Sollen wir bei einem Ransomware-Angriff die Polizei einschalten?

Ja. Ransomware ist eine Straftat, eine Anzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) der Landeskriminalämter ist sinnvoll und für viele Cyber-Versicherungen Voraussetzung. Die Anzeige verhindert die Verschlüsselung nicht, ist aber für Versicherung und mögliche spätere Strafverfolgung wichtig.

Wie lange dauert die Wiederherstellung nach einem Ransomware-Angriff?

Mit unveränderlichen (immutable) Backups und einem definierten Wiederanlauf-Plan sind kritische Systeme schneller wieder verfügbar. Wie schnell, hängt von Datenmenge und Plan ab. Ohne saubere Backups oder mit unklarer Infektionsquelle können es drei Wochen oder mehr werden. Den Unterschied macht fast vollständig die Vorbereitung.

Reicht ein tägliches Cloud-Backup als Schutz gegen Ransomware?

Nein, wenn das Backup über dasselbe Konto erreichbar ist, das der Angreifer übernommen hat. Wirksam ist die Kombination aus mehreren Kopien (3-2-1-Regel), davon mindestens eine immutable und eine offline. Erst dann ist das Backup gegen einen Angreifer mit Admin-Rechten geschützt.

Wissen

Ransomware-Verdacht: die ersten 60 Minuten

82 % der Ransomware-Angriffe in Deutschland 2024 trafen KMU. Was in den ersten 60 Minuten passiert, entscheidet, ob Sie nach 48 Stunden wieder im Betrieb sind oder nach drei Wochen.

Bünyamin Pollin

Geschäftsführung & Technische Leitung

14.02.2026Aktualisiert 22.05.20264 Min Lesezeit

Inhalt

Ein verschlüsselter Bildschirm mit Lösegeldforderung ist ein Betriebsnotfall. Die nächsten 60 Minuten bestimmen, wie teuer er wird. Dieses Runbook ist für den Moment gedacht, in dem es passiert, und steht in der Reihenfolge, in der Sie handeln.

Sofort, bevor Sie weiterlesen

Trennen Sie betroffene Geräte vom Netzwerk: Netzwerkkabel ziehen, WLAN deaktivieren. Fahren Sie sie aber NICHT herunter. Ein Shutdown löscht flüchtige Speicher-Spuren, und genau die braucht die Forensik, um den Eintrittsweg zu finden.

Minute 0–5: Isolieren statt ausschalten

Ziel der ersten fünf Minuten ist Schadensbegrenzung. Ransomware breitet sich seitlich im Netzwerk aus. Jede Minute, die ein Gerät verbunden bleibt, kann weitere Systeme kosten. Isolation stoppt die Ausbreitung und lässt die Spuren intakt.

Betroffene Geräte vom Netz trennen
Netzwerkkabel ziehen, WLAN am Gerät deaktivieren. Bei mehreren betroffenen Systemen: den betroffenen Netzwerk-Switch oder VLAN isolieren.
Gemeinsame Laufwerke und Backup-Ziele trennen
NAS, Fileserver und Backup-Repositories vom Netz nehmen, bevor die Verschlüsselung sie erreicht. Cloud-Sync (OneDrive, Dropbox) pausieren, damit verschlüsselte Dateien nicht in die Cloud repliziert werden.
Nicht herunterfahren
Geräte im eingeschalteten Zustand belassen. RAM-Inhalte und laufende Prozesse sind für die Ursachenanalyse oft die einzige Spur.

Minute 5–15: Ausmaß feststellen

Bevor irgendetwas wiederhergestellt wird, brauchen Sie ein Lagebild. Notieren Sie alles schriftlich. Versicherung, Behörde und Forensik fragen später danach.

Welche Geräte zeigen die Lösegeldforderung? Welche laufen noch normal?
Welche Backups existieren, welche sind erreichbar, wann lief das letzte erfolgreiche Backup?
Welche Benutzerkonten waren zuletzt aktiv? Gibt es ungewöhnliche Admin-Anmeldungen?
Liegt eine Ransomware-Notiz (readme.txt o. ä.) vor? Fotografieren Sie sie, öffnen Sie keine enthaltenen Links.

Keine Zahlung ohne Beratung

Zahlen Sie nichts und kontaktieren Sie die Angreifer nicht eigenständig. Eine Zahlung garantiert keine Entschlüsselung, finanziert weitere Angriffe und kann je nach Empfänger rechtlich problematisch sein. Diese Entscheidung gehört in eine begleitete Krisenkommunikation.

Minute 15–30: Stakeholder und Meldepflichten

Jetzt werden die richtigen Menschen einbezogen. Parallel startet eine Uhr, die viele unterschätzen: Sind personenbezogene Daten betroffen, haben Sie nach Art. 33 DSGVO 72 Stunden Zeit, die zuständige Aufsichtsbehörde zu informieren.

