Ransomware-Notfallplan: die ersten 60 Minuten

Ein Ransomware-Notfallplan entscheidet, ob ein Verschlüsselungsangriff ein beherrschbarer Zwischenfall bleibt oder den Betrieb lahmlegt. Diese Anleitung führt Sie als Zeitleiste durch die ersten 60 Minuten: Verdacht bestätigen, betroffene Systeme isolieren, ohne sie auszuschalten, Krisenstab aktivieren, Schaden eingrenzen, Backups schützen und die gesetzlichen Meldefristen einhalten. Zielgruppe sind Admins und IT-Verantwortliche im Mittelstand.

Voraussetzungen

Der Plan funktioniert nur, wenn diese Punkte vor dem Ernstfall bereitliegen:

• Ein ausgedrucktes Runbook und eine Notfallkontaktliste auf Papier. E-Mail, Active Directory und Telefonanlage können ausgefallen sein oder mitgelesen werden.
• Eine benannte Eskalationskette: Incident-Lead, Geschäftsführung, Datenschutzbeauftragter (DSB), IT-Forensik (DFIR-Dienstleister), Rechtsanwalt, Cyberversicherer, Pressekontakt.
• Getestete Offline- oder Immutable-Backups nach der 3-2-1-1-0-Regel (siehe Schritt 5).
• Ein vorab festgelegter Kommunikationsweg außerhalb der eigenen IT (Out-of-Band), etwa Mobiltelefone und ein unabhängiger Messenger.
• Geklärte Betroffenheit: Ist Ihr Unternehmen eine besonders wichtige oder wichtige Einrichtung nach dem BSI-Gesetz (NIS-2)? Dann gelten zusätzlich die Meldepflichten gegenüber dem BSI.

Die Zeitleiste auf einen Blick

Übernehmen Sie die Tabelle in Ihr Runbook und tragen Sie Verantwortliche und Kontakte ein. Die Minuten sind Richtwerte; einige Aktionen laufen parallel.

Phase / Minute	Maßnahme	Verantwortlich	Kontakt
0–5 Erkennen	Verdacht bestätigen, Entdeckungszeit notieren, nicht herunterfahren	Erstfinder / Diensthabender	IT-Leitung
5–15 Isolieren	Netz trennen (Kabel, WLAN, Bluetooth), Zugänge sperren, Gerät anlassen	IT / Admin	IT-Forensik (DFIR)
15–25 Eskalieren	Incident-Lead benennen, Krisenstab aktivieren, Out-of-Band informieren	Incident-Lead	GF, DSB, Versicherer
25–40 Eingrenzen + Backups	Betroffene Systeme erfassen, Backup-Repositories trennen und prüfen	IT / Forensik	Backup-Verantwortlicher
40–60 Melden	Aufsichtsbehörde, BSI, Versicherer, Strafanzeige; Dokumentation	DSB / Rechtsberatung	Aufsichtsbehörde, ZAC, BSI

Schritt 1: Erkennen (0–5 Minuten)

Bestätigen Sie zuerst, dass es sich um Ransomware handelt. Der folgenschwerste Fehler in dieser Phase ist das hastige Herunterfahren des Rechners.

Typische Anzeichen:

• Eine Lösegeldforderung (Ransom-Note) als Textdatei, Hintergrundbild oder Pop-up.
• Viele umbenannte oder verschlüsselte Dateien mit unbekannten Endungen.
• Hohe CPU- und Festplattenlast ohne erkennbaren Grund.
• Deaktivierter Virenschutz oder fehlende Schutzdienste.

Notieren Sie sofort die Uhrzeit der Entdeckung. Ab Kenntnis des Vorfalls laufen die gesetzlichen Fristen. Halten Sie die ersten Beobachtungen fest:

Entdeckungszeit:    02.06.2026  09:14 Uhr
Entdeckt von:       Vorname Name (Abteilung)
Erste Symptome:     Ransom-Note auf Desktop, Dateien mit Endung .lockxyz
Betroffenes Geraet: Hostname / IP / Standort
Status:             EINGESCHALTET gelassen, NICHT heruntergefahren

Verifizieren: Die Entdeckungszeit steht schriftlich im Protokoll, das Gerät läuft weiter.

Schritt 2: Isolieren statt ausschalten (5–15 Minuten)

Stoppen Sie die Ausbreitung, ohne Spuren zu vernichten. Das BSI empfiehlt: isolieren statt ausschalten.

1. Netzwerk trennen: Netzwerkkabel ziehen, WLAN und Bluetooth deaktivieren.
2. Ausbreitung bremsen: bei aktivem Befall Switch-Port abschalten, Netzsegment trennen oder Internet-Uplink kappen.
3. Zugänge sperren: VPN- und Fernzugänge sowie erkannte Angreiferkonten deaktivieren.
4. Gerät anlassen: kein Herunterfahren, kein Neustart, solange Analyse oder Strafverfolgung beabsichtigt sind.

