Montagmorgen, 7:42 Uhr, Ihr IT-Leiter ruft an. Die Server sind verschlüsselt, die Produktion steht still, und möglicherweise sind Kundendaten abgeflossen. Was Sie in den nächsten 60 Minuten tun, bestimmt, wie groß der Schaden wird.
Solche Anrufe kommen häufiger vor, als viele denken. Laut dem aktuellen Cyber Security Report sind deutsche Unternehmen im Schnitt mit 1.345 Cyberangriffen pro Woche konfrontiert. Der jährliche Gesamtschaden liegt bei über 200 Milliarden Euro, und den Mittelstand trifft es besonders hart.
Klassische IT-Sicherheitskonzepte reichen allein nicht aus
Kein Sicherheitskonzept schützt zu hundert Prozent, auch das beste nicht.
Firewalls, Endpoint-Detection und Awareness-Trainings sind wichtig, allein reichen sie aber nicht aus. Cyberkriminelle setzen zunehmend KI-gestützte Angriffsmethoden ein, die herkömmliche Schutzmechanismen unterlaufen. Phishing-Mails sind grammatisch fehlerfrei, Deepfakes imitieren Geschäftsführer am Telefon, und Ransomware-Gruppen arbeiten inzwischen wie Dienstleistungsunternehmen mit eigenen Helpdesks und Verhandlungsteams.
Mittelständische Unternehmen haben es dabei besonders schwer. Sie sind denselben Bedrohungen ausgesetzt wie Großkonzerne, haben aber weniger Ressourcen. Ein eigenes Security Operations Center mit 24/7-Besetzung rechnet sich für ein Unternehmen mit 50 bis 500 Mitarbeitern nicht.
Deshalb braucht es neben der Prävention einen durchdachten Reaktionsplan, also einen Notfallplan für den Fall, dass die Prävention versagt hat.
In den ersten 60 Minuten zählen vier Schritte
Wie Sie in der ersten Stunde reagieren, bestimmt das Ausmaß des Schadens. Diese Schritte haben Vorrang.
1. Ruhe bewahren und Situation erfassen
Das klingt banal, doch hier passiert der häufigste Fehler. In Panik werden Systeme heruntergefahren, die noch gar nicht betroffen sind, oder es werden sogar Beweise vernichtet. Verschaffen Sie sich deshalb zuerst einen Überblick und klären Sie,
welche Systeme betroffen sind,
ob es schon eine Lösegeldforderung gibt,
seit wann das Problem besteht, also wann es erste Anzeichen gab,
ob die Backups erreichbar sind.
2. Betroffene Systeme isolieren und nicht abschalten
Viele reagieren reflexartig mit dem Komplett-Shutdown, und das schadet in den meisten Fällen mehr, als es nützt. Trennen Sie betroffene Systeme lieber vom Netzwerk, lassen Sie sie aber weiterlaufen. So bleiben forensische Spuren erhalten, und nicht betroffene Bereiche können weiterarbeiten.
3. Krisenstab einberufen
IT-Leitung, Geschäftsführung, Datenschutzbeauftragter und Kommunikationsverantwortlicher müssen sofort zusammenkommen. Nutzen Sie dafür separate Kanäle wie Mobiltelefone, denn die E-Mail-Infrastruktur ist möglicherweise kompromittiert.
4. Externe Incident-Response-Experten einschalten
Diesen Punkt halte ich für den wichtigsten. Die wenigsten mittelständischen Unternehmen können einen laufenden Cyberangriff intern professionell bearbeiten. Ein spezialisiertes Incident-Response-Team beginnt innerhalb von Minuten remote mit der Lagebeurteilung und leitet die richtigen Eindämmungsmaßnahmen ein.
Für solche Situationen haben wir bei aconitas gemeinsam mit DATA REVERSE® und Schneider & Wulf die Cyber-Notfall-Allianz gegründet. Sie bündelt IT-Forensik, Incident Response und Datenrettung. Nach einem Anruf beginnt ein eingespieltes Expertenteam innerhalb von 20 Minuten mit den ersten Maßnahmen.
Die Kosten eines Cyberangriffs werden oft unterschätzt
Bei den Kosten eines Cyberangriffs denken die meisten Geschäftsführer an das Lösegeld. Das macht aber oft nur einen Bruchteil der Gesamtkosten aus. Die großen Posten liegen woanders.
