Es ist Montag, 7.40 Uhr. Ein Mitarbeitender kann seine Dateien nicht öffnen. Auf dem Bildschirm des Servers erscheint eine ungewöhnliche Meldung. Oder eine Kundin ruft an, um eine seltsame E-Mail zu melden, die von Ihrer Adresse aus versendet wurde.
Was in den folgenden Stunden geschieht, bestimmt einen grossen Teil der Endrechnung. Nicht weil man schnell handeln müsste, sondern weil bestimmte instinktive Reaktionen, die in der Panik getroffen werden, Informationen zerstören, die später unverzichtbar sein werden.
Dieser Artikel wird der Reihe nach gelesen. Er ist dazu gedacht, während des Vorfalls befolgt zu werden. Wenn Sie ihn in Ruhe lesen, besteht der nächste Schritt darin, diese Vorgehensweise in ein unternehmensspezifisches Dokument mit Ihren eigenen Namen und Nummern zu übertragen: Das ist das Thema unseres Artikels zum Notfallplan für Vorfälle.
Die ersten Minuten: isolieren, ohne zu zerstören
Das erste Ziel ist es, die Ausbreitung des Angriffs zu verhindern. Das zweite, ebenso wichtige Ziel ist es, den Zustand der betroffenen Geräte zu bewahren.
Konkret bedeutet das für jeden betroffenen Rechner oder Server: Netzwerkkabel ausstecken, WLAN abschalten, externe Festplatten und Freigaben trennen. Das Gerät bleibt eingeschaltet, kommuniziert aber mit nichts mehr.
Das ist der kontraintuitivste Reflex in diesem Artikel, und der wichtigste. Ein Teil der Spuren eines Angriffs existiert nur im Arbeitsspeicher des Computers: laufende Prozesse, offene Verbindungen nach aussen, manchmal sogar Entschlüsselungsschlüssel. All das wird beim Ausschalten gelöscht. Wer ausschaltet, «um den Schaden zu begrenzen», löscht damit genau das, was geholfen hätte zu verstehen, wo der Angreifer eingedrungen ist und wie weit er gekommen ist. Trennen Sie das Gerät vom Netzwerk, lassen Sie es aber eingeschaltet.
Für alles Übrige gilt dieselbe Logik. Installieren Sie nichts neu, formatieren Sie nichts neu, löschen Sie die verdächtige Datei nicht, leeren Sie den Papierkorb nicht. Was Ihnen wie Aufräumen erscheint, ist für jemanden, der beruflich damit befasst ist, ein Beweisstück.
Wenn sich der Angriff offensichtlich stark ausbreitet, ist es eine legitime Entscheidung, das gesamte Netzwerk auf Ebene des Routers oder der Firewall vom Internet zu trennen. Das kostet betrieblich viel, stoppt aber eine laufende Datenexfiltration.
Wen sollten Sie in der ersten Stunde benachrichtigen, und in welcher Reihenfolge?
Ein KMU hat keinen Krisenstab. Es hat einige wenige Personen, die innerhalb von Minuten erfahren müssen, dass sie mitten drin sind. Die Reihenfolge ist entscheidend.
| Wer | Wann | Warum |
|---|---|---|
| Geschäftsleitung | Sofort | Nur sie kann den Betrieb stoppen, Kosten freigeben und über die Kommunikation entscheiden |
| IT-Dienstleister | In den folgenden Minuten | Er kennt Ihre Infrastruktur und kann technisch eingreifen |
| Versicherung | Innerhalb der Stunde | Viele Cyberversicherungsverträge verlangen eine rasche Meldung und schreiben eigene Experten vor |
| NCSC | Noch am selben Tag | Freiwillige, kostenlose Meldung, die in die nationale Lagebeobachtung einfliesst |
| Kantonspolizei | Noch am selben Tag bei Erpressung, Betrug oder Datendiebstahl | Eine Anzeige wird von der Versicherung oft verlangt, zudem handelt es sich um Straftaten |
Zwei Klarstellungen zu den Behörden. Die Meldung an das Nationale Zentrum für Cybersicherheit (NCSC) ist für ein gewöhnliches KMU freiwillig: Die 2025 in Kraft getretene Meldepflicht betrifft nur Betreiber kritischer Infrastrukturen. Sie bleibt trotzdem sinnvoll, und sie ist kostenlos.
