Ransomware im Unternehmen: die ersten 24 Stunden Schritt für Schritt

Die Antwort sofort: Trennen Sie befallene Rechner umgehend vom Netz — Kabel ziehen, WLAN abschalten. Den Rechner, auf dem die Verschlüsselung gerade läuft, hart ausschalten; Rechner, auf denen sie bereits abgeschlossen ist, getrennt weiterlaufen lassen, sie können forensische Spuren enthalten. Löschen Sie nichts, installieren Sie nichts neu und schließen Sie keine Backups an, solange Sie nicht geprüft haben, dass sie sauber sind und dass der Weg, über den der Angreifer hereinkam, geschlossen ist. Zahlen Sie am ersten Tag kein Lösegeld aus Panik — ohne Diagnose wissen Sie nicht, was sich anders wiederherstellen lässt. Verschlüsselte Daten ohne Backup gehören ins Labor, nicht in Experimente.

Montagmorgen, die Buchhaltung kann keine Rechnungen mehr öffnen, die Dateien auf dem Server tragen eine seltsame Endung und in jedem Ordner liegt eine Textdatei mit der Anleitung, wohin die Zahlung gehen soll. Das ist kein Szenario für Konzerne mit eigenem Sicherheitsteam — es passiert Firmen mit fünf, zwanzig, fünfzig Beschäftigten. Die folgenden 24 Stunden entscheiden, ob Sie der Vorfall Tage an Arbeit kostet oder die Existenz der Daten, auf denen das Unternehmen steht. Dieser Text ist ein Vorgehen für Inhaber und Geschäftsführer kleiner Firmen, die keinen Sicherheitsspezialisten haben.

Warum das auch eine Firma mit zwanzig Beschäftigten betrifft

Laut dem Fachmagazin Professional Computing hat sich die Zahl der bekannten Ransomware-Opfer in Tschechien im Jahresvergleich verdoppelt: 12 Firmen im ersten Quartal 2026 gegenüber 6 im gleichen Zeitraum 2025. Und das sind nur die öffentlich bekannten Fälle — Vorfälle bei kleinen Firmen tauchen in Statistiken meist gar nicht auf, weil niemand sie an die Öffentlichkeit bringt. Aktive Gangs wie Gentlemen, Akira oder Qilin zielen auf Fertigung, Technologiefirmen und Handel — also genau auf das Segment, in dem die Sicherheit typischerweise an einem einzigen externen IT-Dienstleister hängt.

Der Einstiegsweg ist dabei fast immer banal: in 42 % der Fälle ein erratenes schwaches Passwort, dazu ein ins Internet geöffneter Remotedesktop (RDP) und nicht aktualisierte Systeme.

Wie das in der Praxis aussieht, zeigte ein publik gewordener Fall aus Brünn: Eine Baufirma mit 25 Beschäftigten hatte auf dem Server mit Remotedesktop das Passwort „stavba123”. Ergebnis — über 500 000 CZK Schaden, zwei Wochen bis zur Wiederherstellung des Betriebs und der unwiederbringliche Verlust von drei Jahren Projektdokumentation. Kein Zero-Day, kein ausgefeilter Angriff. Ein schwaches Passwort auf einem ins Internet gestellten Dienst.

Stunde 0–1: isolieren, aber nicht alles ausschalten

Die erste Stunde hat ein einziges Ziel: die Ausbreitung stoppen. Ransomware kriecht von einem Rechner über freigegebene Ordner, verbundene Laufwerke und Domänenkonten auf weitere Rechner und Server.