Im Arbeitsspeicher liegen Prozesse, Netzverbindungen und unter Umständen Schlüsselmaterial; das geht beim Ausschalten verloren und kann für Entschlüsselung oder Täterzuordnung entscheidend sein.

Merksatz: Netzwerkkabel raus, Stromkabel drin.

Beweise sichern (parallel)

Kommen Forensik oder Strafverfolgung infrage, sichern Sie Beweise bevor ein Bereinigungs- oder Antivirenprogramm läuft; ein Scan verändert Spuren. Müssen Sie wählen, hat das Speicherabbild Vorrang vor dem Festplattenabbild.

• RAM-Abbild (Memory-Dump) erstellen; ausgewertet wird es zum Beispiel mit dem Framework Volatility.
• Forensisches Abbild der betroffenen Datenträger anlegen.
• Logs sichern: Server-, Firewall- und EDR-Protokolle.
• Im Zweifel einen DFIR-Dienstleister hinzuziehen, statt selbst am System zu arbeiten.

Melden Sie sich nicht mit Admin-Konten an verdächtigen Systemen an. Angreifer greifen solche Anmeldedaten ab und bewegen sich damit im Netz weiter.

Verifizieren: Am Switch bzw. Access Point ist für das Gerät keine Verbindung mehr aktiv, VPN- und Fernzugänge sind gesperrt, das Gerät ist eingeschaltet.

Schritt 3: Eskalieren (15–25 Minuten)

Ransomware ist eine Unternehmenskrise, kein reines IT-Problem. Aktivieren Sie den Krisenstab über die ausgedruckte Kontaktliste, nicht über möglicherweise kompromittierte interne Kanäle.

1. Incident-Lead benennen: eine Person, die koordiniert, entscheidet und die Dokumentation verantwortet.
2. Krisenstab aktivieren: Geschäftsführung, DSB, IT-Leitung/Forensik, Rechtsberatung, Cyberversicherer, Pressekontakt.
3. Out-of-Band kommunizieren: über Mobiltelefone oder einen unabhängigen Messenger, falls E-Mail, Active Directory oder Kollaborationswerkzeuge betroffen sind.

Kontakttabelle für den Krisenstab, ebenfalls ausgedruckt:

Rolle / Stelle	Name	Telefon / 24h-Hotline
Incident-Lead	…	…
Geschäftsführung	…	…
Datenschutzbeauftragter (DSB)	…	…
IT-Forensik / DFIR-Dienstleister	…	…
Cyberversicherung	…	…
Rechtsanwalt (IT-Recht)	…	…
Zuständige Aufsichtsbehörde	…	…
Meldestelle BSI (NIS-2)	…	…
ZAC des zuständigen LKA	…	…

Verifizieren: Alle Rollen haben den Alarm bestätigt, der Incident-Lead ist benannt und im Protokoll mit Uhrzeit vermerkt.

Schritt 4: Eingrenzen (25–40 Minuten)

Ermitteln Sie das Ausmaß. Das brauchen Sie für die Wiederherstellung und für die rechtliche Risikobewertung.

• Systeme erfassen: betroffene und nicht betroffene Server, Clients, Konten und Daten. Wo war das erste System (Patient Zero), wie verlief die Ausbreitung, wann begann der Angriff?
• Personenbezogene Daten prüfen: Welche Daten sind betroffen? Das ist die Grundlage der DSGVO-Risikobewertung.
• Konten bewerten: kompromittierte Admin-Konten gelten als verbrannt und werden gesperrt.

Gehen Sie davon aus, dass befallene Systeme vollständig kompromittiert sind. Das BSI empfiehlt die Neuinstallation statt punktueller Bereinigung. Planen Sie die Wiederherstellung deshalb in eine neu aufgesetzte Umgebung.

Verifizieren: Eine Liste der betroffenen Systeme, Konten und Datenkategorien liegt vor und ist dem Krisenstab bekannt.

Schritt 5: Backups schützen (parallel ab Minute 25)

Backups sind Ihr wichtigstes Mittel zur Wiederherstellung und deshalb ein bevorzugtes Ziel der Angreifer. Viele Angriffe verbinden Verschlüsselung mit Datendiebstahl (Double Extortion).

1. Backup-Repositories vom kompromittierten Netz trennen, bevor sie verschlüsselt oder gelöscht werden.
2. Saubere Kopie prüfen: Gibt es eine Offline- oder Immutable-Kopie, die nicht betroffen ist?
3. Wiederherstellung erst später: ausschließlich in eine neu aufgesetzte Umgebung, nie ins kompromittierte Netz, sonst folgt die erneute Infektion.