Die Versicherung ist der Punkt, der am häufigsten vergessen wird, und ihre Vernachlässigung kostet am meisten: Viele Verträge schreiben vor, vor jeder technischen Massnahme informiert zu werden, und eine verspätete Meldung kann die Kostenübernahme zu Fall bringen. Was eine Cyberversicherung wirklich abdeckt und was zu Ihren Lasten bleibt, liest man am besten in Ruhe, nicht an jenem Morgen.
Was die Polizei betrifft: Eine Anzeige zu erstatten ist keine Nebensächlichkeit. Ransomware erfüllt den Tatbestand der Erpressung, CEO-Betrug den des Betrugs. Es handelt sich um Straftaten, und Ihre Versicherung wird sehr wahrscheinlich die Anzeigebestätigung verlangen.
Das Ausmass des Phänomens ist alles andere als marginal: Das NCSC erhielt 64’733 freiwillige Meldungen zu Cybervorfällen im Jahr 2025, gegenüber 62’954 im Vorjahr. Sie sind weder der Erste noch ein Einzelfall.
Die ersten Stunden: dokumentieren und die Kontrolle über die Zugänge zurückgewinnen
Während die technischen Massnahmen anlaufen, muss jemand mitschreiben. Diese Rolle lässt sich schlecht delegieren und wird systematisch vergessen.
Ein Blatt Papier, ein Stift, und die Uhrzeit vor jeder Zeile. Was beobachtet wurde, zu welchem Zeitpunkt, von wem. Was unternommen wurde, und wer das entschieden hat. Screenshots der angezeigten Meldungen. Die benachrichtigten Personen. Dieses Dokument ist es, was Ihre Versicherung von Ihnen verlangen wird, und worauf sich die technische Analyse stützen wird. Auf Papier, weil Ihre gewohnten Werkzeuge möglicherweise kompromittiert sind, und weil ein Heft nie ausfällt.
Als Nächstes stellt sich die Frage der Passwörter. Sie müssen geändert werden, beginnend mit den sensibelsten Konten: E-Mail, E-Banking, Website-Verwaltung, Fernzugriffe, Administratorkonten.
Eine absolute Bedingung dabei: Tun Sie das von einem Gerät aus, dem Sie vertrauen können. Ein privater, nicht mit dem Unternehmensnetzwerk verbundener Computer, ein Mobiltelefon. Ein Passwort von einem infizierten Gerät aus zu ändern, kommt einer Übergabe des neuen Passworts an den Angreifer gleich, der möglicherweise Ihre Tastatureingaben aufzeichnet.
Aktivieren Sie dabei gleich überall die Zwei-Faktor-Authentifizierung, wo sie noch nicht eingerichtet ist. Das ist der Moment, in dem darüber nicht mehr diskutiert wird.
Was tun, wenn Ihre E-Mail kompromittiert ist?
Dieser Fall verdient eine gesonderte Behandlung, denn er verändert die Art, wie die gesamte Krise bewältigt werden muss.
Wenn Ihre geschäftliche E-Mail kompromittiert ist, liest der Angreifer Ihre E-Mails in Echtzeit mit. Er sieht also Ihren Austausch über den Vorfall: was Sie entdeckt haben, welche Geräte Sie isolieren, wann Sie eine Wiederherstellung planen.
Solange Sie das Ausmass der Kompromittierung nicht kennen, gehen Sie davon aus, dass die geschäftliche E-Mail und die Instant-Messaging-Dienste des Unternehmens vom Angreifer mitgelesen werden. Wechseln Sie zum Telefon oder zu einem privaten Messenger auf unbelasteten Geräten. Prüfen Sie zudem die automatischen Weiterleitungsregeln Ihrer Postfächer: Eine solche Regel zu erstellen, um unauffällig eine Kopie von allem zu erhalten, ist ein klassisches Vorgehen, das in unserem Artikel zur Kompromittierung von E-Mail-Konten im Detail beschrieben wird.
Personenbezogene Daten: Was verlangt das Schweizer Recht?
Wenn der Vorfall personenbezogene Daten offengelegt hat, von Kundinnen und Kunden, Mitarbeitenden oder Lieferanten, kann eine zusätzliche Meldepflicht entstehen. Die Schweizer Regelung wird oft missverstanden, weil sie mit der europäischen verwechselt wird.
Das Datenschutzgesetz (DSG) sieht eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) vor, wenn die Verletzung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt. Drei Punkte sind dabei wichtig.