  1. Trennen Sie befallene Rechner vom Netz. Netzwerkkabel ziehen, WLAN abschalten. Das ist der erste und wichtigste Schritt — Verschlüsselung auf einem Rechner ist ärgerlich, ein verschlüsseltes Gesamtnetz ist eine Katastrophe.
  2. Den Rechner, auf dem die Verschlüsselung gerade läuft, hart ausschalten. Erkennbar an der wachsenden Zahl von Dateien mit fremder Endung und an ausgelasteten Datenträgern. Jede Minute Laufzeit bedeutet weitere verschlüsselte und gelöschte Originale.
  3. Rechner, auf denen bereits verschlüsselt wurde, weiterlaufen lassen — getrennt. Im Arbeitsspeicher können Verschlüsselungsschlüssel und Spuren des Angreifers verbleiben, die eine forensische Analyse nutzen kann. Beim Ausschalten gehen sie verloren.
  4. Trennen Sie NAS und externe Backup-Datenträger. Sind die Backups als Netzwerkfreigabe eingebunden, hat der Angreifer sie als Erstes verschlüsselt oder gelöscht. Was getrennt ist, ist sicher — schließen Sie es nicht „zur Kontrolle” wieder an.
  5. Erwägen Sie, die gesamte Firma vom Internet zu trennen. In einem kleineren Netz ist es am sichersten, das WAN-Kabel aus dem Router zu ziehen. Der Angreifer verliert damit den Fernzugriff.
  6. Fotografieren Sie die Bildschirme mit der Zahlungsaufforderung. Text, Dateiendungen und Kontaktadressen der Angreifer werden für die Identifikation der Variante und für die Meldung gebraucht.
  7. Schreiben Sie eine Zeitleiste mit. Wann wem was aufgefallen ist, wer seitdem was getan hat. In zwei Stunden erinnert sich daran niemand mehr, und für Versicherung wie Polizei ist es wesentlich.

Stunde 1–4: Umfang und Variante feststellen

Erst wenn nichts weiter verschlüsselt wird, ergibt es Sinn, herauszufinden, was eigentlich passiert ist.

Gehen Sie Rechner für Rechner durch — einschließlich Servern, NAS und Rechnern von Leuten im Homeoffice. Sie suchen fremde Dateiendungen, Zahlungsaufforderungen und Rechner, die sich seltsam verhalten. Melden Sie sich dabei nicht mit dem Domänenadministrator an verdächtigen Rechnern an: Ist der Angreifer noch drin, schenken Sie ihm das wertvollste Konto der Firma.

Identifizieren Sie die Ransomware-Variante. Anhand der Dateiendung und des Texts der Aufforderung lässt sich die Familie über kostenlose Dienste wie ID Ransomware oder No More Ransom bestimmen. Für einen Teil älterer Kampagnen existieren öffentliche Entschlüsselungswerkzeuge — es lohnt sich, das zu prüfen, bevor Sie irgendetwas zahlen.

Prüfen Sie den Zustand der Backups — an einem sauberen, getrennten Rechner. Das ist die wichtigste Erkenntnis des ganzen Tages: Haben Sie ein funktionierendes Backup oder nicht? Achtung vor drei Fallen. Die Schattenkopien von Windows löscht Ransomware vor dem Verschlüsseln typischerweise, „Vorgängerversion wiederherstellen” wird also nicht funktionieren. Die Cloud-Synchronisation (OneDrive, Google Drive) hat brav auch die verschlüsselten Versionen übertragen — suchen Sie dort nach dem Versionsverlauf. Und ein Backup auf einem dauerhaft angeschlossenen Datenträger ist höchstwahrscheinlich genauso ausgegangen wie das Original; warum eine einzelne Kopie kein Backup ist, erklärt der Artikel über externe HDD und die 3-2-1-Regel.

Was Sie in den ersten Stunden vermeiden sollten

  • Löschen Sie keine verschlüsselten Dateien und versuchen Sie nicht, das System mit einem Virenscanner zu „säubern”. Bei etlichen Varianten lässt sich ein Teil der Daten forensisch wiederherstellen — jeder Schreibvorgang auf den Datenträger senkt diese Chance.
  • Installieren Sie nichts neu — weder Server noch Arbeitsplätze —, solange nicht klar ist, was von den Datenträgern zu retten ist und was Sie als Beweismittel brauchen.
  • Spielen Sie keine Backups in das befallene Netz zurück. Solange der Weg offen ist, über den der Angreifer hereinkam, verlieren Sie auch das Backup.
  • Kommunizieren Sie nicht in Panik mit den Angreifern. Eine Antwort in der ersten Stunde beschleunigt nichts, und unüberlegt zu verhandeln heißt schlecht zu verhandeln.
  • Zahlen Sie am ersten Tag kein Lösegeld. Darauf kommen wir noch zurück — aber die Entscheidung zahlen/nicht zahlen soll erst nach der Diagnose fallen, nicht aus Panik.

Wem der Vorfall zu melden ist

Meldepflichten werden in kleinen Firmen oft unterschätzt — dabei geht es um Bußgelder und um die Versicherungsleistung.

