Viele Angriffe laufen wochenlang unbemerkt, bevor etwas sichtbar kaputtgeht. In dieser Zeit sehen sich die Täter um, stehlen Daten und bereiten den eigentlichen Schlag vor. Je früher du die Spuren erkennst, desto kleiner der Schaden.
Woran erkenne ich, dass mein Unternehmen gehackt wurde?
Die meisten Hinweise auf einen Angriff sind kleine Unregelmäßigkeiten bei Konten und E-Mails, nicht dramatische Totalausfälle. Die folgenden zehn Anzeichen sehen wir in der Praxis am häufigsten.
1. Anmeldungen, die nicht zu euch passen
Anmeldungen um drei Uhr früh, aus Ländern, in denen niemand von euch war, oder zwei Anmeldungen desselben Kontos aus weit entfernten Orten innerhalb weniger Minuten. Microsoft 365 und Google Workspace zeigen solche Ereignisse im Anmeldeprotokoll.
2. MFA-Anfragen, die niemand ausgelöst hat
Ein Handy fragt nach einer Bestätigung, obwohl sich niemand anmelden wollte. Das heißt: Das Passwort ist bekannt. Ablehnen, Passwort ändern, melden.
3. Neue Weiterleitungs- oder Posteingangsregeln
Angreifer richten in übernommenen Postfächern Regeln ein, die Mails mit „Rechnung“ oder „Zahlung“ automatisch weiterleiten oder löschen, damit der Besitzer nichts merkt. Ein Blick in die Regeln jedes Postfachs gehört zur Grundkontrolle.
4. Kunden bekommen seltsame Mails von dir
Wenn Kunden nachfragen, warum du ihnen eine neue Kontonummer oder einen merkwürdigen Link geschickt hast, ist meist ein Postfach übernommen oder deine Domain wird gefälscht.
5. Unbekannte Benutzerkonten mit Admin-Rechten
Ein neues Konto mit einem unauffälligen Namen wie „Support“ oder „Backup-Admin“, das niemand angelegt hat, ist ein deutliches Alarmsignal.
6. Virenschutz oder Backup plötzlich deaktiviert
Bevor Ransomware zuschlägt, schalten Angreifer gern Schutzprogramme und Sicherungen ab. Meldungen wie „Backup fehlgeschlagen“ oder „Echtzeitschutz deaktiviert“ nie ignorieren.
7. Ungewöhnlicher Datenverkehr
Die Internetleitung ist nachts ausgelastet, große Datenmengen fließen zu unbekannten Cloud-Speichern. Das kann ein Datendiebstahl sein. Moderne Firewalls und Netzwerksensoren schlagen hier Alarm.
8. Neue Programme oder geplante Aufgaben
Fernwartungs-Tools, die niemand installiert hat, oder Aufgaben, die nachts Skripte ausführen, deuten auf dauerhaften Zugang hin.
9. Gelöschte Protokolle
Fehlen in Ereignisprotokollen plötzlich Zeiträume, hat jemand Spuren verwischt.
10. Dateien mit fremden Endungen
Dateien lassen sich nicht öffnen, haben neue Endungen, in Ordnern liegen Textdateien mit Anweisungen: Dann läuft bereits eine Verschlüsselung. Sofort zum Notfallplan bei Ransomware.
Was tun beim Verdacht?
- Ruhe bewahren und dokumentieren: Was ist wann aufgefallen? Screenshots machen.
- Betroffenes Konto sichern: Passwort von einem sauberen Gerät ändern, alle Sitzungen abmelden, MFA neu einrichten.
- Bei Geräten: vom Netzwerk trennen, nicht ausschalten.
- IT-Betreuer informieren – bei uns per Soforthilfe.
- Prüfen, ob Meldepflichten gelten, etwa an die Datenschutzbehörde.
Warum es Fachleute braucht: Ein geändertes Passwort reicht oft nicht. Angreifer hinterlassen Hintertüren – zusätzliche Konten, App-Berechtigungen, Weiterleitungen. Eine saubere Untersuchung findet alle.
Häufige Fragen
Kann ich Angriffe automatisch erkennen lassen?
Ja. EDR- und MDR-Dienste überwachen Geräte und Konten rund um die Uhr und reagieren bei Auffälligkeiten. Mehr zu Schutzsoftware.
Wie unterscheidet sich das von einem infizierten Computer?
Ein einzelner infizierter PC zeigt oft andere Symptome. Die findest du in Anzeichen, dass dein Computer infiziert ist.
