Ransomware: Was in der ersten Stunde zählt

Warum die erste Stunde zählt

Bei einem Ransomware-Angriff werden Daten verschlüsselt und gegen Lösegeld eine Entschlüsselung in Aussicht gestellt; immer öfter drohen die Täter zusätzlich mit der Veröffentlichung gestohlener Daten. So beschreibt das BSI die Lage. Die Verschlüsselung, die Sie sehen, ist meist der letzte Schritt eines Angriffs, der Tage oder Wochen vorher begonnen hat. In der ersten Stunde entscheiden Sie nicht über die Rettung aller Daten, aber darüber, ob sich der Angriff weiter ausbreitet, ob Beweise erhalten bleiben und ob Sie Ihre Fristen einhalten.

Die folgenden Schritte richten sich an Geschäftsführung und IT-Verantwortliche kleiner und mittlerer Unternehmen. Sie folgen den Empfehlungen des BSI (Erste Hilfe bei einem schweren IT-Sicherheitsvorfall, Version 1.2) und der Polizeilichen Kriminalprävention. Im Zweifel gilt: Rufen Sie an, bevor Sie handeln. IT-Notfall, rund um die Uhr: 0176 66331199

Minute 0 bis 10: Ausbreitung stoppen

1. Betroffene Geräte vom Netz trennen. Netzwerkkabel ziehen, WLAN deaktivieren. Wenn mehrere Systeme betroffen sind, am Switch die Ports deaktivieren oder den Uplink zum Internet trennen. Das BSI empfiehlt, möglichst alle kompromittierten Systeme gleichzeitig vom Netz zu nehmen.
2. Nicht ausschalten, nicht neu starten. Im Arbeitsspeicher liegen Schlüssel, Prozesse und Spuren, die die Forensik braucht. Ein laufendes, aber vom Netz getrenntes System ist für die Analyse der richtige Zustand.
3. Backups schützen. Backup-Server, NAS und Wechselmedien sofort vom Netz nehmen. Ransomware sucht gezielt nach Sicherungen.
4. Erpresserschreiben fotografieren, Uhrzeit notieren, nicht antworten, nichts anklicken.

Minute 10 bis 30: Lage ordnen und Hilfe holen

1. Eine Person entscheidet. Benennen Sie, wer in den nächsten Stunden die Maßnahmen freigibt, und führen Sie ein Protokoll: Uhrzeit, Beobachtung, Maßnahme, Name.
2. Notfallhilfe anrufen. Bereithalten: Was ist betroffen, seit wann, wie viele Systeme, welche Server, welcher Dienstleister betreut die IT, welche Backups existieren. Unsere Notfallnummer: 0176 66331199, rund um die Uhr.
3. Zugänge sperren, von einem sauberen Gerät aus. Fernzugänge (VPN, RDP), kompromittierte Administratorkonten und auffällige Cloud-Anmeldungen sperren. Keine Anmeldung mit Administratorkonten auf verdächtigen Systemen: Das BSI warnt ausdrücklich davor, weil die Täter so weitere Zugangsdaten erbeuten.
4. Cyberversicherung informieren, falls vorhanden. Viele Policen verlangen eine sofortige Meldung und schreiben vor, welche Dienstleister eingebunden werden dürfen.
5. Kommunikation steuern. Mitarbeitende anweisen, keine Geräte einzuschalten, keine E-Mails zu öffnen und nichts in sozialen Medien zu posten. Einen Ersatzkanal festlegen (Telefon, Messenger auf privaten Geräten), falls E-Mail betroffen ist.

Minute 30 bis 60: Fristen und Anzeige

1. Anzeige bei der Polizei. Wenden Sie sich an die Zentrale Ansprechstelle Cybercrime (ZAC) Ihres Bundeslandes; für Hessen +49 611 83-8377, alle Nummern unter polizei.de. Die ZAC berät auch zur Lösegeldfrage und zur Beweissicherung.
2. Datenschutz prüfen. Sind personenbezogene Daten betroffen (bei Datenabfluss oder verschlüsselten Personalakten fast immer), läuft die 72-Stunden-Frist des Art. 33 DSGVO für die Meldung an die Aufsichtsbehörde, gerechnet ab Kenntnis. Datenschutzbeauftragte sofort einbinden.
3. NIS2 prüfen. Besonders wichtige und wichtige Einrichtungen müssen einen erheblichen Sicherheitsvorfall nach § 32 BSIG innerhalb von 24 Stunden mit einer frühen Erstmeldung an das BSI melden, innerhalb von 72 Stunden mit einer Bewertung nachlegen und spätestens einen Monat später abschließen. Ob Sie betroffen sind, zeigt unser NIS2-Selbsttest. Nicht regulierte Unternehmen können freiwillig melden: bsi.bund.de/dok/vorfall-melden.
4. Verträge prüfen. Kunden mit Sicherheitsklauseln, Banken und Lieferanten haben oft eigene Meldefristen von wenigen Stunden.

Die Lösegeldfrage

Das BSI empfiehlt, grundsätzlich nicht auf die Erpressung einzugehen und kein Lösegeld zu zahlen, sondern Daten nach Bereinigung des Netzes aus integren Backups zurückzuspielen. Die Polizeiliche Kriminalprävention rät ebenfalls von einer Zahlung ab und empfiehlt die Anzeige. Die Gründe: Sie haben keine Garantie, einen passenden Schlüssel zu erhalten, Schlüssel sind teils fehlerhaft, und mit der Zahlung finanzieren Sie weitere Angriffe. Werden Backups ebenfalls verschlüsselt und wird eine Zahlung dennoch erwogen, dann nur nach Abstimmung mit den Ermittlungsbehörden, Ihrer Rechtsberatung und der Versicherung, so auch der Rat des BSI. Treffen Sie diese Entscheidung nicht in der ersten Stunde und nicht allein.

Was Sie in der ersten Stunde nicht tun sollten

• Systeme herunterfahren, neu starten oder neu installieren: Spuren gehen verloren.
• Verschlüsselte Dateien löschen oder umbenennen, Virenscanner über alles laufen lassen.
• Backups zurückspielen, solange der Angriffsweg offen ist: Die Sicherung wird erneut verschlüsselt.
• Passwörter an betroffenen Geräten ändern: Die Täter lesen möglicherweise mit.
• Mit den Tätern verhandeln oder Testdateien hochladen, ohne Abstimmung mit Polizei und Beratern.
• Öffentliche Aussagen machen, bevor die Lage geklärt ist.

Nach der ersten Stunde

Danach beginnt die eigentliche Arbeit: forensische Sicherung, Analyse des Angriffswegs, Bereinigung und ein Wiederanlauf in sinnvoller Reihenfolge. Das BSI rät, infizierte Systeme als vollständig kompromittiert zu betrachten und neu aufzusetzen; bei einer Übernahme des Active Directory sollte das Netz komplett neu aufgebaut werden. Wir begleiten Sie durch diese Phasen, remote oder nach Absprache vor Ort im Rhein-Main-Gebiet, und arbeiten mit Ihrem IT-Dienstleister zusammen. Wenn der Betrieb wieder läuft, zeigt ein IT-Sicherheitscheck Kompakt (ab 2.490 EUR netto), wie der Angriff möglich war und was ihn künftig verhindert.

Unser Angebot: Die telefonische Ersteinschätzung im Notfall ist kostenfrei. Alles Weitere besprechen wir mit Ihnen, bevor Sie beauftragen. Zur IT-Notfallseite oder direkt anrufen: 0176 66331199 (rund um die Uhr). Dieser Beitrag ersetzt keine Rechtsberatung; Stand 18.10.2026.