Malware & verdächtiges Verhalten · MAL-03
Verdacht auf Ransomware
Dateien lassen sich nicht mehr öffnen, tragen plötzlich fremde Endungen oder es erscheint eine Erpressungsnachricht. Jede Minute zählt, weil die Verschlüsselung weiterläuft, solange das Gerät im Netzwerk hängt.
Erste 15 Minuten
Sofortmaßnahmen.
- Dateinamen mit unbekannter Endung versehen
- Textdatei mit Lösegeldforderung in jedem Ordner
- Office-Dateien lassen sich nicht mehr öffnen
- Netzlaufwerke verändern sich vor den Augen
- 01
Gerät sofort vom Netzwerk trennen: Netzwerkkabel ziehen und WLAN ausschalten. Das stoppt die Ausbreitung auf Server und Kolleginnen.
- 02
Gerät eingeschaltet lassen und nicht neu starten. Im Arbeitsspeicher liegen Spuren, die für die Aufklärung und manchmal für die Entschlüsselung entscheidend sind.
- 03
Angeschlossene Datenträger und Backup-Festplatten physisch abstecken.
- 04
Foto der Erpressungsnachricht mit dem Handy machen, bevor irgendetwas verändert wird.
- 05
Sofort telefonisch melden. Nicht per Mail vom betroffenen Gerät.
Melden
Wen informieren, und wie.
Wen
IT-Verantwortliche oder IT-Dienstleister sofort, parallel die Geschäftsführung. Bei laufender Ausbreitung gilt das als Notfall zu jeder Tageszeit.
Wie
Telefonisch über den Notfallkontakt aus dem Kontaktblatt. Wenn niemand erreichbar ist, die nächste Eskalationsstufe anrufen.
Was bereithalten
- Welches Gerät betroffen ist und wo es steht
- Woran du es bemerkt hast und wann
- Ob Netzlaufwerke oder Cloud-Ordner betroffen sind
- Was auf der Erpressungsnachricht steht
- Was du zuletzt geöffnet oder installiert hast
Häufige Fehler
Nicht tun.
-
Das Gerät herunterfahren oder neu starten, solange die IT nichts anderes sagt.
-
Auf eigene Faust ein Entschlüsselungswerkzeug aus dem Internet herunterladen und ausführen.
-
Kontakt zu den Erpressern aufnehmen oder zahlen. Beides entscheidet ausschließlich die Geschäftsführung.
-
Dateien aus einem Backup zurückspielen, bevor klar ist, dass das Netzwerk sauber ist.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die IT isoliert betroffene Systeme, sucht nach weiteren befallenen Geräten und sichert Spuren für die Aufklärung.
-
Die Geschäftsführung entscheidet über Krisenkommunikation, Anzeige bei der Polizei und Einbindung der Cyber-Versicherung.
-
Sind personenbezogene Daten betroffen, läuft parallel die Bewertung nach Art. 33 DSGVO mit der 72-Stunden-Frist.
-
Wesentliche und wichtige Einrichtungen nach NISG 2026 prüfen zusätzlich die Berichtspflichten nach § 34: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden an das zuständige Computer-Notfallteam.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Trennen ja, ausschalten nein
Diese beiden Anweisungen wirken widersprüchlich und sind es nicht. Das Netzwerkkabel zu ziehen unterbricht die Verbindung zu Servern, Netzlaufwerken und anderen Rechnern. Die Verschlüsselung auf dem lokalen Gerät läuft dann zwar weiter, sie erreicht aber nichts mehr, was anderen gehört. Das ist der größte Hebel, den eine einzelne Person in dieser Lage hat.
Ausschalten wirkt auf den ersten Blick gründlicher, kostet aber Substanz. Im Arbeitsspeicher liegen laufende Prozesse, Netzwerkverbindungen und in manchen Fällen der Schlüssel selbst. Ist das Gerät einmal aus, sind diese Informationen weg. Genau daran scheitern Wiederherstellungen, die sonst möglich gewesen wären.
Warum Zahlen keine Entscheidung für den Arbeitsplatz ist
Die Frage nach dem Lösegeld hat eine juristische, eine versicherungstechnische und eine kommunikative Seite. Zahlungen können gegen Sanktionsvorgaben verstoßen, sie berühren Versicherungsbedingungen und sie verändern die Verhandlungsposition bei einem zweiten Zugriff. Dazu kommt: Eine Zahlung garantiert keine vollständige Wiederherstellung.
Für Mitarbeitende folgt daraus eine einfache Regel: Kein Kontakt zu den Erpressern, auch nicht zum Ausloten. Jede Kontaktaufnahme signalisiert Zahlungsbereitschaft und wird in der Verhandlung gegen das Unternehmen verwendet.
Backups sind erst nach der Bereinigung sicher
Der verständliche Wunsch nach schneller Wiederherstellung ist das größte Risiko in der zweiten Phase. Wird ein Backup zurückgespielt, solange die Ursache im Netzwerk aktiv ist, verschlüsselt derselbe Angriff die frisch wiederhergestellten Daten erneut. Im schlechtesten Fall wird dabei auch noch der letzte saubere Sicherungsstand überschrieben.
Deshalb steht die Reihenfolge fest: erst eingrenzen, dann bereinigen, dann wiederherstellen. Wenn du Zugriff auf Sicherungskopien hast, melde das der IT, statt sie eigenständig einzuspielen.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo Ihr Unternehmen steht und welcher nächste Schritt sinnvoll ist.