Die Meldung erfolgt so rasch wie möglich. Das Schweizer Recht legt keine konkrete Frist in Stunden fest. Die überall zu hörenden 72 Stunden sind eine Regel der europäischen Verordnung, die hier nur gilt, wenn Ihr Unternehmen ohnehin in deren Anwendungsbereich fällt.
Sie ist nur bei hohem Risiko fällig, nicht bei jedem Vorfall. Verschlüsselte Geräte ohne Datendiebstahl lösen die Pflicht nicht automatisch aus. Diese Einschätzung setzt voraus, dass man weiss, was tatsächlich abgeflossen ist, was in den ersten Stunden nicht offensichtlich ist.
Schliesslich: Eine Meldung setzt Sie keiner strafrechtlichen Verfolgung aus: Das Gesetz sieht vor, dass die Meldung ohne Zustimmung der meldenden Person nicht in einem Strafverfahren gegen sie verwendet werden darf. Die Angst vor einer Sanktion ist also kein Grund zu schweigen. Die Einzelheiten des Verfahrens und des Formulars finden Sie in unserem Artikel zur Meldung einer Datenschutzverletzung.
Im Zweifel über die Einschätzung wird in der Regel gemeinsam mit einer Juristin oder einem Juristen entschieden, nicht allein an einem Montagmorgen.
Können Backups schon am ersten Tag wiederhergestellt werden?
Nach dem ersten Schock wird der Druck wirtschaftlich. Der Betrieb steht still, und alle wollen wieder anlaufen. Genau hier entsteht der zweite kostspielige Fehler.
Ein Backup wiederherzustellen, ohne zu wissen, wo der Angreifer eingedrungen ist, heisst, das Haus wieder aufzubauen, ohne die Tür geschlossen zu haben. Ist die Schwachstelle noch offen, oder wurde ein Zugang belassen, wird die wiederhergestellte Umgebung erneut kompromittiert, manchmal innerhalb von weniger als vierundzwanzig Stunden. Manche Unternehmen erleben so zwei Angriffe innerhalb einer Woche.
Sie können jedoch risikofrei den Boden vorbereiten: prüfen, ob Ihre Backups vorhanden sind, ob sie unversehrt sind, und von welchem Datum sie stammen. Falls diese Kontrolle Sie beunruhigt, erklärt unser Artikel zur 3-2-1-Backup-Regel, was eigentlich hätte vorhanden sein sollen.
Dieselbe Vorsicht gilt für die öffentliche Kommunikation. Eine im Affekt verfasste Mitteilung zu noch unklaren Fakten muss später korrigiert werden, und es ist die Korrektur, die im Gedächtnis bleibt. Informieren Sie die direkt betroffenen Personen sachlich, sobald Sie es wissen. Die Wahl des Zeitpunkts, des Kanals und der Worte behandelt ausführlich unser Artikel zur Kommunikation während eines Cyberangriffs, der eine kurze Musternachricht bietet, die man schon vor der Krise vorbereiten kann.
Wo professionelle Hilfe keine Frage des Komforts mehr ist
Alles bisher Genannte liegt in Ihrer Reichweite. Isolieren, benachrichtigen, dokumentieren, Zugänge absichern: Diese Massnahmen begrenzen den Schaden tatsächlich, und sie erfordern keine besonderen technischen Kenntnisse.
Sie beantworten jedoch keine der drei Fragen, die über das weitere Vorgehen entscheiden. Wo ist der Angreifer eingedrungen? Ist er noch irgendwo in Ihrem System präsent? Was hat er mitgenommen?
Diese Fragen zu beantworten, erfordert das Lesen technischer Protokolle, die Analyse des Arbeitsspeichers der Geräte, die Rekonstruktion einer Angriffs-Chronologie. Das ist keine Frage des guten Willens oder des Budgets, sondern ein eigenes Handwerk. Ein KMU, das ohne diese Antworten wieder anläuft, läuft nicht wirklich wieder an: Es wartet auf den zweiten Angriff, diesmal mit einem Angreifer, der die Örtlichkeiten schon kennt.
Diese Reflexe bilden also eine sinnvolle Grundlage, aber keine Behandlung. Der übrige Themenbereich Reagieren auf einen Angriff beschreibt die relevanten Schweizer Ansprechstellen und häufige Fehler, und der Cyber-Check-up erlaubt es Ihnen, nach überstandener Krise zu messen, was vorher gefehlt hat.