Für Unternehmen können Cyberangriffe schwerwiegende Folgen haben, wenn wichtige Daten gestohlen, verändert oder gelöscht werden. Auch Benutzerkonten können kompromittiert werden.
Es kommt darauf an, den Schaden zu begrenzen und die richtigen Maßnahmen zu ergreifen. Auf professionelle Hilfe von IT-Spezialisten können Unternehmen nach einem Cyberangriff häufig nicht verzichten.
Einen Cyberangriff erkennen
Unternehmen können trotz umfassender technischer Schutzmaßnahmen Opfer von Cyberangriffen werden. Auch kleine und mittelgroße Unternehmen, die das Rückgrat der deutschen Wirtschaft bilden, sind häufig von solchen Cyberangriffen betroffen. Nicht nur Daten werden gestohlen. Schwerwiegende Schäden entstehen, wenn komplette Systeme lahmgelegt werden.
Die Folgen von Cyberangriffen können Produktionsausfälle, hohe Kosten und Vertrauensverlust bei den Kunden sein.
Ein Angriff ist nicht immer sofort zu erkennen. Meldungen von Firewalls und Virenscannern sollten nicht ignoriert werden. Um den Schaden zu dokumentieren und Beweise für die zuständigen Behörden zu sichern, sollte die Forensik eingeschaltet werden.
Auf einen Cyberangriff können verschiedene Anzeichen hindeuten:
- Dateiänderungen durch plötzlich fehlende oder veränderte Daten, die nicht durch Mitarbeiter vorgenommen wurden
- Verlangsamung des Systems oder häufige Abstürze
- Häufige Pop-up-Fenster und Fehlermeldungen
- Verdächtige Kontoaktivitäten
Die richtigen Schritte nach einem Cyberangriff
Um den Schaden zu begrenzen, Produktionsausfälle und damit verbundene hohe Kosten zu vermeiden, kommt es auf die richtigen Schritte nach einem Cyberangriff an. Die Angriffe erfolgen nicht nach fixen Mustern und unterscheiden sich, abhängig vom Ziel der Kriminellen und von der Art des Unternehmens. Grundsätzlich sind die folgenden Schritte nach einem Cyberangriff erforderlich.
Betroffene Systeme vom Netz trennen
Besteht der Verdacht eines Cyberangriffs, sollten die betroffenen Systeme möglichst schnell vom Netzwerk getrennt werden, um eine weitere Ausbreitung des Angriffs zu verhindern.
Abhängig von der Situation ist es sinnvoll, einzelne Geräte oder komplette Netzwerksegmente zu isolieren.
Ethernet-Verbindung, Bluetooth und WLAN müssen ausgeschaltet werden. Das Gerät sollte nicht vollständig abgeschaltet werden, denn im Zwischenspeicher können sich noch wertvolle Daten befinden, die im Rahmen der IT-Forensik gesichert werden müssen, da sie Analysezwecken dienen.
Krisenmanagement und Erfassen der Situation
Wurde ein Cyberangriff festgestellt, ist es wichtig, dass sich Unternehmen ein möglichst klares Bild der Lage verschaffen. Dabei können die folgenden Fragen helfen:
- Welche Systeme wurden angegriffen?
- Welche Anwendungen sind nicht betroffen?
- Wie funktioniert die Kommunikation intern mit den Mitarbeitern?
- Was ist extern zu kommunizieren?
Um zu reagieren, muss ein Krisenteam gebildet werden, das aus Sicherheitsspezialisten, IT-Experten und wichtigen Entscheidungsträgern aus den betroffenen Abteilungen besteht. Dieses Team muss sich in regelmäßigen Abständen treffen, die aktuelle Lage bewerten und schnelle Entscheidungen treffen, um die Kontrolle zurückzugewinnen.
In kleinen und mittleren Unternehmen mangelt es häufig an IT-Experten. Auf externe Cybersicherheitsdienstleister können solche Unternehmen nicht verzichten. Ist eine Cyberversicherung vorhanden, muss eine offizielle Schadensmeldung an die Versicherung erfolgen. Häufig bieten solche Versicherer einen Notfallservice an, der rund um die Uhr verfügbar ist. Er sollte eingeschaltet werden.
