Am Morgen, an dem sich der Vorfall zeigt, ist die Frage nicht technisch. Sie ist viel einfacher: Wen rufe ich an, und in welcher Reihenfolge?
Die Antwort hängt davon ab, was geschehen ist, doch die Logik bleibt gleich. Manche Ansprechpartner helfen Ihnen, wieder die Kontrolle zu übernehmen. Andere nützen in der akuten Notlage nichts, doch alles entscheidet sich trotzdem in den ersten Tagen, weil Fristen laufen, ohne dass Sie jemand darauf hinweist.
Hier erfahren Sie, was jeder Einzelne wirklich für Sie tun kann, und was nicht.
Ihr IT-Dienstleister, der erste Anruf
In den meisten Fällen wird er zuerst angerufen, und das ist die richtige Entscheidung. Er kennt Ihre Installation, verfügt über die Zugänge, kann einen Rechner isolieren, eine Verbindung trennen oder den Zustand Ihrer Backups prüfen, während Sie noch versuchen, die Lage zu verstehen.
Was er tun kann: das Ausmass feststellen, die Ausbreitung eindämmen, wieder in Betrieb setzen, was möglich ist, und Ihnen sagen, ob Ihre Backups nutzbar sind. Das ist bereits beträchtlich.
Was er nicht unbedingt kann: eine Reaktion auf Vorfälle im eigentlichen Sinn. Zu verstehen, wie der Angreifer eingedrungen ist, ob er noch anwesend ist, was er eingesehen oder kopiert hat, und die technischen Spuren zu sichern, die für eine Untersuchung nötig sind, erfordert ein anderes Handwerk. Ein IT-Generalist, selbst ein ausgezeichneter, ist kein Spezialist für die Reaktion auf Vorfälle, genau wie ein Hausarzt kein Chirurg ist.
Die spontane Reaktion besteht darin, möglichst schnell alles neu zu installieren, um die Arbeit wieder aufzunehmen. Das ist verständlich, doch die Neuinstallation eines Servers löscht die Spuren, die gezeigt hätten, wie der Angreifer eingedrungen ist und ob er noch Zugang hat. Bitten Sie Ihren Dienstleister, vor jeder Wiederherstellung eine Kopie der betroffenen Systeme anzulegen.
Wann sollten Sie Ihre Versicherung informieren?
Das ist der Punkt, den fast niemand vorhersieht, und der am teuersten wird, wenn er vernachlässigt wird.
Versicherungsverträge, ob eine eigene Cyberversicherung oder ein in Ihre Haftpflicht- oder Betriebsunterbrechungspolice integrierter Schutz, sehen kurze Meldefristen vor. Wenige Tage, manchmal weniger. Nach Ablauf dieser Frist kann die Kostenübernahme verweigert werden, selbst wenn der Schaden gedeckt gewesen wäre.
Noch heikler: Manche Policen verlangen, vor jedem technischen Eingriff informiert zu werden. Der Versicherer möchte seinen eigenen Experten schicken können, den Zustand der Systeme feststellen und verhindern, dass Manipulationen die Akte unbearbeitbar machen. Setzt Ihr Dienstleister am Samstag alles zurück und melden Sie erst am Montag, riskieren Sie eine Ablehnung.
Suchen Sie diese Information nicht erst am Tag des Angriffs. Öffnen Sie jetzt Ihren Vertrag, finden Sie die Meldeklausel und notieren Sie die Notrufnummer auf der Liste, die wir weiter unten vorbereiten. Wissen Sie noch nicht genau, was Ihre Police abdeckt, liefert unser Artikel was eine Cyberversicherung wirklich abdeckt die gedeckten Posten, die üblichen Ausschlüsse und die Pflichten der versicherten Person.
Müssen Sie den Vorfall dem NCSC melden?
Das Nationale Zentrum für Cybersicherheit stellt ein Online-Meldeformular zur Verfügung, erreichbar über seine offizielle Website. Die Meldung dauert wenige Minuten und erfolgt schriftlich.
