Kurz erklärt: Bei einem Cyberangriff geht es zuerst darum, die Ausbreitung zu begrenzen, Informationen zu bewahren und geschäftskritische Systeme zu schützen. Die Suche nach dem Schuldigen oder eine vorschnelle Neuinstallation kommt später.
Wenn Dateien plötzlich unlesbar sind, sich unbekannte Anmeldungen zeigen oder Mitarbeitende ungewöhnliche E-Mails aus dem eigenen Konto versenden, entsteht schnell Aktionismus. Manche ziehen sofort den Stecker, andere löschen verdächtige Dateien oder starten alle Systeme neu. Gut gemeinte Schritte können jedoch Spuren vernichten, Sicherungen gefährden oder die Wiederherstellung erschweren.
Sie müssen den Angriff nicht selbst technisch beurteilen können. Wichtig ist, dass die ersten Entscheidungen ruhig, nachvollziehbar und in einer sinnvollen Reihenfolge getroffen werden.
Woran kann ein Cyberangriff erkennbar sein?
Nicht jede Störung ist ein Angriff. Mehrere auffällige Anzeichen gleichzeitig sollten aber ernst genommen werden:
- Dateien lassen sich nicht mehr öffnen oder tragen unbekannte Endungen.
- Auf Bildschirmen erscheint eine Lösegeldforderung.
- Benutzerkonten melden Anmeldungen aus unbekannten Orten.
- Aus dem eigenen E-Mail-Konto werden Nachrichten versendet, die niemand verfasst hat.
- Antivirus, Firewall oder Überwachung melden verdächtige Aktivitäten.
- Server, Netzwerkfreigaben oder wichtige Anwendungen fallen ohne erkennbare Ursache aus.
- Passwörter funktionieren plötzlich nicht mehr oder neue Administratoren tauchen auf.
Auch ein einzelnes Anzeichen kann relevant sein. Entscheidend ist, Beobachtungen festzuhalten und die Lage nicht durch unkoordinierte Änderungen zu verschleiern.
Die ersten sieben Schritte bei einem Cyberangriff
- Betroffene Systeme eingrenzen: Wenn gefahrlos möglich, Netzwerkverbindungen betroffener Computer oder Server trennen. Andere Systeme nicht wahllos abschalten.
- Nichts vorschnell löschen: Verdächtige Dateien, E-Mails, Meldungen und Protokolle nicht entfernen. Sie können für Ursachenanalyse und Wiederherstellung wichtig sein.
- Beobachtungen dokumentieren: Zeitpunkt, betroffene Geräte, sichtbare Fehlermeldungen und bereits gesetzte Maßnahmen notieren. Fotos von Bildschirmen helfen oft.
- Intern Verantwortung klären: Geschäftsführung und zuständige Personen informieren. Eine Person sollte Entscheidungen und Kommunikation koordinieren.
- Sichere Kommunikation verwenden: Wenn E-Mail oder Firmenkonten betroffen sein könnten, sensible Abstimmungen über einen unabhängigen und sauberen Kanal führen.
- Backups schützen: Getrennte Sicherungen nicht vorschnell verbinden oder zurückspielen. Zuerst muss geklärt werden, ob Angreifer noch Zugriff haben.
- Fachliche Hilfe einbinden: IT-Betreuer oder Incident-Response-Spezialisten mit einer strukturierten Erstaufnahme beauftragen.
Soll ein betroffener Computer sofort ausgeschaltet werden?
Darauf gibt es keine pauschale Antwort. Ein Ausschalten stoppt zwar laufende Prozesse, kann aber flüchtige Informationen und wichtige Spuren vernichten. Ein Neustart kann außerdem Schadsoftware erneut ausführen oder Verschlüsselung fortsetzen.
In vielen Fällen ist es sinnvoller, zunächst die Netzwerkverbindung zu trennen und das weitere Vorgehen abzustimmen. Wenn von einem System unmittelbar Gefahr für Menschen, Maschinen oder andere kritische Bereiche ausgeht, hat die sichere Abschaltung selbstverständlich Vorrang.
Was bei Ransomware besonders wichtig ist
Ransomware verschlüsselt Daten oder sperrt Systeme. Moderne Angriffe beschränken sich häufig nicht auf einen einzelnen Arbeitsplatz. Auch Server, Netzwerkfreigaben, Cloud-Konten und erreichbare Backups können betroffen sein.
Bevor Daten zurückgespielt werden, müssen Ursache, Zugänge und betroffene Systeme ausreichend eingegrenzt sein. Sonst wird zwar ein Server wiederhergestellt, der Angreifer besitzt aber weiterhin einen Zugang und der Vorfall beginnt erneut.