Jeder Tag Betriebsausfall kostet Geld. Bei einem produzierenden Mittelständler mit 20 Millionen Euro Jahresumsatz sind das grob gerechnet 55.000 Euro pro Tag. Dazu kommen Vertragsstrafen, entgangene Aufträge und Kunden, die zur Konkurrenz wechseln.
Für die Wiederherstellung müssen Server neu aufgesetzt, Daten zurückgespielt und Systeme gehärtet werden. Allein die Kosten für den IT-Dienstleister liegen schnell im fünfstelligen Bereich.
Hinzu kommen Meldepflichten und Bußgelder. Seit der NIS2-Richtlinie und der DSGVO müssen Vorfälle innerhalb enger Fristen gemeldet werden. Wer das versäumt, riskiert empfindliche Strafen und die persönliche Haftung der Geschäftsführung.
Der Reputationsschaden lässt sich kaum beziffern, ist langfristig aber oft der teuerste Faktor. Kunden verlieren Vertrauen, und Partner stellen die Zusammenarbeit in Frage.
Wenn Sie sich einen konkreteren Eindruck verschaffen wollen, lohnt sich ein Blick auf den Schadens-Rechner auf Cybernotfall24.de. Dort rechnen Sie anhand Ihrer Branche und Unternehmensgröße durch, welchen Unterschied eine strukturierte Incident Response gegenüber einem ungeplanten Komplett-Shutdown macht. Die Ergebnisse sind oft ernüchternd, helfen aber bei der Planung.
Ein Maschinenbauer begrenzt den Schaden auf ein Drittel
Ein Maschinenbauunternehmen mit 180 Mitarbeitern wurde über einen VPN-Zugang ohne Zwei-Faktor-Authentifizierung mit Ransomware infiziert. Betroffen waren 12 Server und 115 Clients, Backups gab es nur teilweise.
Das Team isolierte die betroffenen Systeme selektiv und verzichtete auf einen Komplett-Shutdown. Dadurch konnten Teile der Fertigung weiterlaufen. Der potenzielle Schaden lag bei über 300.000 Euro, der eingetretene ließ sich auf rund ein Drittel begrenzen. Die Wiederherstellung dauerte 3,5 Tage, sonst sind 7 bis 10 Tage üblich.
Möglich war das, weil es einen Plan gab und Experten, die ihn sofort umsetzen konnten. Niemand musste erst tagelang nach dem richtigen Dienstleister suchen.
Sieben Punkte gehören in jeden Notfallplan
Ein Cyber-Notfallplan funktioniert wie eine Brandschutzordnung. Er muss fertig sein, bevor es brennt.
1. Notfallkontakte definieren
Legen Sie fest, wen Sie im Ernstfall anrufen: den internen IT-Leiter, den externen IT-Dienstleister, das Incident-Response-Team, den Rechtsanwalt, den Datenschutzbeauftragten und die Cyberversicherung. Die Soforthilfe-Seite von Cybernotfall24.de zeigt, welche Schritte in welcher Reihenfolge anstehen.
2. Kommunikationswege festlegen
Wenn die E-Mail-Server verschlüsselt sind, brauchen Sie einen Plan B, etwa eine Messenger-Gruppe auf privaten Handys oder eine ausgedruckte Telefonliste im Tresor. Das ist einfach und hilft im Ernstfall sofort.
3. Backup-Strategie überprüfen
Das 3-2-1-Prinzip (drei Kopien, zwei Medien, eine extern) ist der Mindeststandard. Testen Sie außerdem regelmäßig, ob sich Ihre Backups wiederherstellen lassen. Wir erleben immer wieder Fälle, in denen Backups jahrelang liefen, aber nie getestet wurden.
4. Meldepflichten kennen
Nach der DSGVO haben Sie 72 Stunden Zeit, nach NIS2 sind es 24 Stunden für die Erstmeldung. Bei kritischen Infrastrukturen gilt die BSI-Meldepflicht unverzüglich. Ihre Führungskräfte sollten wissen, welche Fristen für Ihr Unternehmen gelten.
5. Rollen und Verantwortlichkeiten klären
Klären Sie vorab, wer über einen Shutdown entscheidet, wer nach außen kommuniziert und wer die Wiederherstellung koordiniert.
