Montagmorgen, die Buchhaltung kann keine Rechnungen öffnen, auf dem Server erscheinen Lösegeldforderungen und die Telefonanlage läuft nur noch eingeschränkt. In diesem Moment entscheidet nicht allein die Technik über den Schaden, sondern die Vorbereitung. Einen Notfallplan für Ransomware erstellen heißt: Ihr Unternehmen weiß auch unter Druck, wer handelt, welche Systeme geschützt werden und wie der Betrieb wieder anlaufen kann.
Gerade kleine und mittelständische Unternehmen trifft ein Angriff oft besonders hart. Die IT-Abteilung besteht häufig aus wenigen Personen oder wird neben dem Tagesgeschäft organisiert. Deshalb muss ein Plan verständlich sein, konkrete Entscheidungen vorwegnehmen und auch funktionieren, wenn der übliche Ansprechpartner gerade nicht erreichbar ist.
Warum ein Ransomware-Notfallplan mehr ist als ein Backup
Ransomware verschlüsselt Daten, sperrt Systeme oder droht zusätzlich mit der Veröffentlichung gestohlener Informationen. Ein aktuelles Backup ist dabei unverzichtbar, löst aber nicht jede Frage: Darf ein betroffener PC weiterlaufen? Wer informiert Mitarbeitende? Welche Anwendungen werden zuerst wiederhergestellt? Und wie gehen Sie vor, wenn neben dem Dateiserver auch Microsoft-365-Konten betroffen sind?
Ohne feste Abläufe entstehen im Ernstfall wertvolle Verzögerungen. Gut gemeinte Schnellmaßnahmen können Spuren zerstören, die Ausbreitung fördern oder die Wiederherstellung erschweren. Ein Notfallplan schafft deshalb klare Reihenfolgen. Er reduziert Hektik, ersetzt aber keine technische Vorsorge wie Schutz vor Schadsoftware, aktuelle Systeme, abgesicherte Zugänge und überprüfte Sicherungen.
Notfallplan für Ransomware erstellen: die 7 Schritte
1. Warnzeichen und Auslöser eindeutig festlegen
Der Plan beginnt nicht erst mit der sichtbaren Lösegeldforderung. Definieren Sie, wann der Ransomware-Alarm ausgelöst wird. Typische Hinweise sind plötzlich unlesbare Dateien, ungewöhnliche Dateiendungen, auffällig viele fehlgeschlagene Anmeldungen, deaktivierte Sicherheitssoftware oder Mitarbeitende, die verdächtige E-Mails geöffnet haben.
Mitarbeitende müssen nicht entscheiden, ob tatsächlich ein Angriff vorliegt. Ihre Aufgabe ist, Auffälligkeiten sofort über einen klaren Weg zu melden. Ein Satz wie „Bei ungewöhnlichen Dateimeldungen oder verdächtigen Anmeldefenstern sofort anrufen, nicht weiterklicken“ ist im Alltag hilfreicher als eine lange Sicherheitsrichtlinie.
2. Zuständigkeiten fest benennen
In einem Notfall braucht es eine Person, die Entscheidungen koordiniert, sowie eine Vertretung. Halten Sie Namen, Mobilnummern und private Erreichbarkeiten dort fest, wo sie auch ohne Zugriff auf das Firmennetz verfügbar sind. Dazu gehören in vielen Betrieben Geschäftsführung, interne IT-Verantwortliche, ein externer IT-Partner und bei Bedarf Datenschutzbeauftragte oder Rechtsberatung.
Trennen Sie technische und geschäftliche Entscheidungen. Das IT-Team oder der Dienstleister bewertet Systeme, grenzt den Angriff ein und plant die Wiederherstellung. Die Geschäftsführung entscheidet beispielsweise über Kundenkommunikation, Prioritäten im Betrieb und die Einbindung weiterer Stellen. So muss niemand in einer akuten Lage Verantwortung übernehmen, für die er weder Informationen noch Befugnisse hat.
3. Betroffene Systeme sofort isolieren
Wenn ein Verdacht besteht, gilt zunächst: Ausbreitung stoppen. Der betroffene Arbeitsplatz oder Server muss vom Netzwerk getrennt werden. Das kann bedeuten, das Netzwerkkabel zu ziehen, WLAN zu deaktivieren oder das Gerät über die IT zentral vom Netz zu nehmen. Ob ein System anschließend ausgeschaltet werden sollte, hängt vom Fall ab. Ein laufendes Gerät kann wichtige Informationen für die Analyse enthalten, ein weiterlaufendes Gerät kann aber auch weiteren Schaden verursachen.
Diese Abwägung sollte der Notfallplan nicht offenlassen. Legen Sie fest, wer die Entscheidung trifft und wie Mitarbeitende bis dahin handeln. Wichtig: Nicht eigenmächtig Dateien löschen, Passwörter wahllos zurücksetzen oder verschlüsselte Ordner auf externe Datenträger kopieren. Erst die Lage sichern, dann gezielt analysieren.
4. Kommunikation ohne improvisierte Nachrichten organisieren
Ein Angriff ist kein Grund für Funkstille, aber auch nicht für vorschnelle Aussagen. Im Plan sollte stehen, wie Sie Ihre Belegschaft informieren: kurz, sachlich und mit klaren Anweisungen. Beispielsweise, dass keine Firmen-PCs neu gestartet, keine unbekannten E-Mails geöffnet und Auffälligkeiten direkt gemeldet werden sollen.
