Bei Ransomware zählen Eindämmung, Beweissicherung und belastbare Meldeentscheidungen mehr als vorschnelle Wiederherstellung. Isolieren Sie betroffene Systeme, schützen Sie unveränderte Backups, aktivieren Sie den Krisenstab und dokumentieren Sie ab dem ersten Hinweis eine Zeitleiste. Ob DSGVO, BSIG, DORA oder sektorale Pflichten greifen, hängt vom konkreten Vorfall und von der betroffenen Organisation ab.
Das Wichtigste
- Betroffene Systeme isolieren; nicht reflexartig ausschalten oder bereinigen.
- Beweise, Protokolle und verfügbare Speicherabbilder kontrolliert sichern.
- Wiederherstellung nur aus geprüften, sauberen Backups beginnen.
- Lösegeldzahlungen vermeiden; sie garantieren weder Entschlüsselung noch Datenlöschung und können rechtliche Risiken auslösen.
- Meldepflichten parallel prüfen: Datenschutz, BSIG/NIS2, DORA, Versicherer und Strafverfolgung.
Die ersten vier Stunden
1. Alarmieren und führen
Aktivieren Sie Incident-Response-Plan und Krisenstab. Benennen Sie eine Einsatzleitung, einen technischen Lead und Verantwortliche für Recht, Datenschutz und Kommunikation. Eröffnen Sie ein manipulationsgeschütztes Ereignisprotokoll mit Zeiten, Entscheidungen und Belegen.
2. Ausbreitung begrenzen
- kompromittierte Endpunkte, Server und Segmente vom Netzwerk trennen,
- privilegierte Konten und bekannte Zugangsdaten kontrolliert sperren oder rotieren,
- Backup-Infrastruktur und Management-Schnittstellen schützen,
- verdächtige externe Verbindungen blockieren,
- geschäftskritische Systeme nur nach dokumentierter Risikoentscheidung abschalten.
Das BSI empfiehlt, betroffene Systeme vom Netzwerk zu isolieren. Ob ein Gerät eingeschaltet bleibt, muss die Einsatzleitung mit der Forensik entscheiden: Ein Ausschalten kann flüchtige Beweise vernichten, ein Weiterbetrieb kann aber die Ausbreitung fördern.
3. Umfang und Wirkung bestimmen
Klären Sie mindestens:
- Welche Systeme, Identitäten, Standorte und Dienstleister sind betroffen?
- Wurden personenbezogene oder vertrauliche Daten abgeflossen?
- Welche kritischen Leistungen sind ausgefallen oder gefährdet?
- Ist der initiale Zugangsweg geschlossen?
- Sind Backups getrennt, unverändert und wiederherstellbar?
Unbestätigte Annahmen gehören als solche in das Lagebild. Ein Lösegeldschreiben beweist weder die Reichweite des Angriffs noch einen Datenabfluss.
Forensik und Wiederherstellung trennen
Sichern Sie relevante Logs, Zeitquellen, E-Mail-Spuren, Identitätsereignisse, Netzwerkdaten und – soweit vertretbar – Datenträger- oder Speicherabbilder. Arbeiten Sie mit Hashwerten und dokumentierter Beweiskette. Bereinigung und Neuaufbau dürfen erst beginnen, wenn die erforderlichen Beweise gesichert sind.
Für die Wiederherstellung gilt:
- bekannten Zugangsweg schließen,
- saubere Wiederherstellungsumgebung bereitstellen,
- Backup vor Nutzung prüfen,
- Identitäten und Vertrauensbeziehungen neu absichern,
- Dienste nach Geschäftspriorität gestuft freigeben,
- Systeme nach dem Neustart verstärkt überwachen.
Die 3-2-1-Regel ist eine nützliche Backup-Basis; unveränderliche oder offline Kopien und regelmäßige Restore-Tests sind entscheidend. Sie sind keine gesetzlich garantierte Universallösung.
Welche Meldungen können erforderlich sein?
DSGVO
Liegt eine Verletzung des Schutzes personenbezogener Daten vor, verlangt Art. 33 DSGVO grundsätzlich eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Bei voraussichtlich hohem Risiko kann zusätzlich Art. 34 DSGVO die Benachrichtigung betroffener Personen verlangen. Die Bewertung ist zu dokumentieren – auch wenn keine Meldung erfolgt.
BSIG und NIS2
Besonders wichtige und wichtige Einrichtungen melden einen erheblichen Sicherheitsvorfall nach § 32 BSIG gestuft: unverzüglich, spätestens binnen 24 Stunden eine frühe Erstmeldung; spätestens binnen 72 Stunden eine Vorfallmeldung; auf Ersuchen Zwischenmeldungen; grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung. Nicht jede Malware-Erkennung ist automatisch ein erheblicher Sicherheitsvorfall.
Weitere Regime
DORA, sektorspezifische Regeln, Vertragsklauseln und Versicherungsbedingungen können eigene Kriterien, Fristen und Empfänger vorsehen. Fristen dürfen nicht miteinander verrechnet werden. Eine gemeinsame Faktenbasis mit getrennten Rechtsentscheidungen verhindert widersprüchliche Meldungen.
Lösegeld: keine operative Abkürzung
Das BSI und die deutsche Polizei raten von Zahlungen ab. Eine Zahlung kann weitere Straftaten finanzieren, neue Forderungen auslösen und sanktionsrechtliche Prüfungen erforderlich machen. Sie beweist nicht, dass Daten gelöscht werden oder ein Entschlüsseler funktioniert. Entscheidungen gehören in die Geschäftsleitung und müssen Recht, Strafverfolgung, Versicherer und technische Wiederherstellbarkeit berücksichtigen.
Nach dem Vorfall
Ein Abschlussbericht sollte Ursache, Angriffsweg, Auswirkungen, Entscheidungen, Meldeverlauf und Abhilfemaßnahmen enthalten. Priorisieren Sie anschließend:
- Schließen des initialen Zugangswegs,
- MFA und Schutz privilegierter Identitäten,
- getestete Segmentierung und Notfallzugänge,
- unveränderliche Backups und Restore-Übungen,
- zentrale Protokollierung und Erkennung,
- Lieferanten- und Fernzugriffssteuerung,
- Übungen mit Geschäftsleitung, IT, Recht und Kommunikation.
Unsere Vorfallmanagement-Beratung unterstützt bei Vorbereitung, Krisensteuerung, Meldekoordination und belastbarer Nachbereitung.
Quellen und Prüfung
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.