Ransomware-Angriff: Erste Hilfe für die ersten Stunden

Die Zeitleiste ist eine Empfehlung von TOMORIS aus den genannten Quellen. CISA, MS-ISAC, NSA und FBI empfehlen, die ersten drei Schritte in Reihenfolge abzuarbeiten: isolieren, nur notfalls ausschalten, für den Wiederanlauf sichten (Teil 2, Schritte 1 bis 3). Gesetzlich vorgegeben sind nur die Meldefristen (Abschnitt 07).

Eine Infektion zeigt laut BSI meist nach wenigen Tagen bis zwei Wochen ihre Wirkung; verschlüsselt wird häufig nachts oder am Wochenende (Kapitel 4.1). Mit einem Abfluss von Daten ist zu rechnen (Kurzfassung).

Warnsignale nach dem Bundeskriminalamt: Dateien lassen sich nicht öffnen oder tragen neue Endungen, eine Lösegeldforderung erscheint, Systeme werden ungewöhnlich langsam, Sicherheitssoftware ist deaktiviert, Konten sind gesperrt, Daten werden ungewöhnlich übertragen (Infoblatt, Präventionsseite).

Grundregel: vom Netz trennen, nicht ausschalten. Die CISA schreibt zu Schritt 2 sinngemäß: Geräte nur ausschalten, wenn sie sich nicht vom Netz trennen lassen. Das verhindert, dass Infektionsartefakte und mögliche Beweise im flüchtigen Speicher erhalten bleiben, und soll nur geschehen, wenn sich weder das Netz vorübergehend abschalten noch der Host anders trennen lässt. Für die Forensik empfiehlt das BSI: erst ein Abbild des Arbeitsspeichers, dann hart vom Strom trennen statt herunterfahren (Kapitel 4.3).

• Betroffene Systeme bestimmen und sofort isolieren, kritische Systeme zuerst (CISA, Schritt 1).
• Bei vielen betroffenen Systemen das Netz am Switch trennen, möglichst alle gleichzeitig (CISA, Schritt 1; BSI, Kapitel 4.9).
• Sonst Netzwerkkabel ziehen und WLAN trennen, Gerät nicht herunterfahren (BSI, Kurzfassung; Bundeskriminalamt).
• Abgestimmt isolieren und per Telefon koordinieren: Täter können beobachten, ob sie entdeckt wurden, und die Ransomware sonst vorher breit ausrollen (CISA, Schritt 1).
• Für betroffene Cloud-Ressourcen Snapshots der Volumes erstellen (CISA, Schritt 1).
• Keine Anmeldung mit Administratorkonten auf befallenen Systemen, solange sie im Netz hängen (BSI, Kapitel 4.2).
• Zeitpunkt der Kenntnisnahme notieren (Empfehlung von TOMORIS, Fristen nach § 34 Abs. 2 NISG 2026); Notfallteam, IT-Dienstleister und Cyber-Versicherung verständigen (Bundeskriminalamt; BSI, Kapitel 3.6).

Jede Aktion auf einem kompromittierten System kann Spuren verändern; arbeiten Sie möglichst nur an Kopien (BSI, Kapitel 4.3). Für eine Anzeige müssen Beweise gerichtsfest erhoben und Vorgänge dokumentiert werden; ohne eigene Forensik holen Sie früh externe Hilfe (Kapitel 3.7).

• Abbild von Arbeitsspeicher und Datenträgern einer Auswahl betroffener Geräte erstellen, auch virtueller und Cloud-Server (CISA, Schritt 9); am laufenden System nur noch das Speicherabbild (BSI, Kapitel 4.3).
• Datenträger als forensisches 1:1-Abbild sichern, das übliche Backup-Programme meist nicht können; bei virtuellen Maschinen das Verzeichnis der Virtualisierung sichern (BSI, Kapitel 4.3).
• Flüchtige Daten zuerst: Arbeitsspeicher, Windows-Sicherheitsprotokolle, Puffer der Firewall-Protokolle (CISA, Schritt 9).
• Protokolle von Proxy, E-Mail-Server, Firewall, Active Directory und Dateizugriffen sichern (BSI, Kapitel 4.4).
• Schadsoftware-Proben, Kompromittierungsindikatoren, Lösegeldforderung, verschlüsselte Beispieldateien und die Kommunikation mit den Tätern aufbewahren (CISA, Schritt 9 und Kasten bei Schritt 7).
• Uhrzeiten, Beobachtungen und Entscheidungen protokollieren, Screenshots sichern (Bundeskriminalamt, Infoblatt; BSI, Kapitel 3.7).

Bei Einbrüchen werden oft massenhaft Zugangsdaten abgegriffen (CISA, Schritt 13). Alle Zugangsdaten, die auf betroffenen Systemen gespeichert oder nach der Infektion dort eingegeben wurden, gelten als kompromittiert (BSI, Kurzfassung).