Machen wir uns klar, was sie bewirkt. Das NCSC ist kein Einsatzdienst, der bei Ihnen vorbeikommt, um Ihre Server zu reparieren. Es ist keine Reparatur-Hotline. Die Meldung fliesst jedoch in das nationale Lagebild ein, kann Ihnen nützliche technische Empfehlungen einbringen und erlaubt es dem Amt zu erkennen, wenn dieselbe Welle mehrere Unternehmen gleichzeitig trifft.
Diese kollektive Dimension ist nicht nebensächlich. Nur weil Zehntausende von Organisationen melden, kennt man die tatsächliche Bedrohungslage in der Schweiz: Das NCSC erhielt 64’733 freiwillige Meldungen zu Cybervorfällen im Jahr 2025, gegenüber 62’954 im Jahr 2024.
Seit dem 1. April 2025 besteht tatsächlich eine Pflicht, bestimmte Cyberangriffe dem NCSC zu melden, mit Sanktionen seit dem 1. Oktober 2025. Sie betrifft jedoch ausschliesslich Betreiber kritischer Infrastrukturen: Energie, Gesundheit, Verkehr, Verwaltungen und einige weitere, gesetzlich definierte Kategorien. Ein gewöhnliches KMU ist nicht betroffen. Für dieses bleibt die Meldung freiwillig.
Sollten Sie bei der Kantonspolizei Anzeige erstatten?
Viele Geschäftsleitungen verzichten mit der Begründung, der Täter werde ohnehin nie gefunden. Das trifft oft zu, und trotzdem hat die Anzeige drei konkrete Nutzen.
Erstens erzeugt sie ein amtliches Dokument. Ihre Versicherung wird es verlangen, manchmal auch Ihre Geschäftspartner, und ein Verwaltungsrat oder eine Revisionsstelle schätzt es, einen formellen Nachweis in der Akte zu finden.
Zweitens nährt sie die Statistik. Die den spezialisierten Einheiten zugewiesenen Mittel hängen vom gemeldeten Volumen ab. Ein nicht gemeldeter Angriff existiert in den Zahlen nicht und hat damit keine Auswirkung auf künftige Ressourcen.
Drittens kann Ihr Fall eine laufende Untersuchung ergänzen. Kriminelle Gruppen schlagen in Serie zu, mit denselben Werkzeugen und denselben Wallet-Adressen. Das scheinbar unbedeutende Detail in Ihrer Akte kann das fehlende Puzzleteil eines anderswo eröffneten Verfahrens sein, was Sie unmöglich wissen können.
Wenden Sie sich an die Polizei Ihres Kantons. Manche Korps verfügen über eigene Einheiten für Computerkriminalität. Bringen Sie alles mit, was Sie haben: Nachrichten, Bildschirmfotos, technische Protokolle, verwendete Bankverbindungen, Zeitstempel.
Wann müssen Sie den EDÖB informieren?
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte muss nicht über jeden Cyberangriff informiert werden. Er ist zu informieren, wenn personenbezogene Daten betroffen sind und die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge hat.
Ein verschlüsselter Produktionsserver, ohne dass personenbezogene Daten abfliessen, löst diese Pflicht nicht aus. Eine exfiltrierte Kundendatei mit Kontaktdaten, Gesundheitsdaten oder Finanzinformationen dagegen schon.
Das Schweizer Recht verlangt eine Meldung so rasch als möglich. Es setzt keine feste Frist. Die bekannte Frist von 72 Stunden stammt aus der europäischen Verordnung, nicht aus dem Schweizer Recht, und die Verwechslung zwischen den beiden Regelungen ist weit verbreitet. Die Meldung erfolgt über das spezielle Portal des EDÖB. Die Einzelheiten des Verfahrens werden in unserem Artikel zur Meldung einer Datenschutzverletzung behandelt.
Ihre Kunden, Ihre Partner, Ihre Bank
Steht eine Zahlung auf dem Spiel, eine umgeleitete Überweisung, geänderte Bankverbindungen, eine bezahlte betrügerische Rechnung, rufen Sie sofort Ihre Bank an, noch vor allen anderen Schritten. Eine kürzlich getätigte Überweisung kann manchmal blockiert oder zurückgerufen werden, doch dieses Zeitfenster wird in Stunden gemessen, nicht in Tagen. Das ist der einzige Fall, in dem ein Anruf vor Ihrem IT-Dienstleister erfolgt. Die Funktionsweise dieser Betrugsmasche wird in unserem Artikel zum CEO-Betrug beschrieben.