  • NÚKIB (tschechisches Amt für Cyber- und Informationssicherheit). Fällt Ihre Firma unter das neue Gesetz über Cybersicherheit (264/2025 Sb., in Kraft seit 1. 11. 2025) als Erbringer eines regulierten Dienstes, sind Sie verpflichtet, einen erheblichen Vorfall über das Portal an NÚKIB zu melden. Andere Firmen können den Vorfall freiwillig melden — NÚKIB nutzt die Daten, um weitere zu warnen. Ob Sie unter das Gesetz fallen, klären Sie besser vorher als während eines Vorfalls.
  • ÚOOÚ (tschechische Datenschutzbehörde). Hat der Angriff personenbezogene Daten betroffen (Löhne, Kunden, Bewerber — also fast immer), handelt es sich um eine Verletzung des Schutzes personenbezogener Daten nach der DSGVO. Das wird dem Úřad pro ochranu osobních údajů binnen 72 Stunden nach Feststellung gemeldet, es sei denn, ein Risiko für die betroffenen Personen ist unwahrscheinlich. Bei heutigen Angriffen, die Daten erst stehlen und dann verschlüsseln, sollten Sie sich auf diese Ausnahme nicht verlassen.
  • Policie ČR (tschechische Polizei). Erpressung und unbefugter Zugriff auf ein Computersystem sind Straftaten. Die Strafanzeige ist zugleich Grundlage für die Versicherung.
  • Versicherung. Haben Sie eine Cyberversicherung (oder auch nur eine Betriebsunterbrechungsversicherung), melden Sie den Vorfall unverzüglich — die Versicherungsbedingungen verlangen oft eine Meldung innerhalb weniger Stunden und die Abstimmung des weiteren Vorgehens.

Stunde 4–24: Wiederherstellung, aber in der richtigen Reihenfolge

Der größte Fehler der zweiten Phase: schnell alles wiederherstellen und weitermachen. Wenn Sie den Einstiegsweg nicht schließen, kommt der Angreifer zurück — diesmal auch für die Backups.

  1. Finden und schließen Sie den Einstiegsvektor. Offenes RDP, VPN ohne Zwei-Faktor, erratenes Passwort, nicht aktualisierter Server. Ohne diesen Schritt ist jede Wiederherstellung nur die Vorbereitung der Wiederholung.
  2. Ändern Sie alle Passwörter. Beginnen Sie mit dem Domänenadministrator, den Dienstkonten und dem VPN. Betrachten Sie alles als kompromittiert, was im Netz gespeichert war.
  3. Stellen Sie in eine saubere Umgebung wieder her. Befallene Rechner werden von sauberen Installationsmedien neu aufgesetzt, nicht „gesäubert”. Prüfen Sie Backups vor dem Einspielen auf einem isolierten Rechner.
  4. Legen Sie die Reihenfolge nach dem Geschäft fest. Zuerst das, wovon die Firma lebt: Buchhaltung, Fertigung, Lager, E-Mails. Der Rest wartet.
  5. Beobachten Sie das Netz die ersten Wochen. Rückkehrer in bereits einmal befallene Netze sind üblich — ein zweites Mal in eine Umgebung zu kommen, die sie kennen, ist für die Angreifer billig.

Wenn keine Backups da sind: was sich noch retten lässt

Das Szenario der Brünner Baufirma — kein Backup vorhanden oder genauso ausgegangen wie das Original — bedeutet nicht automatisch das Ende. Ransomware verschlüsselt Dateien typischerweise in eine neue Kopie und löscht das Original, statt es zu überschreiben. Auf Ebene des Dateisystems bleibt so ein Teil der ursprünglichen Daten physisch erhalten, bis etwas ihn überschreibt. Bei einem NAS können zudem Snapshots überlebt haben, sofern der Angreifer sie nicht gezielt gelöscht hat — den ganzen Mechanismus beschreiben wir im Artikel über Ransomware auf dem NAS, Vorgehen für Firmenserver im Text über Datenrettung vom Server.

Praktisch heißt das: verschlüsselte Datenträger stilllegen, nichts darauf schreiben und sie durch eine Diagnose laufen lassen. In unserem Brünner Labor ist die Diagnose kostenlos und unverbindlich — Sie erfahren, was von den Datenträgern real wiederherstellbar ist, noch bevor Sie entscheiden, ob es überhaupt sinnvoll ist, über Lösegeld zu reden. Es gilt: no recovery – no fee.

