Hackerangriff im KMU: was in der ersten Stunde zu tun ist

Ein Angriff kündigt sich selten an. Am Morgen lassen sich Dateien nicht mehr öffnen, auf dem Bildschirm steht eine Lösegeldforderung, oder Kunden melden seltsame Mails, die von Ihrer Adresse kommen. Jetzt entscheidet die erste Stunde darüber, wie gross der Schaden wird. Wer ruhig bleibt und in der richtigen Reihenfolge handelt, schützt Daten und Beweise. Die Schritte hier stützen sich auf die Anleitungen des Bundesamts für Cybersicherheit (BACS), der Kantonspolizei St.Gallen und des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Die ersten Schritte

Trennen Sie betroffene Geräte vom Netz. Ziehen Sie das Netzwerkkabel und schalten Sie das WLAN aus, damit sich die Schadsoftware nicht weiter ausbreitet. Bei Erpressersoftware rät das BACS zudem, die Internetverbindungen zu unterbrechen, also Web, Mail, Fernzugriff und VPN.

Lassen Sie die Geräte eingeschaltet. Schalten Sie sie nicht aus und starten Sie sie nicht neu. Im Arbeitsspeicher liegen Spuren des Angriffs, die beim Ausschalten verloren gehen. Die Kantonspolizei St.Gallen rät deshalb ausdrücklich, infizierte Geräte nicht auszuschalten, bis die Schadsoftware untersucht ist. Das BACS empfiehlt, Arbeitsspeicher und Festplatten von einer Fachperson sichern zu lassen, bevor jemand etwas repariert oder neu startet.

Schützen Sie Ihre Sicherung. Hängt ein Sicherungsgerät oder eine externe Festplatte am Netz, trennen Sie diese sofort. Bleibt die Sicherung verbunden, kann Erpressersoftware auch sie verschlüsseln, und dann fehlt Ihnen der Weg zurück.

Holen Sie Hilfe. Rufen Sie sofort Ihren IT-Partner an. Fehlt das Fachwissen im Haus, rät das BACS, ein spezialisiertes Unternehmen beizuziehen. OSAL erreichen Sie im Notfall rund um die Uhr unter +41 43 215 06 54. Werktags von 7 bis 18 Uhr gilt der normale Stundensatz, abends, nachts und am Wochenende helfen wir ebenfalls, dann mit einem Zuschlag. Die Ansätze stehen auf der Seite IT-Notfall. Besprechen Sie das Vorgehen am Telefon und nicht per Mail, denn bei einem übernommenen Konto liest der Angreifer womöglich mit.

Sperren Sie übernommene Konten. Betrifft der Angriff ein Konto, etwa in Microsoft 365, sperrt die IT das Konto oder setzt das Passwort zurück und beendet alle aktiven Anmeldungen. Danach entfernt sie fremde Weiterleitungen und unbekannte Anmeldemethoden. Ihre eigenen wichtigen Passwörter ändern Sie laut BACS nur von einem Gerät aus, das nachweislich nicht infiziert ist.

Halten Sie fest, was passiert ist. Notieren Sie, wann Sie was bemerkt haben, welche Geräte betroffen sind und was bereits unternommen wurde. Fotografieren Sie Lösegeldforderungen mit dem Handy und löschen Sie nichts, auch keine verdächtigen Mails.

Was Sie besser nicht tun

• Kein Lösegeld zahlen und nicht selbst mit den Tätern Kontakt aufnehmen. Das BACS rät von beidem ab: Eine Zahlung garantiert nicht, dass sich die Daten wiederherstellen lassen oder dass die Täter sie nicht doch veröffentlichen, und sie finanziert weitere Angriffe. Die nächsten Schritte besprechen Sie mit der Polizei.
• Nicht auf eigene Faust neu aufsetzen und Daten zurückspielen. Zuerst werden die Spuren gesichert. Danach empfiehlt das BACS, die Systeme von vertrauenswürdigen Datenträgern neu zu installieren und die Daten erst dann aus der Sicherung zurückzuholen.
• Verschlüsselte Dateien nicht löschen, wenn auch die Sicherung betroffen ist. Vielleicht findet sich später ein Weg, sie zu entschlüsseln.

Wen Sie informieren

Erstatten Sie Anzeige bei der Kantonspolizei. Dem BACS können Sie den Vorfall über sein Online-Meldeformular melden. Für die meisten KMU ist diese Meldung freiwillig. Pflicht ist sie seit dem 1. April 2025 für Betreiber kritischer Infrastrukturen, zum Beispiel Energie- und Trinkwasserversorger, Spitäler, Banken, Versicherungen, Transportunternehmen sowie Kantons- und Gemeindeverwaltungen. Diese Betreiber müssen einen Cyberangriff innert 24 Stunden nach der Entdeckung melden, etwa wenn er mit Erpressung verbunden ist oder Daten abgeflossen sind. Fehlende Angaben ergänzen sie innert 14 Tagen. Ob Ihre Organisation dazugehört, klärt das BACS auf Anfrage.

Sind Personendaten betroffen, etwa von Kundinnen, Patienten oder Mitarbeitenden, gilt das Datenschutzgesetz. Führt der Vorfall voraussichtlich zu einem hohen Risiko für die betroffenen Personen, müssen Sie ihn dem EDÖB so rasch als möglich melden (Art. 24 DSG). Die Pflicht liegt bei Ihrer Firma, auch wenn Ihr IT-Partner beim Ausfüllen hilft. Laut Leitfaden des EDÖB ist bei Erpressersoftware je nach Umständen schon in einer ersten Analyse von einem solchen Risiko auszugehen. Warten Sie deshalb nicht, bis alles geklärt ist: Fehlende Angaben reichen Sie über das Meldeportal des EDÖB nach. Ist es zum Schutz der Betroffenen nötig oder verlangt es der EDÖB, informieren Sie zudem die betroffenen Personen.

Haben Sie eine Cyberversicherung, informieren Sie diese früh und halten Sie sich an die Fristen in Ihrer Police.

Checkliste für die erste Stunde

• Betroffene Geräte vom Netz getrennt, aber nicht ausgeschaltet
• Sicherungsgeräte und externe Festplatten getrennt
• IT-Partner oder Fachfirma telefonisch erreicht
• Eine Person bestimmt, die den Vorfall intern koordiniert
• Übernommene Konten gesperrt, Passwörter von einem sauberen Gerät aus geändert
• Zeitpunkte, Beobachtungen und Massnahmen notiert, Lösegeldforderung fotografiert
• Anzeige bei der Kantonspolizei und Meldung an das BACS vorbereitet, bei kritischer Infrastruktur innert 24 Stunden
• Geprüft, ob Personendaten betroffen sind und der EDÖB informiert werden muss
• Cyberversicherung informiert

Legen Sie am besten heute schon fest, wer im Ernstfall entscheidet, welche Nummer angerufen wird und wo die Liste aller Zugänge liegt. Die wichtigsten Schritte finden Sie kompakt auf unserer Notfall-Checkliste.

Vorher die offenen Türen finden

Noch besser ist, wenn es gar nicht so weit kommt. Typische offene Türen sind ein Konto ohne zweiten Faktor, ein offener Fernzugang oder Zugangsdaten Ihrer Firma, die im Darknet kursieren. Der OSAL Security Check sucht genau danach: von aussen, in Ihrem Microsoft 365 und mit einer Test-Mail an Ihr Team, ohne irgendwo einzudringen. Sie erhalten einen Bericht mit Ampel, den fünf wichtigsten Befunden samt Beleg und einem Massnahmenplan, und Sie zahlen nur für Schwachstellen, die wir belegen.