriffene Maßnahmen. Diese Notizen helfen Dienstleistern, Behörden und Versicherer.
- 02
Ausbreitung begrenzen
Trennen Sie betroffene Geräte vom Netzwerk, ohne sie vorschnell neu aufzusetzen oder Daten zu löschen. Beweise können für Analyse und Ansprüche wichtig sein.
- 03
Fachliche Hilfe holen
Ziehen Sie Ihren IT-Dienstleister oder ein Incident-Response-Team hinzu. Das BSI veröffentlicht Listen qualifizierter Dienstleister.
- 04
Versicherer informieren
Besteht eine Cyberversicherung, melden Sie den Vorfall früh und stimmen Sie kostenintensive Schritte vorab ab. Viele Policen bieten eine Notfall-Hotline.
- 05
Zugänge sichern
Ändern Sie Zugangsdaten von einem nicht betroffenen Gerät – zuerst Administrator-, E-Mail- und Bankzugänge.
- 06
Meldepflichten prüfen
Sind personenbezogene Daten betroffen, kann eine Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden erforderlich sein (Art. 33 DSGVO).
- 07
Kommunikation steuern
Legen Sie fest, wer intern und gegenüber Kunden informiert. Kommunizieren Sie sachlich und ohne Spekulationen.
Checkliste
- Notfallkontakte (IT, Versicherer, Bank) griffbereit – auch offline
- Zuständige Person für Entscheidungen benannt
- Vorgehen zum Trennen von Systemen bekannt
- Offline- oder getrennte Backups vorhanden
- Vorlage für Vorfallsprotokoll vorhanden
- DSGVO-Meldeweg geklärt
Typische Fehler
- Systeme sofort neu aufsetzen und damit Spuren vernichten.
- Ohne Abstimmung mit dem Versicherer teure Dienstleister beauftragen.
- Über ein möglicherweise kompromittiertes E-Mail-Konto kommunizieren.
- Lösegeld zahlen, ohne fachliche und rechtliche Beratung.
Häufige Fragen
Sollen wir alle Geräte sofort ausschalten?
Nicht pauschal. Das Trennen vom Netzwerk ist meist sinnvoller, weil flüchtige Spuren erhalten bleiben. Stimmen Sie das konkrete Vorgehen mit Fachleuten ab.
Wann müssen wir die Datenschutzaufsicht informieren?
Wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein Risiko für Betroffene darstellt, grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden.
Wer hilft, wenn wir keinen IT-Dienstleister haben?
Das BSI und die Allianz für Cyber-Sicherheit bieten Informationen und Listen qualifizierter Dienstleister. Auch die Zentralen Ansprechstellen Cybercrime der Polizei sind Anlaufpunkt.
Deckt eine neu abgeschlossene Versicherung den laufenden Angriff?
Nein. Bereits eingetretene Schäden sind durch einen Neuabschluss nicht versichert.
Sollten wir Anzeige erstatten?
Ja, eine Anzeige ist in der Regel sinnvoll. Die Zentralen Ansprechstellen Cybercrime der Landeskriminalämter beraten Unternehmen dazu.
Quellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Allianz für Cyber-Sicherheit (BSI)
- Polizeiliche Kriminalprävention – polizei-beratung.de
Geprüft am 06.10.2026.