Warum man das Lösegeld nicht sofort zahlen sollte

Wir sagen nicht dogmatisch „niemals” — wir sagen „nicht am ersten Tag und nicht ohne Informationen”. Die Gründe:

  • Sie haben keine Garantie. Sie zahlen an Kriminelle; ein funktionierender Entschlüsselungsschlüssel ist nicht sicher, und bei einem Teil der Varianten beschädigt die Entschlüsselung die Daten.
  • Den Datendiebstahl macht die Zahlung nicht ungeschehen. Die meisten aktuellen Kampagnen stehlen die Daten zuerst und verschlüsseln erst danach (sogenannte Double Extortion). Mit der Zahlung verschwinden weder die Pflichten gegenüber dem ÚOOÚ noch das Risiko, dass die Daten trotzdem an die Öffentlichkeit gelangen.
  • Vielleicht geht es ohne Zahlung. Überlebende Backups, Snapshots, forensische Wiederherstellung gelöschter Originale oder ein öffentlicher Entschlüsseler — all das finden Sie mit einer Diagnose binnen Tagen heraus.
  • Wer zahlt, ist als zahlendes Ziel markiert. Und die Beträge sind nicht zufällig — die Angreifer kalibrieren sie so, dass sich das Zahlen für eine kleine Firma „lohnt”.

Das rationale Vorgehen: zuerst Diagnose und juristische Beratung, erst dann eine mögliche Entscheidung über die Zahlung als letzte Option.

Die nächsten 30 Tage: damit es sich nicht wiederholt

Ein Vorfall ist das stärkste Argument für die Ordnung, die vorher hätte da sein sollen. Das Minimum nach der Wiederherstellung:

  • RDP und Administrationsoberflächen nie direkt ins Internet — nur über VPN mit Zwei-Faktor-Authentifizierung.
  • Backups nach der 3-2-1-Regel mit mindestens einer Kopie offline oder unveränderbar (immutable) — also einer, die der Angreifer mit Adminrechten nicht löschen kann.
  • Updates und Überblick über das Netz. Ein nicht aktualisierter Server und ein vergessenes Gerät sind die zwei häufigsten Löcher; was so ein Überblick alles aufdeckt, beschreibt der Artikel über das Audit des Computernetzes.
  • Testwiederherstellung. Ein Backup, aus dem Sie nie etwas wiederhergestellt haben, ist bloß Hoffnung.

Und vor allem: Das alles muss jemand dauerhaft halten. Wenn Sie keinen eigenen IT-Mann haben, ist genau das der Inhalt unserer Leistung IT-Sicherheit für Unternehmen — vom Schließen der Einstiegsvektoren über überwachte Backups bis zum Plan, was zu tun ist, wenn etwas passiert. Billiger als ein zweiter Vorfall ist das allemal.

Häufige Fragen

Ransomware — was ist als Erstes zu tun?

Befallene Rechner vom Netz trennen (Kabel raus, WLAN aus), die laufende Verschlüsselung durch hartes Ausschalten des betroffenen Rechners stoppen und NAS sowie Backup-Datenträger abhängen. Erst dann den Umfang feststellen. Nichts löschen, nichts neu installieren, nicht zahlen.

Müssen wir den Vorfall melden, wenn wir eine kleine Firma sind?

An NÚKIB verpflichtend nur, wenn Sie unter das Gesetz über Cybersicherheit (264/2025 Sb.) fallen. Ein Abfluss personenbezogener Daten wird dem ÚOOÚ aber unabhängig von der Firmengröße binnen 72 Stunden gemeldet — und personenbezogene Daten (Löhne, Kunden) hat praktisch jede Firma.

Lassen sich verschlüsselte Daten ohne Zahlung wiederherstellen?

Oft zum Teil ja: aus überlebenden Backups und Snapshots, durch forensische Wiederherstellung gelöschter Originale, bei älteren Kampagnen mit einem öffentlichen Entschlüsseler. Der Umfang lässt sich nicht vorab versprechen — deshalb macht man eine Diagnose, bei uns kostenlos und unverbindlich.

Was kostet so ein Angriff eine kleine Firma?

Aus öffentlich beschriebenen tschechischen Fällen: die Brünner Baufirma über 500 000 CZK und zwei Wochen Ausfall, dazu der unwiederbringliche Verlust von drei Jahren Projektdokumentation. Die Kosten entstehen vor allem durch Stillstand und Wiederherstellung, nicht durch das Lösegeld.

Kommen die Angreifer zurück?

Das Risiko ist real, wenn Sie den Weg nicht schließen, über den sie hereinkamen, und die Passwörter nicht ändern. Deshalb wird in eine saubere Umgebung wiederhergestellt und das Netz nach dem Vorfall mehrere Wochen beobachtet.