Ein ganz normaler Dienstagmorgen. Die ersten Mitarbeitenden gießen sich Kaffee ein, fahren ihre Rechner hoch – und starren auf Bildschirme, die nichts mehr anzeigen außer einer Lösegeldforderung. Die Dateifreigaben verschlüsselt, das ERP nicht erreichbar, die Telefonanlage tot. Jetzt entscheidet sich, ob Ihr Unternehmen diesen Tag als schmerzhafte Episode oder als existenzbedrohende Katastrophe abhakt. Und diese Entscheidung fällt nicht um 7:42 Uhr, sondern in den Wochen und Monaten davor.

Ein durchdachter Reaktionsplan ist keine Fleißaufgabe für die IT-Abteilung. Er ist die Grundvoraussetzung, um im Ernstfall überhaupt handlungsfähig zu bleiben. Die gute Nachricht: Sie können ihn strukturiert aufbauen – Schritt für Schritt, testbar und praxistauglich.

Baustein 1: Die Krisenorganisation – bevor das Chaos zuschlägt

Der häufigste Fehler in den ersten Minuten eines Angriffs ist nicht technischer, sondern organisatorischer Natur: Niemand weiß, wer entscheidet, wer informiert, wer isoliert. Genau hier setzt eine funktionierende Krisenorganisation an.

Klären Sie im Vorfeld drei Dinge, und zwar schriftlich:

• Wer übernimmt die Leitung? Definieren Sie eine Krisenleitung mit Vertretung. Diese Person entscheidet – auch unbequeme Dinge wie „Wir fahren jetzt alle Systeme herunter“.
• Wer wird in welcher Reihenfolge kontaktiert? Jeder Mitarbeitende muss wissen, wen er beim ersten Verdacht anruft. Nicht per E-Mail, denn die könnte kompromittiert sein, sondern telefonisch – und mit einer Alternative, falls die Hauptnummer nicht erreichbar ist.
• Wer kommuniziert nach außen? Mit Kunden, Behörden, Versicherung, gegebenenfalls Presse. Improvisation ist hier der schnellste Weg in einen zweiten Schaden.

Diese Rollen gehören auf ein einseitiges Notfallblatt, das nicht nur im Intranet liegt (das im Ernstfall vielleicht nicht erreichbar ist), sondern ausgedruckt in der Schublade jeder Führungskraft.

Wenn A, dann B: Entscheidungslogik dokumentieren

Ein guter Plan nimmt der Krisenleitung Denkarbeit ab, wenn das Adrenalin die Denkfähigkeit einschränkt. Halten Sie klare Wenn-Dann-Regeln fest:

• Wenn ein einzelnes Endgerät auffällig ist, dann wird es sofort vom Netz getrennt, aber nicht ausgeschaltet (Forensik!).
• Wenn mehrere Systeme gleichzeitig betroffen sind, dann wird das betroffene Netzsegment isoliert.
• Wenn produktive Datenbestände verschlüsselt sind, dann greift das dokumentierte Wiederanlaufszenario – inklusive der Entscheidung, welche Systeme mit welcher Priorität wiederhergestellt werden.

Baustein 2: Business Continuity – der Weg zurück in den Betrieb

Ein Angriff abzuwehren ist die eine Sache. Nach einem Angriff wieder arbeitsfähig zu werden, die andere. Und genau daran scheitern viele Unternehmen: Es gibt zwar Backups, aber niemand hat je getestet, wie lange die vollständige Wiederherstellung dauert – und ob sie überhaupt funktioniert.

Die 3-2-1-Regel als Fundament

Halten Sie sich an einen Standard, der sich seit Jahren bewährt: drei Kopien Ihrer Daten, auf zwei unterschiedlichen Medien, davon eine Kopie extern und offline gelagert. Der letzte Punkt ist entscheidend, denn moderne Ransomware sucht gezielt nach angebundenen Backup-Systemen, um sie mitzuverschlüsseln. Was nicht am Netz hängt, kann nicht befallen werden.

Der Wiederherstellungstest, den keiner macht

Beantworten Sie ehrlich: Wann wurde bei Ihnen zuletzt eine vollständige Wiederherstellung eines kritischen Systems im Testverfahren durchgeführt? Nicht ein einzelnes File, sondern ein ganzer Server, eine Datenbank, ein Fachverfahren?

