Cybervorfall im Betrieb: Notfallplan für die ersten 24 Stunden

Am Montagmorgen geht nichts mehr

Die Rechner starten, aber die Dateien öffnen nicht. Statt der Offerte liegt eine Textdatei auf dem Desktop, die eine Zahlung in Kryptowährung fordert. Der Server antwortet nicht. Und die erste Frage im Raum lautet: Was machen wir jetzt?

Genau diese Frage entscheidet, ob aus einem schlechten Tag eine schlechte Woche wird oder ein schlechtes Quartal. Die meisten KMU haben für den Brandfall eine klare Vorstellung: raus, Feuerwehr rufen, niemand geht zurück ins Gebäude. Für den Cybervorfall fehlt dieser Reflex. Dabei zählt hier jede Stunde, und die falschen Handgriffe in den ersten Minuten kosten oft mehr als der Angriff selbst.

Dieser Beitrag ist kein Techniktext. Er ist die Anleitung, die im Ordner liegen sollte, bevor etwas passiert.

Die ersten 30 Minuten: ruhig bleiben, aber schnell handeln

Der erste Reflex vieler Leute ist, den befallenen Rechner sofort auszuschalten. Verständlich, aber falsch. Beim harten Ausschalten gehen Spuren verloren, die später zeigen, wie die Angreifer reingekommen sind und was sie mitgenommen haben. Diese Spuren brauchen Sie, für die Versicherung, für eine allfällige Anzeige und dafür, die Lücke sauber zu schliessen.

Richtig ist: das Gerät vom Netz trennen, nicht ausschalten. Netzwerkkabel ziehen, WLAN aus. Damit stoppen Sie die Ausbreitung, ohne den Zustand zu zerstören. Wenn sich Verschlüsselung erkennbar über mehrere Systeme zieht, trennen Sie im Zweifel den ganzen Standort vom Internet. Ein Betrieb ohne Netz ist unangenehm. Ein Betrieb, dessen Backup gerade mitverschlüsselt wird, ist ein Problem ganz anderer Grösse.

Parallel dazu: Wer merkt was, sagt es sofort weiter. In vielen Firmen bemerkt die erste Person die Sache um acht, und die Geschäftsleitung erfährt es um elf. Diese drei Stunden sind verloren. Legen Sie fest, dass jeder Verdacht ohne Umweg an eine Person geht, die entscheiden darf.

Was Sie auf keinen Fall tun sollten

Zahlen Sie nicht. Das Lösegeld zu bezahlen klingt in der Panik nach dem schnellsten Weg zurück zur Arbeit. In der Realität bekommt ein Teil der Zahlenden gar keinen funktionierenden Schlüssel, und wer einmal zahlt, gilt als zahlungsbereit und wird ein zweites Mal angegriffen. Dazu kommt: Sie finanzieren organisierte Kriminalität, und in manchen Konstellationen ist die Zahlung rechtlich heikel.

Löschen Sie nichts. Nicht die verdächtige Mail, nicht die seltsame Datei, nicht die Logs. Das alles ist Beweismaterial. Wer im Aufräumreflex den Posteingang leert, vernichtet oft genau die Spur, die den Einstiegspunkt zeigt.

Und spielen Sie nicht selbst Detektiv über Stunden. Ein bisschen herumklicken, um zu verstehen, was los ist, verändert den Zustand und kostet Zeit, die Sie besser nutzen. Sichern Sie den Stand, dokumentieren Sie, was Sie sehen, und holen Sie Hilfe.

Wen Sie anrufen, und in welcher Reihenfolge

Die Reihenfolge ist einfach, wenn sie vorher feststeht. Zuerst die Person in der eigenen Firma, die entscheiden darf. Dann Ihren IT-Partner, der die Systeme kennt und die Trennung sauber durchziehen kann. Das ist der Moment, in dem sich eine bestehende Beziehung auszahlt: Wer erst im Ernstfall einen Dienstleister sucht, verliert einen halben Tag.

