Malware & verdächtiges Verhalten · MAL-04
Lösegeldforderung am Bildschirm
Auf dem Bildschirm steht eine Forderung nach Zahlung, damit Dateien wieder zugänglich werden oder angeblich gestohlene Daten nicht veröffentlicht werden. Oft nennt sie eine Frist und einen Kontaktweg für die Verhandlung.
Erste 15 Minuten
Sofortmaßnahmen.
- Vollbildmeldung mit Countdown und Zahlungsadresse
- Textdatei in jedem Ordner mit Zahlungsanweisung
- Mail mit der Drohung, Daten zu veröffentlichen
- Dateien tragen plötzlich eine fremde Endung
- 01
Gerät sofort vom Netzwerk und WLAN trennen, damit die Verschlüsselung nicht auf Netzlaufwerke weiterläuft.
- 02
Gerät eingeschaltet lassen und nicht neu starten.
- 03
Geschäftsführung und IT unverzüglich telefonisch verständigen. Das ist ein Führungsthema, kein IT-Detail.
- 04
Foto oder Screenshot der Forderung samt Frist und Kontaktweg sichern, am besten mit dem Handy.
- 05
Auf nichts antworten und nichts anklicken, auch nicht auf den angebotenen Entschlüsselungstest.
Melden
Wen informieren, und wie.
Wen
Geschäftsführung und IT-Verantwortliche sofort, gemeinsam. Die Entscheidung über das weitere Vorgehen liegt bei der Leitung.
Wie
Telefonisch über den Notfallkontakt aus dem Kontaktblatt. Nicht über Mail oder Chat, die möglicherweise mitgelesen werden.
Was bereithalten
- Wortlaut der Forderung und genannte Frist
- Welche Laufwerke und Ordner betroffen sind
- Seit wann die Dateien nicht mehr lesbar sind
- Ob weitere Geräte im Haus Auffälligkeiten zeigen
- Ob das Gerät noch am Netz hing, als es bemerkt wurde
Häufige Fehler
Nicht tun.
-
Auf die Forderung antworten oder in Verhandlungen treten. Das entscheidet ausschließlich die Geschäftsführung.
-
Zahlen. Es gibt keine Zusicherung, dass Daten zurückkommen oder unveröffentlicht bleiben.
-
Betroffene Dateien löschen oder mit Wiederherstellungsprogrammen experimentieren.
-
Eine Sicherung einspielen, bevor geklärt ist, ob der Zugang der Täter noch besteht.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die Geschäftsführung entscheidet über Anzeige, Einbindung der Versicherung und externe Unterstützung bei der Aufarbeitung.
-
Sind personenbezogene Daten betroffen, läuft parallel die Frist für die Meldung an die Datenschutzbehörde.
-
Fällt das Unternehmen unter NIS2, prüft die Leitung die Meldepflicht nach dem NISG 2026: Frühwarnung binnen 24 Stunden.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Die Forderung ist ein Führungsthema ab der ersten Minute
Dieses Playbook endet für Mitarbeitende früher als die anderen. Trennen, sichern, melden, und dann liegt die Entscheidung bei der Geschäftsführung. Der Grund ist nicht Hierarchie: An der Forderung hängen Fragen zu Anzeige, Versicherung, Meldepflichten und Kommunikation nach außen, und jede davon hat rechtliche Folgen.
Deshalb steht in den Sofortmaßnahmen der gemeinsame Anruf an Geschäftsführung und IT. Eine Erpressung, die zuerst intern zwei Ebenen durchläuft, verliert die Stunden, in denen die Eindämmung noch etwas bewirkt.
Die Meldung ist das Bild, nicht der Text
Der Bildschirm mit der Forderung ist ein Beweismittel. Er nennt die Frist und den Kontaktweg, und daraus lässt sich oft ableiten, welches Vorgehen zu erwarten ist und ob zusätzlich Daten abgeflossen sind.
Deshalb Foto oder Screenshot, bevor irgendetwas geschlossen wird. Ein Handyfoto genügt vollständig und ist der sicherste Weg, weil es das betroffene Gerät nicht weiter benutzt.
Warum die Sicherung warten muss
Der naheliegende Reflex ist, sofort die letzte Sicherung einzuspielen. Solange nicht geklärt ist, ob der Zugang der Angreifer noch besteht, führt das zuverlässig zum zweiten Durchgang, dann auf frisch wiederhergestellten Daten.
Die Reihenfolge lautet deshalb: Zugang schließen, Ausmaß feststellen, dann wiederherstellen. Für Betroffene am Arbeitsplatz heißt das schlicht, nichts selbst wiederherzustellen, auch wenn eine eigene Kopie der Dateien zur Hand ist.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.