• Sofort externe Zugänge abschalten: VPN, Fernzugriffsserver, Single Sign-on und öffentlich erreichbare Cloud-Zugänge (CISA, Schritt 13).
• Systeme und Konten des ersten Einbruchs bestimmen, auch E-Mail-Konten, und alle Administratorkonten auf Legitimität prüfen (CISA, Schritt 12; BSI, Kapitel 4.2).
• Empfehlung von TOMORIS: Zugänge, die Täter von außen nutzen könnten, sofort und nur von sauberen Geräten aus ändern (Bundeskriminalamt: „Zugangsdaten unverzüglich ändern“; BSI, Kapitel 4.9).
• Nach der Bereinigung alle Administrator- und Dienstkennwörter sowie alle auf infizierten Systemen eingegebenen Kennwörter ändern, auch in Browsern, E-Mail-Programmen, RDP-Verbindungen und Fachverfahren (BSI, Kapitel 4.9; CISA, Schritt 17).
• Ist das Active Directory kompromittiert und nicht sofort neu aufzusetzen: das Kennwort des Kontos KRBTGT zweimal zurücksetzen, um gefälschte Kerberos-Tickets ungültig zu machen (BSI, Kapitel 4.9).
• Nicht nötige Fernzugänge etwa 2 bis 3 Wochen blockieren, Verbindungsversuche protokollieren und auswerten (BSI, Kapitel 4.9).

Die Behörden raten einhellig ab. Das Bundeskriminalamt: „Zahlen Sie kein Lösegeld“; eine Zahlung garantiert weder die Entschlüsselung noch die Löschung gestohlener Daten, und Zahlende können erneut Ziel werden (Präventionsseite, Infoblatt). Das BSI: grundsätzlich nicht auf die Erpressung eingehen, sondern nach der Bereinigung aus intakten Sicherungen wiederherstellen (Kapitel 3.9). CISA, FBI, NSA und MS-ISAC empfehlen keine Zahlung, weil sie weder Entschlüsselung noch Schutz vor Veröffentlichung sichert (Kasten zu Beginn von Teil 2). Wird eine Zahlung dennoch erwogen, nennt das BSI diese Punkte (Kapitel 3.9):

• Die Cyber-Versicherung früh einbinden; sie macht oft Vorgaben für die Kostenübernahme.
• Mit Ermittlungsbehörden und Rechtsberatung abklären: Zahlungen finanzieren möglicherweise weitere Angriffe auf Dritte.
• Es gibt keine Garantie für einen passenden Schlüssel; vorab die Entschlüsselung einiger Beispieldateien verlangen.
• Auch nach der Entschlüsselung Systeme neu aufsetzen, weil Hintertüren bleiben können; nach einer Zahlung die Polizei informieren.

Kostenlose Entschlüsselung prüfen: Für manche Varianten gibt es Werkzeuge bei No More Ransom (nomoreransom.org), einer Initiative der niederländischen Polizei, von Europol und IT-Sicherheitsunternehmen; das Bundeskriminalamt verweist ausdrücklich darauf (Präventionsseite). Nicht jede Variante lässt sich entschlüsseln. Vorher die Schadsoftware entfernen, sonst wird erneut verschlüsselt (No More Ransom). Empfehlung von TOMORIS: an Kopien der verschlüsselten Daten arbeiten.

Droht die Veröffentlichung gestohlener Daten, lassen Sie die Leak-Seite der Täter beobachten, etwa durch einen Dienstleister. Werden Daten veröffentlicht, analysieren Sie sie und informieren die Betroffenen über Sachverhalt und Risiko (BSI, Kapitel 3.7 und 3.8). Fragen Sie auch die Strafverfolgungsbehörden nach verfügbaren Entschlüsselungswerkzeugen (CISA, Schritt 10).

Wesentliche und wichtige Einrichtungen melden jeden erheblichen Cybersicherheitsvorfall (§ 34 Abs. 1 NISG 2026). Erheblich ist er, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere durch erhebliche Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1). Jedenfalls erheblich ist er nach der NISV 2026 unter anderem, wenn es einen erfolgreichen, mutmaßlich böswilligen, unbefugten Zugriff gegeben hat, der wahrscheinlich schwerwiegende Betriebsstörungen verursacht, oder Notfallwiederherstellungspläne auslöst (§ 5 Abs. 1 Z 5 und 9; laut Erläuterungen für Einrichtungen außerhalb der DVO 2024/2690). Als Datenschutzverletzung zählen auch Vernichtung und Verlust personenbezogener Daten, nicht nur ihr Abfluss (Art. 4 Z 12 DSGVO).

• Das CSIRT antwortet spätestens 24 Stunden nach Eingang der Frühwarnung und gibt bei vermutetem strafrechtlichem Hintergrund Orientierungshilfe für die Meldung an die Strafverfolgungsbehörden (§ 34 Abs. 4 NISG 2026).
• Die Meldestelle für Internetkriminalität im Bundeskriminalamt (against-cybercrime@bmi.gv.at) hilft bei Verdacht und Fragen; Anzeigen nimmt sie derzeit nicht entgegen, die erstatten Sie bei einer Polizeidienststelle (Bundeskriminalamt, Cybercrime). Bringen Sie das betroffene Gerät nach Möglichkeit mit (Präventionsseite).

