Cyberangriff im Betrieb: Die ersten Schritte im Notfall

Ein Cyberangriff trifft kleine Betriebe meist völlig unvorbereitet. Plötzlich lassen sich Dateien nicht mehr öffnen, auf dem Bildschirm erscheint eine Lösegeldforderung, oder Geschäftspartner melden sich, weil sie aus Ihrem Postfach verdächtige E-Mails erhalten haben. In diesem Moment entscheiden die ersten Schritte darüber, wie groß der Schaden wird. Dieser Beitrag zeigt, was Sie im Notfall tun sollten und was Sie besser lassen.

Woran Sie einen Cyberangriff erkennen

Nicht jeder Angriff ist sofort offensichtlich. Folgende Anzeichen sollten Sie ernst nehmen:

• Dateien haben unbekannte Endungen oder lassen sich nicht mehr öffnen
• Eine Nachricht fordert Lösegeld für die Freigabe Ihrer Daten
• Aus Ihrem Postfach werden E-Mails verschickt, die niemand geschrieben hat
• Im Postfach tauchen unbekannte Weiterleitungen oder Regeln auf
• Sie erhalten Hinweise auf Anmeldungen, die Sie nicht selbst vorgenommen haben
• Der Computer arbeitet ungewöhnlich langsam oder Programme starten von selbst

Im Zweifel gilt: Lieber einmal zu früh Bescheid geben als zu spät. Mitarbeitende sollten wissen, dass sie für eine Meldung keine Nachteile befürchten müssen, auch wenn sie selbst auf einen falschen Link geklickt haben.

Sofortmaßnahmen: Ruhe bewahren und das Gerät isolieren

Auch wenn es schwerfällt: Handeln Sie überlegt. Hektische Reaktionen verschlimmern die Lage oft. Die wichtigsten Schritte in den ersten Minuten sind:

• Das betroffene Gerät vom Netzwerk trennen: Netzwerkkabel ziehen und WLAN ausschalten
• Das Gerät nicht ausschalten, denn im Arbeitsspeicher können Spuren liegen, die bei der Aufklärung helfen
• Nichts löschen, keine Dateien aufräumen und keine Programme deinstallieren
• Externe Datenträger und Netzwerkspeicher, die noch nicht betroffen sind, nicht mehr anschließen
• Die interne Ansprechperson und den IT-Dienstleister sofort informieren

Besteht der Verdacht, dass Zugangsdaten gestohlen wurden, sollten die betroffenen Passwörter geändert und aktive Sitzungen beendet werden. Das geschieht von einem sauberen Gerät aus, nicht von dem möglicherweise befallenen Computer.

Kein Lösegeld zahlen und alles dokumentieren

Bei einem Erpressungsangriff liegt der Gedanke nahe, einfach zu zahlen. Davon raten Polizei und Fachleute ab. Es gibt keine Garantie, dass Sie Ihre Daten tatsächlich zurückerhalten, und eine Zahlung kann weitere Forderungen nach sich ziehen. Nehmen Sie auch keinen Kontakt zu den Angreifern auf, bevor Sie sich beraten haben.

Dokumentieren Sie stattdessen von Beginn an, was passiert ist. Notieren Sie, wann der Vorfall bemerkt wurde, welche Geräte und Konten betroffen sind, was zu sehen war und welche Maßnahmen wer wann ergriffen hat. Fotos vom Bildschirm mit dem Smartphone sind hilfreich. Diese Aufzeichnungen brauchen Sie für die Polizei, die Datenschutzaufsicht und gegebenenfalls Ihre Versicherung.

Polizei, Datenschutzaufsicht und Versicherung informieren

Ein Cyberangriff ist eine Straftat, und Sie sollten ihn anzeigen. Für Unternehmen in Nordrhein-Westfalen gibt es eine eigene Anlaufstelle: die Zentrale Ansprechstelle Cybercrime beim Landeskriminalamt NRW. Sie ist auf solche Fälle spezialisiert und berät Betriebe auch zum weiteren Vorgehen.

Prüfen Sie außerdem, ob personenbezogene Daten betroffen sind, etwa Kundendaten, Personalakten oder E-Mails. Ist das der Fall, müssen Sie nach der Datenschutz-Grundverordnung in der Regel innerhalb von 72 Stunden nach Bekanntwerden eine Meldung an die zuständige Datenschutzaufsichtsbehörde abgeben, in NRW ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit. Eine Meldung entfällt nur, wenn voraussichtlich kein Risiko für die betroffenen Personen besteht. Diese Einschätzung sollten Sie nicht allein treffen und schriftlich begründen. Bei einem hohen Risiko müssen unter Umständen auch die betroffenen Personen selbst informiert werden.

Haben Sie eine Cyberversicherung abgeschlossen, melden Sie den Schaden umgehend. Viele Versicherer verlangen eine schnelle Meldung und bieten eine eigene Notfall-Hotline mit Fachleuten an. Ein Blick in die Vertragsbedingungen lohnt sich, bevor Sie eigenständig Dienstleister beauftragen.

Vorbereitung: Notfallplan und Notfallkarte

Wie gut ein Betrieb einen Angriff übersteht, entscheidet sich vor allem vorher. Drei Dinge machen im Ernstfall den größten Unterschied:

• Ein kurzer Notfallplan, der festlegt, wer entscheidet, wer informiert wird und wie der Betrieb bei einem Ausfall weiterarbeitet
• Eine funktionierende Datensicherung, die vom übrigen Netzwerk getrennt ist und regelmäßig testweise wiederhergestellt wird
• Eine Notfallkarte am Arbeitsplatz, auf der die ersten Schritte und die wichtigsten Telefonnummern stehen

Die Notfallkarte ist dabei der einfachste Schritt. Sie sorgt dafür, dass auch Mitarbeitende ohne IT-Kenntnisse wissen, was zu tun ist, und dass Kontaktdaten griffbereit sind, wenn Computer und E-Mail nicht mehr funktionieren.

Eine kostenlose IT-Notfallkarte zum Aushängen mit sechs Sofortmaßnahmen und Feldern für Ihre Ansprechpartner finden Sie auf strategyc.de/downloads. Im IT-Notfall erreichen Sie uns unter +49 1520 2880910, auch ohne Betreuungsvertrag und außerhalb der Servicezeiten. Beim Erarbeiten eines Notfallplans für Ihren Betrieb unterstützen wir Sie gern.