Die 3-2-1-1-0-Regel als Grundlage

Ziffer	Bedeutung
3	Drei Kopien der Daten (Original plus zwei Backups)
2	Zwei verschiedene Medientypen
1	Eine Kopie außer Haus
1	Eine Kopie offline (Air-Gap) oder unveränderbar (Immutable)
0	Null Fehler: regelmäßig geprüft und per Test-Wiederherstellung bestätigt

Immutable heißt: für einen festgelegten Zeitraum von niemandem löschbar oder änderbar, auch nicht von Admins. Air-Gap heißt physisch getrennt, etwa Band oder externe Festplatte ohne Netzverbindung. Eine Online-Sicherung im selben Netz schützt nicht vor Ransomware.

Verifizieren: Das Backup-Repository ist vom Netz getrennt, und der letzte Stand der Offline- oder Immutable-Kopie ist mit Datum dokumentiert.

Schritt 6: Melden (40–60 Minuten, Fristen laufen ab Kenntnis)

Bis zu vier Meldewege laufen parallel an. Die gesetzlichen Fristen beginnen mit dem Bekanntwerden des Vorfalls, nicht erst nach interner Eskalation oder abgeschlossener Analyse.

a) Aufsichtsbehörde nach Art. 33 DSGVO (72 Stunden)

Eine Verletzung des Schutzes personenbezogener Daten melden Sie der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Auch eine Verletzung der Verfügbarkeit durch Verschlüsselung kann meldepflichtig sein, nicht nur ein Datenabfluss. Eine spätere Meldung müssen Sie begründen. Verstöße gegen Art. 33 können nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.

Mindestinhalte nach Art. 33 Abs. 3 DSGVO; nach Abs. 4 dürfen Sie Informationen schrittweise nachreichen:

a) Art der Verletzung: Kategorien und ungefaehre Zahl
   betroffener Personen und Datensaetze
b) Name und Kontaktdaten des DSB oder einer Anlaufstelle
c) Wahrscheinliche Folgen der Verletzung
d) Ergriffene oder vorgeschlagene Abhilfemassnahmen

Nach Art. 33 Abs. 5 DSGVO dokumentieren Sie alle Fakten, Auswirkungen und Abhilfemaßnahmen, auch wenn Sie nicht melden, samt Begründung.

b) BSI nach NIS-2 (24 Stunden, falls reguliert)

Besonders wichtige und wichtige Einrichtungen melden erhebliche Sicherheitsvorfälle nach § 32 BSIG (in Kraft seit 06.12.2025 durch das NIS2UmsuCG) an die gemeinsame Meldestelle von BSI und BBK:

Stufe	Frist	Inhalt
Frühe Erstmeldung	spätestens 24 Stunden nach Kenntnis	Verdacht auf böswillige Handlung, mögliche grenzüberschreitende Auswirkungen
Meldung	spätestens 72 Stunden nach Kenntnis	erste Bewertung mit Schweregrad, Auswirkungen, ggf. Kompromittierungsindikatoren (IoCs)
Abschlussmeldung	spätestens 1 Monat nach der 72-Stunden-Meldung	ausführliche Beschreibung, Ursache, Abhilfemaßnahmen

Dauert der Vorfall nach einem Monat noch an, geben Sie statt der Abschlussmeldung eine Fortschrittsmeldung ab (§ 32 Abs. 2 BSIG).

c) Strafanzeige bei der ZAC

Erstatten Sie Strafanzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) des für Ihren Firmensitz zuständigen Landeskriminalamts. Die Anzeige kann Hinweise auf die Tätergruppe oder verfügbare Entschlüsselungswerkzeuge liefern; manche Versicherungsverträge setzen sie voraus.

d) Cyberversicherer

Informieren Sie Ihren Cyberversicherer gemäß Police. Die vertragliche Meldefrist steht in den Versicherungsbedingungen; eine verspätete Meldung kann den Versicherungsschutz gefährden. Viele Versicherer bieten eine 24/7-Hotline und vermitteln DFIR-Dienstleister.

Betroffene benachrichtigen (Art. 34 DSGVO)

Hat die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen zur Folge, benachrichtigen Sie diese unverzüglich in klarer und einfacher Sprache mit den Angaben nach Art. 33 Abs. 3 Buchstaben b, c und d. Die Pflicht entfällt nach Art. 34 Abs. 3 DSGVO, wenn die Daten zum Beispiel durch Verschlüsselung für Unbefugte unzugänglich waren oder nachfolgende Maßnahmen das hohe Risiko aller Wahrscheinlichkeit nach beseitigt haben. Wäre der Aufwand unverhältnismäßig, tritt eine öffentliche Bekanntmachung an die Stelle der Einzelbenachrichtigung.