Eine Lösegeldzahlung ist keine Garantie für funktionierende Schlüssel, vollständige Daten oder das Ende des Angriffs. Eine solche Entscheidung sollte nie unter Zeitdruck von einer Einzelperson getroffen werden, sondern gemeinsam mit Geschäftsführung, IT-Sicherheit, Rechtsberatung, Versicherung und gegebenenfalls Behörden.
Wie eine sichere Wiederherstellung abläuft
Der Wiederanlauf orientiert sich an den wichtigsten Geschäftsprozessen. Nicht alles muss gleichzeitig verfügbar sein. Typisch ist folgende Reihenfolge:
- Angriffsweg und unberechtigte Zugänge so weit wie möglich schließen.
- Saubere Geräte, Konten und eine vertrauenswürdige Verwaltungsumgebung herstellen.
- Backups und andere Wiederherstellungsquellen auf Verfügbarkeit und Plausibilität prüfen.
- Identitäten, Netzwerk und zentrale Basisdienste in kontrollierter Reihenfolge bereitstellen.
- Geschäftskritische Anwendungen und Daten priorisiert wiederherstellen.
- Systeme beobachten und erst danach schrittweise für alle Mitarbeitenden freigeben.
Ob verlorene Daten zurückgeholt werden können, hängt von Ursache, Schaden und vorhandenen Kopien ab. Bei physisch beschädigten Festplatten oder Speichermedien sind spezialisierte Datenrettungslabore notwendig. Seriöse Anbieter geben keine pauschale Erfolgsgarantie.
Kommunikation und mögliche Meldepflichten
Ein Cyberangriff ist nicht nur ein technisches Thema. Kundendaten, personenbezogene Informationen, Lieferfähigkeit und vertragliche Pflichten können ebenfalls betroffen sein. Deshalb sollten früh die zuständigen Personen für Datenschutz, Recht, Versicherung und Unternehmenskommunikation einbezogen werden.
Je nach Art des Unternehmens, den betroffenen Daten und den Auswirkungen können gesetzliche oder vertragliche Meldepflichten bestehen. Diese Bewertung gehört in fachkundige Hände. Entscheidungen, Zeitpunkte und bekannte Tatsachen sollten laufend dokumentiert werden.
Offizielle Anlaufstellen für Unternehmen in Österreich
Die Cyber-Security-Hotline der Wirtschaftskammern unterstützt WKO-Mitglieder bei Cyberattacken, Cybercrime und Ransomware rund um die Uhr unter 0800 888 133.
IT-Sicherheitsvorfälle können außerdem über die offizielle Seite Vorfall melden von CERT.at gemeldet werden. CERT.at koordiniert Sicherheitsvorfälle im österreichischen Internet und stellt aktuelle Warnungen und Fachinformationen bereit.
Nach dem Vorfall: nicht einfach zum Alltag zurückkehren
Ist der Betrieb wiederhergestellt, sollte der Vorfall nachvollziehbar aufgearbeitet werden. Dazu gehören die tatsächliche Ursache, betroffene Konten und Systeme, die Qualität der Sicherungen und die Frage, warum der Angriff nicht früher erkannt wurde.
Aus diesen Erkenntnissen entsteht ein realistischer Verbesserungsplan: sichere Zugänge, Mehr-Faktor-Authentifizierung, getrennte und getestete Backups, regelmäßige Updates, sinnvolle Netzwerksegmentierung, Überwachung und ein dokumentierter Notfallablauf.
Fragen zum Cyberangriff im Unternehmen
Was ist bei einem Cyberangriff der erste Schritt?
Betroffene Systeme sollten, wenn gefahrlos möglich, vom Netzwerk getrennt werden. Danach Beobachtungen dokumentieren, intern Verantwortliche informieren und fachliche Unterstützung einbinden.
Soll ein betroffener Server sofort ausgeschaltet werden?
Nicht unüberlegt. Ein Ausschalten oder Neustarten kann wichtige Spuren und flüchtige Informationen vernichten. Wenn möglich zuerst Netzwerkverbindungen trennen und das weitere Vorgehen mit Fachleuten abstimmen.
Dürfen Backups sofort zurückgespielt werden?
Erst wenn die Ursache ausreichend eingegrenzt und die Wiederherstellungsquelle geprüft wurde. Sonst können Angreifer erneut Zugriff erhalten oder Schadsoftware wieder in den Betrieb gelangen.
Muss ein Cyberangriff gemeldet werden?
Je nach Unternehmen, betroffenen Daten und Auswirkungen können gesetzliche oder vertragliche Meldepflichten bestehen. Diese Frage sollte früh mit den zuständigen Datenschutz-, Rechts- und Sicherheitsverantwortlichen geklärt werden.