Geschäftsführung informieren
Ein Ransomware-Vorfall ist Chefsache. Entscheidungen über Stilllegung, Kommunikation und ggf. Strafanzeige liegen bei der Leitung.
IT-Dienstleister oder Incident-Response aktivieren
Wenn Sie einen Managed-Service-Provider haben: dessen Notfallkontakt anrufen. Bei Visgenix-Kunden mit SLA Enterprise gilt die vereinbarte 24/7-Rufbereitschaft, sonst die Servicezeit der gebuchten SLA-Stufe.
Cyber-Versicherung prüfen
Viele Policen verlangen eine Meldung binnen weniger Stunden und schreiben bestimmte Forensik-Dienstleister vor. Eigenmächtige Wiederherstellung kann den Versicherungsschutz gefährden.
Meldepflichten klären
Bei Betroffenheit personenbezogener Daten: 72-Stunden-Frist zur Behördenmeldung. Die zuständige Stelle in Hessen ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

Minute 30–60: Backups prüfen, Wiederanlauf planen

Wiederherstellung ist verlockend, aber gefährlich, solange die Infektionsquelle unklar ist. Spielen Sie ein Backup auf ein noch kompromittiertes Netzwerk zurück, verschlüsselt der Angreifer es erneut.

Immutable und Offline-Backups identifizieren. Nur diese konnte ein Angreifer mit Admin-Rechten nicht überschreiben.
Integrität des letzten sauberen Backups prüfen (Datum vor dem mutmaßlichen Infektionszeitpunkt).
Wiederherstellungs-Reihenfolge festlegen: zuerst Domain-Controller und Identitäts-Systeme, dann geschäftskritische Anwendungen.
Erst wiederherstellen, wenn das Netzwerk bereinigt und die Eintrittsquelle geschlossen ist. Sonst wiederholt sich der Angriff.

Warum Immutable Backups hier zählen

Moderne Ransomware sucht gezielt nach Backup-Servern und verschlüsselt sie mit. Ein Immutable Backup lässt sich nach dem Schreiben für eine festgelegte Frist nicht mehr verändern, auch nicht mit vollen Admin-Rechten. Damit bleibt es als Wiederanlauf-Quelle übrig, wenn alles andere verschlüsselt ist.

Was Sie in den ersten 60 Minuten nicht tun sollten

Geräte nicht herunterfahren oder neu starten, damit flüchtige Spuren erhalten bleiben.
Keine verschlüsselten Dateien löschen. Eventuell gibt es später Entschlüsselungs-Tools.
Nicht eigenständig mit den Angreifern kommunizieren oder zahlen.
Keine Backups auf ein noch infiziertes Netzwerk zurückspielen.
Keine voreiligen Pauschal-Mails an alle Kunden. Krisenkommunikation erst abstimmen.

Vorher ist günstiger als nachher

Die 60-Minuten-Reaktion ist nur so gut wie die Vorbereitung. Mit Immutable Backups, einem getesteten Wiederanlauf und definierten Eskalationspfaden wird aus einem Totalausfall eine kontrollierte Unterbrechung. Bei Visgenix sind unveränderliche Backups Teil der IT-Betreuung. Wiederanlauf-Test und Eskalationspfade legen Sie vor dem Ernstfall fest.

Quellen

Häufige Fragen

Sollen wir bei einem Ransomware-Angriff die Polizei einschalten?
Ja. Ransomware ist eine Straftat, eine Anzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) der Landeskriminalämter ist sinnvoll und für viele Cyber-Versicherungen Voraussetzung. Die Anzeige verhindert die Verschlüsselung nicht, ist aber für Versicherung und mögliche spätere Strafverfolgung wichtig.
Wie lange dauert die Wiederherstellung nach einem Ransomware-Angriff?
Mit unveränderlichen (immutable) Backups und einem definierten Wiederanlauf-Plan sind kritische Systeme schneller wieder verfügbar. Wie schnell, hängt von Datenmenge und Plan ab. Ohne saubere Backups oder mit unklarer Infektionsquelle können es drei Wochen oder mehr werden. Den Unterschied macht fast vollständig die Vorbereitung.
Reicht ein tägliches Cloud-Backup als Schutz gegen Ransomware?
Nein, wenn das Backup über dasselbe Konto erreichbar ist, das der Angreifer übernommen hat. Wirksam ist die Kombination aus mehreren Kopien (3-2-1-Regel), davon mindestens eine immutable und eine offline. Erst dann ist das Backup gegen einen Angreifer mit Admin-Rechten geschützt.

Umsetzung durch Visgenix

IT-Notfall jetzt oder Vorsorge vor dem Ernstfall?

Wenn gerade etwas brennt: rufen Sie an, 069 870017580 (Mo–Fr 09:00–18:00). Zur Vorsorge: IT-Betreuung mit unveränderlichen (immutable) Backups, 24/7-Monitoring und Reaktionszeiten nach SLA-Stufe.

IT-Betreuung

← Zurück zur Wissensdatenbank