Ransomware:die erstenStunden.

• 01

  Die ersten Stunden auf einen Blick

  Was in der ersten Stunde, am ersten Tag, in der ersten Woche und danach zu tun ist.

• 02

  Woran Sie einen Angriff erkennen

  Warnsignale für alle Mitarbeitenden und Spuren, nach denen die Administration suchen sollte.

• 03

  Isolieren, ohne Spuren zu vernichten

  Die erste Stunde zum Abhaken: vom Netz trennen statt ausschalten, abgestimmt und über einen unabhängigen Kanal.

• 04

  Beweise sichern

  Was Analyse, Versicherung und Anzeige brauchen und wie Sie es sichern, ohne es zu verändern.

• 05

  Zugänge sperren, Kennwörter erneuern

  Täterzugänge schließen, Konten prüfen und Zugangsdaten von sauberen Geräten aus erneuern.

• 06

  Lösegeld und Entschlüsselung

  Was Behörden zur Zahlung sagen, was vor einer Entscheidung zu klären ist und wo es kostenlose Entschlüsselungswerkzeuge gibt.

• 07

  Melden: Pflichten, Anzeige, Versicherung

  NISG 2026 für pflichtige Einrichtungen, DSGVO bei personenbezogenen Daten, Anzeige bei der Polizei und vertragliche Pflichten.

• 08

  Wiederanlauf aus sauberen Sicherungen

  Priorisieren, sauber aufbauen, Sicherungen schützen und den Vorfall erst nach festgelegten Kriterien für beendet erklären.

• 09

  Was Sie nicht tun sollten

  Typische Fehler der ersten Stunden, die den Schaden vergrößern, Spuren vernichten oder den Wiederanlauf gefährden.

• 10

  Nachbereiten und Notfallkontakte festhalten

  Lehren aus dem Vorfall ziehen und die Kontakte eintragen, die Sie im Ernstfall sofort brauchen.

1. CISA, MS-ISAC, NSA, FBI: #StopRansomware Guide, Version 3.0 (Oktober 2023) (öffnet in neuem Tab)Teil 1 (Vorbereitung), Teil 2 Response Checklist, Schritte 1 bis 20, Kästen zu Lösegeld und Ermittlerinformationen, Tabelle 1
2. BSI: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall, Arbeitspapier Version 1.2 (07.10.2022) (öffnet in neuem Tab)Kurzfassung, Kapitel 3.2 bis 3.10, 4.1 bis 4.4, 4.9, 5, Anhänge 6.1, 6.5 und 6.6
3. Bundeskriminalamt: Ransomware – Informationen für Unternehmen in Österreich (Infoblatt, August 2026) (öffnet in neuem Tab)Beschreibung, Warnsignale, Sofortmaßnahmen, Hinweis zum Lösegeld
4. Bundeskriminalamt: Präventionsseite Ransomware (öffnet in neuem Tab)Warnsignale und Abschnitt „Was, wenn es mal passiert ist?“, Stand 18.08.2026
5. Bundeskriminalamt: Cybercrime-Competence-Center C4 und Meldestelle against Cybercrime (öffnet in neuem Tab)Meldestelle für Internetkriminalität und Anzeige, Stand 27.08.2026
6. No More Ransom: Entschlüsselungs-Werkzeuge (öffnet in neuem Tab)Hinweis vor dem Einsatz, Empfehlung zum Lösegeld; Träger laut Seite „Über das Projekt“
7. NISG 2026, BGBl. I Nr. 94/2025, geltende Fassung im RIS (öffnet in neuem Tab)§§ 34, 35, 37 und 51, Fassung vom 25.10.2026
8. NISV 2026, BGBl. II Nr. 290/2026, authentische Kundmachung im RIS (öffnet in neuem Tab)§ 5 Abs. 1 Z 5 und 9, gelesen am 25.10.2026
9. Bundesamt für Cybersicherheit: Erläuterungen zur NISV 2026 (PDF) (öffnet in neuem Tab)Zu § 5: gilt für Sektoren außerhalb der DVO (EU) 2024/2690
10. Verordnung (EU) 2016/679 (DSGVO) (öffnet in neuem Tab)Art. 4 Z 12, Art. 33 und Art. 34
11. Datenschutzgesetz (DSG), geltende Fassung im RIS (öffnet in neuem Tab)§ 18 Abs. 1, Datenschutzbehörde als Aufsichtsbehörde
12. EU-Kommission: Vorschlag für eine Digital-Omnibus-Verordnung, COM(2025) 837 vom 19.11.2025 (öffnet in neuem Tab)Neufassung von Art. 33 Abs. 1 DSGVO; Verfahren 2025/0360(COD), laut Legislative Observatory am 25.10.2026 offen

Dieser Leitfaden gibt einen Überblick über Sofortmaßnahmen und ersetzt weder einen Notfallplan noch Rechtsberatung oder forensische Unterstützung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung; ob eine Meldepflicht besteht, hängt von Ihrer Einrichtung und vom Vorfall ab. Die Kontaktliste ist an Ihr Unternehmen anzupassen.

• PDF

  Backup-Checkliste 3-2-1-1-0

  Drei Kopien, zwei Medien, eine außer Haus, eine offline, null Fehler beim Wiederherstellungstest: Datensicherung zum Abhaken, belegt mit BSI und CISA.

  Ansehen
• PDF

  IT-Notfallhandbuch

  Notfallstab, Kontaktliste, Einstufung als Störung, Notfall oder Krise, Sofortmaßnahmen und Wiederanlauf mit RTO und RPO: eine ausfüllbare Gliederung nach BSI-Standard 200-4.

  Ansehen