Cyberangriff: Die ersten 24 Stunden

Ein Erpressungstrojaner hat die Daten verschlüsselt, E-Mails gehen nicht mehr, ein Bildschirm verlangt Lösegeld. Was jetzt zählt: Ruhe, Reihenfolge und Beweise sichern.

Sofort

Ruhe bewahren. Hektik macht es schlimmer.
Betroffene Geräte vom Netzwerk trennen: Netzwerkkabel ziehen, WLAN aus. Die Geräte aber nicht ausschalten, denn Spuren im Arbeitsspeicher können für die Ermittlung wichtig sein.
Nichts löschen und nichts neu installieren. Das zerstört Beweise.
Den IT-Dienstleister verständigen.
Die Cyber-Versicherung informieren, falls vorhanden. Viele Polizzen verlangen eine sofortige Meldung und stellen selbst Fachleute bereit.

In den ersten Stunden

Polizei verständigen und Anzeige erstatten. Cyberkriminalität ist eine Straftat. Ansprechpartner sind die Polizei (133) und die Meldestelle für Cybercrime des Bundeskriminalamts (against-cybercrime@bmi.gv.at).
CERT.at informieren, das nationale Computer-Notfallteam. Es hilft bei der Einschätzung.
Kein Lösegeld zahlen, ohne vorher mit Polizei und Fachleuten gesprochen zu haben. Bezahlen garantiert nicht, dass die Daten zurückkommen.
Krisenstab einberufen: Leitung, IT, Kommunikation, bei Gemeinden der Bürgermeister.

Innerhalb von 72 Stunden

Meldepflichten nach dem NIS-Recht prüfen. Fällt Ihre Organisation unter die NIS-2-Regeln (etwa in Energie, Wasser, Abfall, Gesundheit, Verkehr oder digitaler Infrastruktur), gelten eigene Fristen: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden.
Datenschutz prüfen. Sind personenbezogene Daten betroffen, muss die Verletzung in der Regel binnen 72 Stunden der Datenschutzbehörde gemeldet werden (Art. 33 DSGVO).
Informieren: Mitarbeiter, betroffene Personen, bei Gemeinden die Bevölkerung. Ehrlich und ohne Spekulationen.

Danach

Sicherungen prüfen. Nur Sicherungen, die vom Netzwerk getrennt aufbewahrt wurden, sind sicher.
Wiederherstellen erst, wenn die Ursache geklärt ist.
Aus dem Vorfall lernen und den Notfallplan anpassen.

Was Sie heute schon tun können

Eine Telefonliste für den Ernstfall ausdrucken: IT-Dienstleister, Polizei, CERT.at, Versicherung, Datenschutzbeauftragte.
Regelmäßig Sicherungen anlegen, die getrennt vom Netzwerk liegen, und die Wiederherstellung auch einmal testen.
Mitarbeiter schulen: Die meisten Angriffe beginnen mit einer harmlos wirkenden E-Mail.

Ein Wort aus der Ermittlungspraxis

In den ersten Stunden einer Gefahren- oder Krisenlage zählt vor allem eines: einen kühlen Kopf behalten. Panik und Angst sind kontraproduktiv. Es geht darum, sich auf das Problem zu konzentrieren und mit klarem Blick so schnell wie möglich herauszufinden, wie der Schaden begrenzt und das Problem gelöst werden kann.

Dieser Leitfaden ist eine Orientierung und ersetzt keine Rechts- oder IT-Forensikberatung im Einzelfall.

Notfallplan gemeinsam erstellen? Silent Operator: Krisenbegleitung