Verifizieren: Jede Meldung ist mit Uhrzeit, Empfänger und Aktenzeichen bzw. Eingangsbestätigung im Protokoll vermerkt; eine Entscheidung gegen eine Meldung ist begründet dokumentiert.

Lösegeld: nicht zahlen

BSI, BKA und die Initiative No More Ransom raten davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch Schutz vor einem erneuten Angriff. Hinzu kommen rechtliche Risiken bei Zahlungen an sanktionierte Gruppen.

Prüfen Sie auf nomoreransom.org, ob für die Ransomware-Variante ein kostenloser Decryptor existiert, und binden Sie Behörden und Forensik ein.

Durchgehend: dokumentieren

Führen Sie ab dem ersten Moment eine lückenlose Zeitleiste: Entdeckungszeit, jede Maßnahme, jede Entscheidung und jede Meldung mit Uhrzeit. Diese Dokumentation erfüllt Art. 33 Abs. 5 DSGVO, hilft in einem Bußgeldverfahren und ist Grundlage für die Versicherungsleistung.

Typische Fehler

• Vorschnell herunterfahren: zerstört flüchtige Spuren im RAM.
• 72-Stunden-Frist falsch ansetzen: Sie beginnt mit dem Bekanntwerden der Verletzung, nicht nach interner Analyse.
• Reine Verschlüsselung als nicht meldepflichtig einstufen: Auch Verfügbarkeitsverletzungen fallen unter Art. 33 DSGVO.
• Backups erst im Vorfall prüfen: Ohne getrennte Offline- oder Immutable-Kopie gibt es keine sichere Wiederherstellung.
• Punktuelle Bereinigung statt Neuinstallation, dazu ein Virenscan vor der Forensik, der Beweise verändert.
• Wiederherstellung ins kompromittierte Netz: führt zur erneuten Infektion.
• NIS-2-Pflichten übersehen: Prüfen Sie Ihre Betroffenheit nach dem BSI-Gesetz vorab.
• Frist beim Cyberversicherer verpasst: kann den Versicherungsschutz kosten.

Häufige Fragen

Warum soll ich den befallenen Rechner nicht einfach ausschalten?

Weil flüchtige Spuren im Arbeitsspeicher verloren gingen (siehe Schritt 2).

Ab wann läuft die 72-Stunden-Frist der DSGVO?

Ab dem Zeitpunkt, an dem Ihnen die Verletzung bekannt wird, also wenn Sie mit hinreichender Sicherheit wissen, dass personenbezogene Daten betroffen sind. Notieren Sie deshalb die Entdeckungszeit sofort.

Muss ich auch melden, wenn nur verschlüsselt und nichts gestohlen wurde?

In der Regel ja. Die Verschlüsselung ist eine Verletzung der Verfügbarkeit personenbezogener Daten. Die Meldepflicht entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht; diese Entscheidung dokumentieren Sie mit Begründung.

Soll ich das Lösegeld zahlen, wenn die Backups verloren sind?

Nein, BSI und BKA raten ab (siehe Abschnitt „Lösegeld: nicht zahlen“). Binden Sie Forensik und Rechtsberatung ein.

Wir sind ein kleines Unternehmen: Gilt NIS-2 überhaupt für uns?

Das hängt von Sektor und Größe ab; maßgeblich sind die Einrichtungsarten und Schwellenwerte des BSI-Gesetzes. Das BSI bietet dafür eine Betroffenheitsprüfung an. Die DSGVO-Meldepflicht gilt unabhängig davon.

An wen erstatte ich als Unternehmen Strafanzeige?

An die Zentrale Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts, in dessen Bundesland Ihr Firmensitz liegt.

Fazit

Einen Ransomware-Notfallplan schreiben Sie vor dem Ernstfall und arbeiten ihn im Ernstfall der Reihe nach ab. Drucken Sie Zeitleiste und Kontakttabelle aus und üben Sie den Ablauf einmal im Jahr.

Weiterführende Anleitungen und Quellen

• Backup-Restore-Test-Routine etablieren: die 0 der 3-2-1-1-0-Regel.
• Microsoft 365 Backup-Grundlagen einrichten: vom Tenant getrennte Sicherung der Cloud-Daten.
• Phishing erkennen und melden: das häufigste Einfallstor für Ransomware.
• Weitere Anleitungen in der Kategorie Sicherheit

Quellen: BSI, Maßnahmenkatalog Ransomware und IT-Sicherheitsvorfall; Art. 33, 34 und 83 DSGVO; § 32 BSIG (gesetze-im-internet.de); Polizei, Zentrale Ansprechstellen Cybercrime; No More Ransom.