Haben Sie eine Cyberversicherung, rufen Sie deren Hotline früh an, oft noch vor den eigenen Aufräumarbeiten. Viele Policen schreiben vor, dass ein Vorfall sofort gemeldet wird und bestimmte Schritte nur mit ihrem Einverständnis passieren. Wer eigenmächtig loslegt, riskiert die Deckung.

Melden Sie den Vorfall dem Bundesamt für Cybersicherheit (BACS). Das geht über ein Formular auf ncsc.admin.ch und hilft der ganzen Region, weil das BACS Muster erkennt und warnt. Für die meisten KMU ist diese Meldung freiwillig, aber sinnvoll.

Für Betreiber kritischer Infrastrukturen ist sie es nicht. Seit dem 1. April 2025 gilt in der Schweiz eine Meldepflicht: Wer unter diese Kategorie fällt, muss einen Cyberangriff innert 24 Stunden ans BACS melden. Wer die Meldung unterlässt, riskiert eine Busse von bis zu 100'000 Franken. Ob Ihr Betrieb betroffen ist, klären Sie besser heute als im Ernstfall, denn die Frist läuft schnell.

Ist Geld abgeflossen oder liegt ein klarer Betrug vor, gehört zusätzlich eine Anzeige bei der Kantonspolizei dazu.

Wieder hochfahren, aber richtig

Wenn der erste Schrecken vorbei ist, kommt der Teil, den viele unterschätzen: sauber zurückkommen. Ein befallenes System einfach neu starten und weitermachen bringt oft die Angreifer gleich wieder mit. Die Systeme werden neu aufgesetzt oder aus einem geprüften Backup zurückgespielt, und zwar erst, wenn klar ist, wie die Lücke entstanden ist und dass sie geschlossen ist.

Hier zeigt sich, ob Ihr Backup taugt. Ein Backup, das dauerhaft am selben Netz hängt, wird bei Ransomware gern mitverschlüsselt. Testen Sie vorher, ob Sie tatsächlich wiederherstellen können. Ein Backup, das noch nie zurückgespielt wurde, ist eine Hoffnung, kein Plan.

Und reden Sie mit Ihren Leuten. Wer im Vorfall einen Fehler gemacht hat, auf einen Link geklickt, eine Datei geöffnet, soll das ohne Angst melden können. Schweigen aus Scham kostet Sie die wertvollsten Minuten.

Der Zettel, der vorher fertig sein muss

Das Wichtigste an einem Notfallplan ist, dass er existiert, bevor Sie ihn brauchen. Legen Sie eine kurze Kontaktliste an: Wer entscheidet intern, Nummer des IT-Partners, Hotline der Versicherung mit Policennummer, Link zum BACS-Formular, Nummer der Kantonspolizei. Diese Liste gehört ausgedruckt in einen Ordner, denn wenn die Systeme stehen, öffnet sich kein digitales Dokument mehr.

Einmal im Jahr durchgehen, prüfen ob die Nummern stimmen, fertig. Diese halbe Stunde ist die günstigste Versicherung, die Sie kaufen können.

Checkliste für den Ernstfall

• Gerät vom Netz trennen, nicht ausschalten. Kabel ziehen, WLAN aus, Spuren erhalten.
• Nicht zahlen, nichts löschen. Kein Lösegeld, verdächtige Mails und Dateien als Beweis behalten.
• Sofort intern eskalieren. Jeder Verdacht ohne Umweg an die Person, die entscheiden darf.
• IT-Partner und Cyberversicherung früh anrufen. Bei Versicherung vor eigenen Aufräumarbeiten, sonst droht Deckungsverlust.
• Dem BACS melden (ncsc.admin.ch). Kritische Infrastruktur: Pflicht innert 24 Stunden, sonst bis 100'000 Franken Busse.
• Bei Geldschaden Anzeige bei der Kantonspolizei erstatten.
• Sauber wiederherstellen. Systeme neu aufsetzen oder aus geprüftem Backup, erst wenn die Lücke geschlossen ist.
• Backup vorher testen. Ein nie zurückgespieltes Backup ist keine Sicherheit.
• Notfallkontaktliste ausgedruckt bereithalten und einmal im Jahr prüfen.