Ransomware-Angriff: Was tun in den ersten 48 Stunden?

Ihr Bildschirm zeigt eine Lösegeldforderung. Die Panik setzt ein. Was jetzt?

Die ersten Stunden nach einem Ransomware-Angriff entscheiden darüber, wie groß der Schaden wird – und ob eine Wiederherstellung möglich ist. Hier ist, was Sie tun müssen.

Sofortmaßnahmen (erste Stunde)

1. Isolieren, nicht ausschalten. Trennen Sie alle betroffenen Geräte sofort vom Netzwerk – Netzwerkkabel abziehen, WLAN deaktivieren. Aber: Schalten Sie die Geräte NICHT aus. Forensische Daten (Prozesse im RAM, Netzwerkverbindungen) können bei der Analyse helfen.

2. Backup sichern. Wenn Sie ein externes Backup haben (NAS, Cloud, Tape): Trennen Sie es sofort vom Netzwerk, bevor Ransomware es verschlüsselt. Prüfen Sie, ob das Backup noch intakt ist.

3. Team informieren. IT-Verantwortliche, Geschäftsführung und ggf. externe IT-Dienstleister sofort informieren. Kommunizieren Sie intern nur über Kanäle, die definitiv nicht betroffen sind (z.B. Mobiltelefone, nicht das Unternehmens-E-Mail).

In den ersten 24 Stunden

BSI informieren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet kostenlose Unterstützung und kann Informationen über den spezifischen Ransomware-Typ liefern. Meldung unter: bsi.bund.de.

Polizei einschalten. Erstatten Sie Anzeige – Ransomware ist eine Straftat. Die Polizei hat spezialisierte Einheiten für Cyberkriminalität.

Lösegeld NICHT zahlen. Keine Garantie für Entschlüsselung, Finanzierung von Kriminellen, häufig folgt ein zweiter Angriff.

Schadensumfang dokumentieren. Welche Systeme sind betroffen? Welche Daten waren darauf? Screenshot der Lösegeldforderung machen.

Wiederherstellung (24–48 Stunden)

Wenn aktuelle Backups vorhanden sind: Beginnen Sie die Wiederherstellung auf sauberer Hardware oder nach vollständiger Neuinstallation der Systeme. Spielen Sie Backups NICHT auf möglicherweise noch infizierten Systemen ein.

Falls keine Backups: Prüfen Sie die Seite nomoreransom.org – dort gibt es für viele bekannte Ransomware-Varianten kostenlose Entschlüsselungstools.

Nachbereitung

Nach der Wiederherstellung ist vor der Prävention: Wie ist der Angreifer reingekommen? Welche Lücken wurden ausgenutzt? VIOCOM analysiert Ihre IT-Sicherheitslage und schließt die Einfallstore.

Kostenlosen Security-Check anfragen