Im Verfahren: Die EU-Kommission schlägt mit dem Digital-Omnibus vor, Datenschutzverletzungen nur noch bei voraussichtlich hohem Risiko und nach Möglichkeit binnen 96 Stunden zu melden (COM(2025) 837 vom 19.11.2025). Das Verfahren 2025/0360(COD) ist offen, im Europäischen Parlament steht laut Legislative Observatory die Ausschussentscheidung aus (Stand 25.10.2026). Bis dahin gelten 72 Stunden nach Art. 33 DSGVO.

1. 1

   Dienste einordnen und priorisieren

   Ordnen Sie jede Dienstleistung ein: nicht betroffen, auslagerungsfähig, mit mobilem, nicht betroffenem Gerät eingeschränkt möglich, ohne Neuaufbau nicht möglich (BSI, Kapitel 3.4). Wiederhergestellt wird nach einer vorab erstellten Liste kritischer Systeme und der Systeme, von denen sie abhängen (CISA, Schritt 3).

2. 2

   Saubere Umgebung aufbauen

   Beginnen Sie mit einem Kernnetz für kritische Geschäftsprozesse und erweitern Sie es systematisch (BSI, Kapitel 4.9). In ein eigenes VLAN für die Wiederherstellung kommen nur saubere Systeme (CISA, Schritt 19).

3. 3

   Neu aufsetzen statt bereinigen

   Infizierte Systeme gelten als vollständig kompromittiert: neu aufsetzen, aktualisieren und härten, bevor sie ans Netz gehen. Ein kompromittiertes Active Directory ist langfristig neu aufzubauen (BSI, Kurzfassung und Kapitel 4.9).

4. 4

   Sicherungen prüfen und schützen

   Finden Sie zuerst die Vorläufer-Schadsoftware, sonst geht die Kompromittierung nach dem Wiederherstellen weiter (CISA, Schritt 4). Arbeiten Sie mit Kopien der Sicherungen und legen Sie Bänder schreibgeschützt ein, damit übersehene infizierte Systeme sie nicht nachträglich infizieren (BSI, Kapitel 4.9).

5. 5

   Zurückspielen und abschließen

   Spielen Sie Daten aus Offline-Sicherungen nach Priorität der kritischen Dienste zurück (CISA, Schritt 19). Für beendet erklärt den Vorfall die dafür benannte IT- oder IT-Sicherheitsleitung nach festgelegten Kriterien (Schritt 18).

Parallel einen Notbetrieb einrichten: Für den Notbetrieb wichtige Daten können noch auf nicht betroffenen Außenstellen oder auf Geräten von Mitarbeitenden im Urlaub liegen (BSI, Kurzfassung). Für Mitarbeitende, die ohne IT kaum arbeiten können, suchen Sie sinnvolle Aufgaben im Notbetrieb (Kapitel 3.2).

• Nicht mit Administratorkonten an befallenen Systemen anmelden, solange sie im Netz sind (BSI, Kapitel 4.2).
• Nicht herunterfahren, solange sich das Gerät anders vom Netz trennen lässt (BSI, Kurzfassung; CISA, Schritt 2).
• Nicht über Kanäle koordinieren, die Täter mitlesen könnten, etwa das betroffene E-Mail-System (CISA, Schritt 1).
• Die Lösegeldforderung nicht löschen, sonst scheitert womöglich die Entschlüsselung (CISA, Kasten bei Schritt 7).
• Nicht nur das auffällige System bereinigen oder bloß den Virenscanner laufen lassen (BSI, Kapitel 4.1, Anhang 6.6).
• Sicherungen nicht an Systeme anschließen, die nicht nachweislich sauber sind (BSI, Kapitel 4.9).
• Nicht schweigen, niemanden beschuldigen, in E-Mails an Kunden keine Links verschicken (BSI, Kapitel 3.3, Anhang 6.6).
• Meldefristen nicht vergessen: Die 24 Stunden laufen ab Kenntnisnahme (§ 34 Abs. 2 Z 1 NISG 2026).

• Nachbesprechung: Was lief gut, was ist zu verbessern, welche langfristigen Maßnahmen folgen? Danach die IT von Externen prüfen lassen (BSI, Kapitel 3.10).
• Lehren dokumentieren und in Richtlinien, Pläne, Abläufe und Übungen übernehmen (CISA, Schritt 20).
• Den Notfallplan pflegen, regelmäßig üben und auch auf Papier und offline bereithalten (CISA, Teil 1).

Tragen Sie die Kontakte vorab ein, wie es die CISA mit ihrer Kontakttabelle empfiehlt (Abschnitt Contact Information, Tabelle 1), und halten Sie die Liste auch auf Papier bereit. Die Liste ist eine Vorlage von TOMORIS zum Anpassen.