6. Cyberversicherung prüfen
Viele Policen enthalten Meldefristen und Obliegenheiten. Wer sie nicht einhält, verliert den Versicherungsschutz. Lesen Sie Ihre Bedingungen deshalb genau.
7. Regelmäßig üben
Ein Notfallplan, der nur in der Schublade liegt, hilft im Ernstfall wenig. Führen Sie mindestens einmal im Jahr eine Tabletop-Übung durch, bei der Sie einen Cyberangriff simulieren.
Prävention und Reaktion gehören zusammen
Bei aconitas verfolgen wir den Ansatz der „digitalen Resilienz“, der bewusst über die Prävention hinausgeht. Resilient ist ein Unternehmen, das Angriffe abwehren kann und zugleich darauf vorbereitet ist, dass doch einer durchkommt.
Für unsere Kunden setzen wir das so um:
Ein Managed SOC überwacht die IT-Infrastruktur 24/7, denn Angreifer halten sich nicht an die Bürozeiten von 8 bis 18 Uhr.
Active Directory Audits härten das Herzstück jeder Unternehmens-IT.
Pentests analysieren systematisch Schwachstellen, bevor Angreifer sie finden.
Managed Firewall und Managed Backup bilden die technische Grundabsicherung.
Passiert trotzdem etwas, hilft die Cyber-Notfall-Allianz auf Cybernotfall24.de schnell und professionell weiter.
Häufig gestellte Fragen
Betroffene Systeme vom Netzwerk isolieren (nicht abschalten), Krisenstab einberufen und sofort ein spezialisiertes Incident-Response-Team kontaktieren. Je schneller professionelle Hilfe verfügbar ist, desto geringer der Schaden.
In den meisten Fällen ja. Die DSGVO schreibt eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden vor, wenn personenbezogene Daten betroffen sind. Seit dem NIS2-Umsetzungsgesetz gelten für viele Unternehmen sogar 24-Stunden-Fristen für die Erstmeldung.
Die Kosten variieren stark, liegen aber im Schnitt im sechsstelligen Bereich. Ransomware-Schäden erreichen schnell 300.000 Euro und mehr, wenn man Betriebsausfall, Wiederherstellung und Folgekosten zusammenrechnet. Der Schadens-Rechner auf Cybernotfall24.de gibt hier eine erste Orientierung.
Eine Cyberversicherung ist eine sinnvolle Ergänzung, ersetzt aber keinen technischen Schutz. Viele Versicherer verlangen inzwischen ohnehin Mindeststandards wie MFA, regelmäßige Backups und Awareness-Schulungen als Voraussetzung für den Versicherungsschutz.
Die Cyber-Notfall-Allianz ist auf akute Cyberangriffe spezialisiert. Während ein regulärer IT-Dienstleister Ihre Systeme im Normalbetrieb betreut, bringt die Allianz gebündeltes Know-how in IT-Forensik, Datenrettung und Incident Response – rund um die Uhr, mit einer Reaktionszeit von 20 Minuten.
Der beste Zeitpunkt für einen Notfallplan ist jetzt
Kein Unternehmen ist zu klein, um Ziel eines Cyberangriffs zu werden. Ich würde deshalb davon ausgehen, dass es auch Ihr Unternehmen irgendwann trifft, und mich jetzt darauf vorbereiten.
Drei Schritte können Sie heute noch anstoßen:
Prüfen Sie, ob Ihr Unternehmen einen aktuellen Cyber-Notfallplan hat, der im Ernstfall auch funktioniert. Ein Dokument in der Schublade reicht dafür nicht.
Nutzen Sie den Schadens-Rechner, um die möglichen Kosten für Ihr Unternehmen zu kalkulieren.
Speichern Sie die Notfall-Nummer 0800-292 37 24 und sagen Sie Ihren Führungskräften, dass es sie gibt.
Wenn Sie Ihre IT-Sicherheit grundsätzlich neu aufstellen wollen, beraten wir bei aconitas Sie gern, von der Bestandsaufnahme bis zur fertigen Cyber-Resilience-Strategie.
aconitas GmbH ist Mitgründer der Cyber-Notfall-Allianz und seit über 15 Jahren strategischer ICT-Partner für den deutschen Mittelstand. Unser Schwerpunkt: Digitale Resilienz durch die Kombination aus Cloud-Expertise, Cyber-Security und Managed Services.