Schaden lückenlos dokumentieren
Der Schaden muss lückenlos dokumentiert werden. Dabei kommt es darauf an, alle Beobachtungen und die eingeleiteten Maßnahmen zu erfassen. Dazu gehört, dass Netzwerkdaten, Logdateien und andere wichtige Informationen erfasst werden. Diese Daten sind für eine spätere forensische Analyse und für rechtliche Zwecke wichtig. Sie dienen auch der Durchsetzung von möglichen Ansprüchen gegenüber der Versicherung.
Information der zuständigen Behörden und anderen Stellen
Nach einem Cyberangriff müssen Unternehmen auch ihren rechtlichen Verpflichtungen nachkommen und die zuständigen Behörden informieren. Es kann ratsam sein, bei einem Cyberangriff die Polizei oder die Zentrale Ansprechstelle Cybercrime (ZAC) des zuständigen Bundeslandes einzubeziehen. Zudem müssen Firmen untersuchen, ob für sie gesetzliche Verpflichtungen zur Meldung an das BSI oder andere Stellen bestehen.
Seit Dezember 2025 gilt zudem das NIS-2-Umsetzungsgesetz. Unternehmen, die als „wichtige“ oder „besonders wichtige“ Einrichtungen darunterfallen, müssen erhebliche Sicherheitsvorfälle dem BSI gestuft melden: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung nach spätestens einem Monat.
Über den Schaden können auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder das Landeskriminalamt (LKA) informiert werden.
Unternehmen werden durch diese Behörden bei der Aufarbeitung des Vorfalls unterstützt. Für eine mögliche Strafverfolgung können diese Behörden relevante Beweise sichern.
Gegenüber den Kunden kommt es darauf an, Vertrauen zu bewahren, wenn auch Kundendaten gehackt wurden. Daher müssen in solchen Fällen auch die Kunden informiert werden.
Die Geschäftsführung muss informiert und gegebenenfalls ins Krisenteam eingebunden werden. Abhängig von der Größe des Unternehmens und den vorhandenen Abteilungen müssen auch die PR-Abteilung und die Rechtsabteilung informiert werden.
Analyse des Vorfalls und Einleitung der erforderlichen Gegenmaßnahmen
Nach den ersten Sofortmaßnahmen kommt es auf die Analyse des Vorfalls an, um die entsprechenden Gegenmaßnahmen einleiten zu können. Die interne IT-Abteilung sollte dafür mit externen Spezialisten und auch mit den zuständigen Behörden zusammenarbeiten.
Der Angriffstyp muss festgestellt werden. Bei einem Ransomware-Angriff muss geklärt werden, ob verschlüsselte Daten wiederhergestellt werden können. Die Wiederherstellung kann mit Entschlüsselungstools oder aus gesicherten Backups erfolgen.
Um künftige Angriffe zu verhindern, sind vorhandene Sicherheitslücken schnellstmöglich zu schließen. Dazu gehört die Installation von Sicherheitspatches, das Zurücksetzen von kompromittierten Konten und die Änderung von Passwörtern. Zusätzlich sollte, wo es möglich ist, die Zwei-Faktor-Authentifizierung genutzt werden.
Potenziell gefährdete Dienste sind zu deaktivieren. Mitunter müssen einzelne Systeme oder virtuelle Umgebungen vollständig neu aufgesetzt werden.
Mitarbeiter sind über den Vorfall zu informieren und für mögliche Folgeangriffe zu sensibilisieren. Mitarbeiterschulungen sind wichtig, damit die Mitarbeiter künftig Angriffe wie Phishing erkennen können.
Wurden alle diese Maßnahmen eingeleitet, kann wieder zum normalen Betrieb übergegangen werden. Dabei kommt es darauf an, sichere Passwörter zu verwenden und die bisher genutzten Passwörter zu ändern.