Für Kunden und Lieferanten gilt: Kommunizieren Sie nur, was Sie gesichert wissen. Wenn Aufträge oder Erreichbarkeit beeinträchtigt sind, ist eine transparente Zwischenmeldung besser als ein nicht haltbares Versprechen. Sind personenbezogene Daten möglicherweise betroffen, entstehen zusätzlich rechtliche Pflichten. Hier sollten Datenschutzverantwortliche und fachkundige Beratung frühzeitig eingebunden werden. Die konkrete Meldepflicht hängt vom Umfang und Risiko des Vorfalls ab.
5. Backups nach Wiederanlauf-Prioritäten planen
Nicht jedes System muss gleichzeitig wieder verfügbar sein. Fragen Sie sich vorab: Welche Anwendung benötigen wir, um Aufträge anzunehmen, Rechnungen zu schreiben, Waren zu versenden oder Kundentermine zu koordinieren? Daraus entsteht eine Wiederanlauf-Reihenfolge.
Ein gutes Backup-Konzept umfasst getrennte, geschützte Sicherungen und regelmäßige Prüfungen der Wiederherstellung. Entscheidend ist nicht nur, dass ein Sicherungsjob als erfolgreich angezeigt wird. Sie müssen wissen, ob Dateien, Server oder Microsoft-365-Daten im Ernstfall tatsächlich innerhalb eines vertretbaren Zeitrahmens zurückgespielt werden können.
Auch der Zeitraum ist eine unternehmerische Entscheidung. Wer stündlich viele Aufträge verarbeitet, kann Datenverlust von einem Arbeitstag meist nicht akzeptieren. Ein kleiner Betrieb mit wenigen Änderungen pro Woche bewertet das möglicherweise anders. Der Notfallplan dokumentiert diese Anforderungen verständlich und verhindert Erwartungen, die technisch oder wirtschaftlich nicht erfüllbar sind.
6. Die Wiederherstellung erst nach Bereinigung starten
Das schnelle Zurückspielen eines Backups wirkt verlockend. Wenn jedoch Zugänge kompromittiert, Sicherheitslücken offen oder weitere Geräte infiziert sind, kann der Angreifer erneut zugreifen. Daher gehört vor die Wiederherstellung eine saubere Prüfung: Wie kam der Angriff ins Unternehmen? Welche Benutzerkonten, Geräte und Dienste könnten betroffen sein? Sind Updates, Kennwörter und Zugriffsrechte angepasst?
Danach werden die priorisierten Systeme schrittweise wieder in Betrieb genommen. Testen Sie dabei nicht nur, ob ein Server startet. Prüfen Sie typische Arbeitsabläufe: Kann sich ein Mitarbeiter anmelden, lassen sich Belege öffnen, funktioniert der Druck, sind E-Mails erreichbar und greifen Berechtigungen korrekt? Erst wenn diese Tests passen, sollte das System wieder breit freigegeben werden.
7. Den Vorfall dokumentieren und den Plan verbessern
Nach einem Angriff ist der Wunsch groß, schnell zum Normalbetrieb zurückzukehren. Trotzdem lohnt sich eine kurze, ehrliche Nachbesprechung. Dokumentieren Sie Zeitpunkte, betroffene Systeme, getroffene Maßnahmen, Kommunikationswege und Ursachen. Diese Informationen helfen bei rechtlichen Fragen, Versicherungsfällen und vor allem bei der Verbesserung Ihrer Schutzmaßnahmen.
Der Plan selbst sollte dabei angepasst werden. Vielleicht fehlte eine Telefonnummer, ein Backup war zu langsam oder eine Entscheidung war nicht eindeutig geregelt. Genau dafür ist eine Auswertung da: nicht, um Schuldige zu suchen, sondern um beim nächsten Vorfall weniger abhängig von Improvisation zu sein.
Den Plan testen, bevor er gebraucht wird
Ein Notfallplan im Ordner hilft nur begrenzt. Führen Sie mindestens einmal jährlich eine kurze Übung durch – bei größeren Veränderungen der IT auch früher. Das muss keine aufwendige Krisensimulation sein. Schon ein gemeinsamer Termin von 45 Minuten kann aufdecken, ob Kontaktdaten stimmen, Verantwortlichkeiten bekannt sind und die Wiederanlauf-Reihenfolge nachvollziehbar bleibt.
Spielen Sie ein realistisches Szenario durch: Ein Mitarbeitender meldet verschlüsselte Dateien auf einem Netzlaufwerk. Wer wird angerufen? Wer trennt welche Systeme? Wie erreichen Sie Beschäftigte, wenn E-Mail und Teams nicht verfügbar sind? Aus welchem Backup stellen Sie die wichtigsten Daten wieder her? Notieren Sie offene Punkte direkt im Plan.
Für Unternehmen in Berlin und Brandenburg ist zudem ein persönlicher Ansprechpartner ein echter Vorteil. Gerade außerhalb der üblichen Geschäftszeiten oder bei einem schwer einzuordnenden Vorfall zählt, dass jemand Ihre Umgebung kennt und Entscheidungen nicht erst über mehrere Support-Stufen laufen müssen. PAPE-IT unterstützt Unternehmen dabei, technische Vorsorge, Backups und klare Notfallabläufe so zusammenzubringen, dass die IT im Alltag einfach läuft – und im Ausnahmefall handlungsfähig bleibt.
Ein guter Plan nimmt einem Ransomware-Angriff nicht jede Gefahr. Er sorgt aber dafür, dass Ihr Team nicht bei null anfangen muss, wenn jede Minute zählt. Legen Sie ihn nicht als Dokument für später ab, sondern besprechen Sie ihn mit den Menschen, die ihn im Ernstfall anwenden sollen.
