Ein Ransomware-Angriff verschlüsselt Daten und fordert Lösegeld für den Schlüssel. Oft drohen die Täter zusätzlich, gestohlene Daten zu veröffentlichen. In dieser Situation ist ein klarer Plan wichtiger als Technikwissen. Druck dir diese Seite aus und leg sie dorthin, wo sie jeder findet.
Die ersten 15 Minuten: eindämmen
Trenne betroffene Geräte sofort vom Netzwerk, aber schalte sie nicht aus. Netzwerkkabel ziehen, WLAN deaktivieren. Ausschalten kann Spuren im Arbeitsspeicher vernichten, die bei der Analyse helfen.
- Netzwerkkabel ziehen und WLAN trennen, bei Unsicherheit den Internet-Router vom Strom nehmen.
- Nichts löschen, nichts neu installieren, keine Dateien öffnen.
- Den Bildschirm mit der Forderung fotografieren.
- Den IT-Betreuer anrufen. Bei uns: 02637/21900 oder über die Soforthilfe.
- Alle Mitarbeiter informieren: Geräte nicht benutzen, nichts anstecken.
Die ersten Stunden: Lage klären
Jetzt geht es darum zu verstehen, wie weit der Angriff reicht. Das macht dein IT-Dienstleister oder ein spezialisiertes Incident-Response-Team.
- Umfang: Welche Geräte, Server und Cloud-Konten sind betroffen?
- Backups: Sind die Sicherungen intakt? Offline-Backups jetzt nicht mit dem infizierten Netz verbinden.
- Zugänge: Alle Passwörter von einem sauberen Gerät aus ändern, zuerst Admin- und E-Mail-Konten.
- Datenabfluss: Gibt es Hinweise, dass Daten kopiert wurden?
- Dokumentation: Wer hat wann was bemerkt und getan? Alles mit Uhrzeit notieren.
Soll ich das Lösegeld zahlen?
Die Polizei und Sicherheitsbehörden raten davon ab. Eine Zahlung garantiert weder einen funktionierenden Schlüssel noch, dass gestohlene Daten gelöscht werden, und sie finanziert die nächsten Angriffe. Mit einem intakten Offline-Backup stellt sich die Frage meist gar nicht. Triff diese Entscheidung nie allein und nie unter Zeitdruck, sondern gemeinsam mit Fachleuten, deiner Versicherung und rechtlicher Beratung.
Melden: wer muss was erfahren?
- Polizei: Anzeige bei jeder Polizeidienststelle oder bei der Meldestelle für Cybercrime des Bundeskriminalamts (against-cybercrime@bmi.gv.at).
- Datenschutzbehörde: Sind personenbezogene Daten betroffen, muss die Datenpanne in der Regel binnen 72 Stunden gemeldet werden (Art. 33 DSGVO).
- Bundesamt für Cybersicherheit: Unternehmen, die unter das NISG 2026 fallen, müssen erhebliche Vorfälle melden – die Frühwarnung binnen 24 Stunden.
- Cyber-Versicherung: sofort melden, viele Polizzen haben eigene Hotlines und Fristen.
- Kunden und Partner: offen und sachlich informieren, wenn sie betroffen sein könnten.
Erste Hilfe für Mitgliedsbetriebe bietet außerdem die Cyber-Security-Hotline der Wirtschaftskammer (0800 888 133). Der nationale CERT (cert.at) veröffentlicht Warnungen und Hinweise.
Die ersten Tage: sauber wiederherstellen
Systeme werden nicht einfach „entschlüsselt und weiterbenutzt“. Sicherer ist: neu aufsetzen, aus einem sauberen Backup wiederherstellen, die Einfallslücke schließen. Erst wenn klar ist, wie die Angreifer hereingekommen sind, ist der Vorfall wirklich vorbei. Danach folgt eine Nachbesprechung: Was hat funktioniert, was muss sich ändern?
Vorlage: dein Notfallplan auf einer Seite
- Telefonnummer IT-Betreuer und Ersatzkontakt
- Wer im Betrieb entscheidet (Name, Handynummer)
- Wo die Offline-Backups liegen und wer Zugriff hat
- Kontakt der Cyber-Versicherung mit Polizzennummer
- Liste der wichtigsten Systeme in der Reihenfolge der Wiederherstellung
- Meldewege: Polizei, Datenschutzbehörde, gegebenenfalls Bundesamt für Cybersicherheit
- Vorformulierte Kurznachricht an Kunden
Wichtig: Den Plan ausdrucken. Wenn Server und E-Mail verschlüsselt sind, hilft dir ein PDF im Firmennetz nicht.
Häufige Fragen
Wie verhindere ich Ransomware von vornherein?
Mit MFA, Updates, modernem Endpoint-Schutz und geschulten Mitarbeitern. Mehr auf unserer Seite zu Ransomware-Schutz und in Die 10 wichtigsten Maßnahmen.
Wie lange dauert die Wiederherstellung?
Mit gepflegtem Backup und vorbereitetem Plan oft Stunden bis wenige Tage. Ohne Backup im schlimmsten Fall nie vollständig. Deshalb: Backup zuerst.