Wenn die Antwort „weiß nicht“ oder „noch nie“ lautet, haben Sie kein Backup, sondern eine Hoffnung. Planen Sie mindestens einmal pro Quartal einen Wiederherstellungstest ein und dokumentieren Sie:

• Wie lange hat die Wiederherstellung tatsächlich gedauert?
• Waren alle Daten vollständig und konsistent?
• Welche Abhängigkeiten (Lizenzen, Zertifikate, Konfigurationen) haben gefehlt?

Nur so wissen Sie im Ernstfall, ob Sie in Stunden, Tagen oder Wochen wieder produktiv sind – und können Ihren Kunden belastbare Aussagen geben.

Baustein 3: Technische Verteidigung als abgestimmtes System

Einzelne Sicherheitsprodukte lösen kein Sicherheitsproblem. Was zählt, ist ein Zusammenspiel mehrerer Ebenen, die einen Angreifer bei jedem Schritt bremsen.

Zu einer belastbaren Verteidigungslinie gehören:

• Konsequente Mehrfaktor-Authentifizierung, insbesondere für Administratoren, Remote-Zugänge und alle Cloud-Dienste.
• Sauberes Rechtekonzept nach dem Prinzip der minimalen Berechtigungen – kein Standardnutzer braucht lokale Admin-Rechte.
• Moderne Firewall und Intrusion Detection, die Auffälligkeiten erkennen und melden, nicht nur Pakete durchreichen.
• Netzwerksegmentierung, damit ein kompromittierter Arbeitsplatz nicht automatisch Zugriff auf Produktionssysteme oder Buchhaltung hat.
• Effektiver E-Mail-Schutz gegen Phishing, denn hier beginnen die meisten Angriffe.

Ein wichtiger Grundsatz: Wenn ein System einmal kompromittiert war, wird es neu aufgesetzt – nicht „bereinigt“. Alles andere bleibt ein Restrisiko, das Sie nicht sicher kontrollieren können.

Vom Papier zur Übung: Was einen echten Plan von einem Dokument unterscheidet

Der beste Notfallplan ist wertlos, wenn er im Ernstfall zum ersten Mal aufgeschlagen wird. Machen Sie es sich zur Regel, mindestens einmal jährlich ein realistisches Szenario durchzuspielen. Das muss keine Vollübung mit abgeschalteten Systemen sein – schon eine strukturierte Tabletop-Übung, bei der die Krisenleitung ein Szenario in Echtzeit durchdenkt, deckt erstaunliche Lücken auf.

Typische Erkenntnisse aus solchen Übungen:

• Wichtige Ansprechpartner sind im Urlaub, und ihre Vertretung kennt die Passwörter nicht.
• Die Notfallnummer des Dienstleisters ist veraltet.
• Niemand weiß, wo die aktuelle Netzwerkdokumentation liegt.
• Die Cyberversicherung verlangt Meldefristen, die im Plan nicht berücksichtigt sind.

Jede dieser Erkenntnisse ist Gold wert – vorausgesetzt, sie fällt in einer Übung an und nicht um 7:42 Uhr an einem Dienstagmorgen.

Ihre nächsten Schritte

Sie müssen nicht alles auf einmal umsetzen. Beginnen Sie mit den Grundlagen und arbeiten Sie sich vor:

1. Diese Woche: Erstellen Sie ein einseitiges Notfallblatt mit Ansprechpartnern, Telefonnummern und den drei wichtigsten Sofortmaßnahmen. Drucken Sie es aus.
2. Diesen Monat: Prüfen Sie Ihre Backup-Strategie gegen die 3-2-1-Regel und planen Sie einen Wiederherstellungstest.
3. Dieses Quartal: Führen Sie eine Tabletop-Übung mit Ihrer Geschäftsführung und IT durch. Notieren Sie jede Lücke.
4. Dieses Jahr: Überprüfen Sie Ihr technisches Verteidigungskonzept ganzheitlich – vom Rechtekonzept bis zur Segmentierung.

Wenn Sie an einem dieser Punkte ins Stocken geraten oder eine unabhängige Einschätzung wünschen, wie belastbar Ihre aktuelle Aufstellung wirklich ist: Genau dafür sind wir da. Gemeinsam mit Ihnen entwickeln wir einen Reaktions- und Wiederanlaufplan, der nicht in der Schublade verstaubt, sondern im Ernstfall trägt. Damit Sie sich weiter auf Ihr Kerngeschäft konzentrieren können – und der nächste Dienstagmorgen einfach nur ein Dienstagmorgen bleibt.