Richtiges Verhalten bei einem Cyberangriff

Ausführliche Schritt-für-Schritt-Anleitung nach der Entdeckung eines Angriffs

Cyberangriffe gehören längst zum Alltag – nicht nur bei Großkonzernen, sondern gerade bei kleinen und mittleren Unternehmen sowie Privatpersonen. Ransomware, Phishing, kompromittierte E-Mail-Konten oder unbemerkte Schadsoftware verursachen jedes Jahr enorme Schäden. Das eigentliche Problem ist dabei oft nicht der Angriff selbst, sondern das falsche Verhalten danach.

Dieser Leitfaden zeigt detailliert und verständlich, was nach der Entdeckung eines Cyberangriffs zu tun ist – von den ersten Minuten bis zur nachhaltigen Absicherung für die Zukunft.

Ganzheitliche Cybersecurity: Prävention, Erkennung und Reaktion.

Phase 1: Die ersten Minuten – richtig reagieren statt Panik

Warum die Anfangsphase entscheidend ist

In den ersten Minuten nach der Entdeckung eines Angriffs entscheidet sich:

• ob sich Schadsoftware weiter im Netzwerk ausbreitet

• ob Daten endgültig verloren gehen

• ob Beweise für die Ursachenanalyse erhalten bleiben

Unüberlegte Handlungen – wie das sofortige Ausschalten von Systemen – können den Schaden massiv vergrößern.

1. Ruhe bewahren und Situation einschätzen

Ein Cyberangriff löst fast immer Stress aus. Pop-ups, gesperrte Dateien oder verdächtige E-Mails erzeugen Handlungsdruck. Dennoch gilt:

Keine überstürzten Aktionen.

Was nicht sofort getan werden sollte:

• Rechner hart ausschalten

• Programme „aufräumen“ oder löschen

• eigenständig Antiviren-Scans starten

• Dateien aus Backups zurückspielen

All das kann:

• Beweise vernichten

• Angreifer alarmieren

• die Analyse erschweren

2. Betroffene Systeme konsequent vom Netzwerk trennen

Der wichtigste Sofortschritt ist die Netzwerkisolation.

Maßnahmen:

• Netzwerkkabel abziehen

• WLAN deaktivieren

• VPN-Verbindungen trennen

• Mobile Geräte in den Flugmodus versetzen

Wichtig: Das System bleibt eingeschaltet, wird aber isoliert.

Ein laufendes System liefert wertvolle Informationen über:

• aktive Prozesse

• Netzwerkverbindungen

• laufende Schadsoftware

Ziel: Ausbreitung stoppen, Status erhalten

3. Interne Kommunikation sofort regeln

In Unternehmen ist Kommunikation entscheidend.

Mitarbeiter müssen wissen:

• dass ein Sicherheitsvorfall vorliegt

• dass sie sich nicht mehr anmelden dürfen

• dass keine E-Mails geöffnet oder beantwortet werden

Ein einfacher Hinweis genügt:

„Verdacht auf IT-Sicherheitsvorfall. Bitte keine Anmeldungen oder Systemnutzung bis auf Weiteres.“

So verhindert man:

• weitere Infektionen

• Passwortabflüsse

• ungewollte Datenveränderungen

Phase 2: Überblick gewinnen & Beweise sichern

4. Angriff sorgfältig dokumentieren

Dokumentation ist kein Bürokratie-Thema, sondern essenziell für:

• IT-Forensik

• Versicherung

• DSGVO-Meldungen

• spätere Sicherheitsmaßnahmen

Festhalten sollte man:

• Zeitpunkt der Entdeckung

• Art der Auffälligkeit (z. B. verschlüsselte Dateien, Erpressermeldung)

• betroffene Geräte, Benutzerkonten und Dienste

• auffällige E-Mails oder Links

• letzte bekannte „normale“ Systemnutzung

📸 Screenshots sind hilfreich – ohne zu klicken oder zu interagieren.

5. Passwörter noch nicht ändern – ein häufiger Fehler

Viele Betroffene ändern reflexartig sofort alle Passwörter. Das ist verständlich – aber oft kontraproduktiv.

Warum?

• Angreifer könnten noch Zugriff haben

• Keylogger oder Remote-Zugänge könnten aktiv sein

• Neue Passwörter könnten abgefangen werden

Die Regel lautet:👉 Erst absichern, dann Passwörter ändern

Phase 3: Fachliche & rechtliche Schritte

6. IT-Sicherheitsprofis hinzuziehen

Cyberangriffe sind kein DIY-Projekt.

Ein professioneller IT-Dienstleister übernimmt:

• Analyse der Angriffsart

• Eindämmung und Bereinigung

• Ursachenanalyse

• Unterstützung bei der Wiederherstellung

Je früher Profis eingebunden werden, desto:

• geringer der Schaden

• kürzer der Ausfall

• sauberer die Wiederherstellung

7. Datenschutz & Meldepflichten prüfen (DSGVO)

Sobald personenbezogene Daten betroffen sein könnten, greift die DSGVO.

Dazu zählen:

• Kundendaten

• Mitarbeiterdaten

• E-Mails

• Login-Informationen

👉 In vielen Fällen besteht eine Meldepflicht innerhalb von 72 Stunden bei der Datenschutzbehörde.

Eine strukturierte Dokumentation hilft hier enorm.

8. Ransomware & Erpressung – warum Zahlen keine Lösung ist

Bei Ransomware fordern Angreifer Lösegeld. Trotzdem gilt klar:

❌ Nicht zahlen

Gründe:

• Keine Garantie für Entschlüsselung

• Risiko von Folgeerpressung

• Unterstützung krimineller Strukturen

• Teilweise rechtliche Risiken

Der bessere Weg:

• Systeme bereinigen

• Backups prüfen

• Daten kontrolliert wiederherstellen

Phase 4: Saubere Wiederherstellung

9. Systeme neu aufsetzen – kompromisslos

Ein infiziertes System gilt als nicht vertrauenswürdig.

Best Practice:

• Betriebssystem neu installieren

• Sicherheitsupdates einspielen

• Nur notwendige Software installieren

Danach:

• Daten aus geprüften, sauberen Backups zurückspielen

10. Passwörter & Zugänge strukturiert erneuern

Jetzt ist der richtige Zeitpunkt für:

• Benutzerpasswörter

• Administrator-Zugänge

• E-Mail-Konten

• Cloud-Dienste

• VPN-Zugänge

Empfohlen:

• starke, einzigartige Passwörter

• Passwortmanager

• Multi-Faktor-Authentifizierung

Phase 5: Lernen & absichern

11. Ursachenanalyse

Nur wer den Einstiegspunkt kennt, kann sich schützen.

Häufige Ursachen:

• Phishing-E-Mails

• fehlende Updates

• schwache Passwörter

• offene Remote-Zugänge

• ungeschulte Benutzer

Diese Analyse ist der wichtigste Schritt zur Prävention.

12. Sicherheitsstrategie verbessern

Nach einem Angriff sollten Sicherheitsmaßnahmen neu bewertet werden:

• Backup-Strategie (Offline & immutable)

• Patch-Management

• E-Mail-Sicherheit

• Zugriffskonzepte

• Mitarbeiterschulungen

• Notfall- & Incident-Response-Pläne

Fazit

Ein Cyberangriff ist eine ernste Situation – aber kein unlösbares Problem. Wer strukturiert vorgeht, Beweise sichert und professionelle Hilfe einbindet, kann:

• Schäden begrenzen

• Daten retten

• zukünftige Angriffe verhindern

Vorbereitung ist der beste Schutz.