Ihre Kunden und Partner kommen als Nächstes. Sie müssen informiert werden, wenn ihre Daten betroffen sind, wenn Ihr Dienst unterbrochen ist, oder wenn Ihr kompromittiertes Postfach dazu benutzt wurde, betrügerische Nachrichten in Ihrem Namen zu versenden. Zeitpunkt, Kanal und Wortwahl sollten vorbereitet werden: Das ist das Thema unseres Artikels zur Krisenkommunikation.
Die Liste, die Sie heute ausdrucken sollten
Am Tag des Angriffs ist Ihr Postfach womöglich nicht erreichbar, Ihr Dateiserver verschlüsselt, und das Adressbuch auf Ihrem Geschäftstelefon vielleicht nicht aktuell. Eine Kontaktliste, die nur im Netzwerk gespeichert ist, ist eine Liste, die Sie nicht haben werden.
| Wer | Wann anrufen | Was er leistet |
|---|---|---|
| IT-Dienstleister | Sofort | Feststellung, Isolierung, Zustand der Backups, Wiederinbetriebnahme |
| Versicherung | In den ersten Stunden, vor jedem technischen Eingriff, falls der Vertrag es verlangt | Kostenübernahme, Experte, teilweise Rechtsbeistand |
| Bank | Sofort, falls eine Zahlung betroffen ist | Mögliche Blockierung oder Rückruf einer kürzlichen Überweisung |
| Kantonspolizei | In den folgenden Tagen | Anzeige, amtliches Dokument, Ermittlung, Statistik |
| NCSC | Sobald sich die Lage stabilisiert hat | Empfehlungen, nationales Lagebild |
| EDÖB | So rasch als möglich, falls personenbezogene Daten und hohes Risiko | Einhaltung des rechtlichen Rahmens, Beratung zur Information der Betroffenen |
Ergänzen Sie diese Tabelle mit den echten Kontaktdaten: Name und Direktnummer Ihres Ansprechpartners beim Dienstleister, Notrufnummer und Policennummer Ihrer Versicherung, Durchwahl Ihres Bankberaters, Polizeiposten Ihrer Gemeinde. Drucken Sie sie in zwei Exemplaren aus, eines im Büro und eines bei der Geschäftsleitung. Überprüfen Sie sie einmal jährlich: Dienstleister wechseln, Verträge ebenfalls.
Zu wissen, wen man anruft, sagt nicht, was zu tun ist
Diese Liste vorzubereiten dauert eine Stunde und spart Ihnen am entscheidenden Tag erhebliche Zeit. Das ist eine Übung, die Sie allein und ohne Budget durchführen können, und es gibt keinen Grund, sie aufzuschieben.
Doch eine Liste von Telefonnummern beantwortet nicht die Fragen, die sich tatsächlich stellen, während Sie auf den Rückruf Ihres Dienstleisters warten. Sollte man den Server abstecken oder laufen lassen? Was sagt man den Mitarbeitenden, die ins Büro kommen? Welche Daten könnten abgeflossen sein, und wie prüft man das? Wer entscheidet, wenn die Geschäftsleitung nicht erreichbar ist?
Diese Antworten hängen von Ihrer Installation, Ihren Abläufen und Ihren eigenen Pflichten ab. Sie werden in Ruhe vorbereitet, getestet und überarbeitet. Genau das legt ein Notfallplan für die Reaktion auf Vorfälle fest, ein ein- bis zweiseitiges Dokument, das Ihre Telefonliste um Rollen, Entscheidungen und erwartete Handlungen ergänzt. Ein Unternehmen, das sein Szenario einmal vorher durchgespielt hat, erlebt nicht dieselben ersten Stunden wie ein Unternehmen, das improvisiert. Dort entsteht der Unterschied, weit mehr als bei der Qualität der Telefonliste.
Vertiefen Sie das Thema mit den richtigen Reflexen für die ersten Stunden, dem gesamten Themenbereich Auf einen Angriff reagieren und dem Cyber-Check-up, um Ihren aktuellen Vorbereitungsstand einzuschätzen.