Montagmorgen, kurz nach sieben. Der erste Mitarbeiter startet seinen Rechner, will die Angebotsvorlage öffnen – und bekommt eine Fehlermeldung. Die Datei heißt noch wie gestern, endet aber auf eine unbekannte Erweiterung. Im Ordner liegt eine Textdatei, die es vorher nicht gab. Darin steht, dass die Daten verschlüsselt sind und was das Entschlüsseln kosten soll.
Was in der nächsten Stunde passiert, entscheidet häufig darüber, ob der Betrieb in zwei Tagen wieder läuft oder in zwei Wochen. Nicht die Technik entscheidet das, sondern die Reihenfolge der Handgriffe.
Kleine Betriebe sind nicht zu klein für einen Angriff
Der Gedanke „bei uns gibt es doch nichts zu holen“ ist verbreitet und leider falsch. Im aktuellen Lagebericht des Bundesamts für Sicherheit in der Informationstechnik wurden für den Zeitraum Juli 2024 bis Juni 2025 rund 950 Anzeigen wegen Ransomware erfasst. Etwa 80 Prozent davon kamen von kleinen und mittleren Unternehmen. Bei rund 72 Prozent der Fälle wurden zusätzlich Daten abgezogen, nicht nur verschlüsselt.
Der Grund ist unspektakulär: Angriffe laufen automatisiert. Es wird nicht ausgewählt, es wird gescannt. Wer eine offene Lücke hat, wird gefunden – unabhängig von der Betriebsgröße. Und Lücken gibt es genug: Das BSI registrierte im selben Zeitraum durchschnittlich 119 neue Schwachstellen pro Tag.
Drei Reflexe, die die Lage verschlimmern
Neu starten. Der naheliegendste Griff ist der gefährlichste. Ein Neustart kann laufende Verschlüsselungsprozesse abschließen, Spuren im Arbeitsspeicher vernichten und Wiederherstellungspunkte überschreiben. Lassen Sie das Gerät an.
Zahlen recherchieren. Wer zahlt, finanziert die nächste Angriffswelle und hat keine Garantie. In vielen Fällen wird nur teilweise entschlüsselt – und die abgezogenen Daten bleiben trotzdem in fremder Hand.
Erstmal weiterarbeiten. „Das betrifft ja nur einen Rechner“ ist der Satz, nach dem sich der Schaden verdoppelt. Solange nicht geklärt ist, wie weit die Verschlüsselung reicht, arbeitet jeder weitere angemeldete Rechner potenziell mit.
Die erste Stunde, Schritt für Schritt
- Netzwerkverbindung trennen. Netzwerkkabel ziehen, WLAN ausschalten. Das Gerät selbst bleibt eingeschaltet.
- Nicht neu starten, nichts löschen. Auch die Erpresserdatei bleibt liegen – sie ist ein Hinweis darauf, womit Sie es zu tun haben.
- Andere Geräte prüfen und vom Netz nehmen. Betroffen ist selten nur ein Rechner. Auch Server und Netzwerkspeicher einbeziehen.
- Sicherungen physisch trennen. Externe Platten abziehen, Zugriff auf Backup-Systeme unterbrechen. Ransomware sucht gezielt nach erreichbaren Sicherungen.
- IT-Dienstleister anrufen. Nicht mailen – das E-Mail-System kann betroffen sein.
- Alles dokumentieren. Uhrzeit, betroffene Geräte, Wortlaut der Meldung, wer wann was getan hat. Das brauchen Sie später für Versicherung und Behörden.
- Meldepflichten prüfen. Dazu unten mehr.
Ein Backup ohne getesteten Restore ist kein Backup
An diesem Punkt zeigt sich, wie belastbar die Vorbereitung war. Und hier erleben wir die unangenehmsten Überraschungen: Die Sicherung lief jahrelang, aber niemand hat je versucht, etwas zurückzuholen. Dann fehlen Berechtigungen, das Sicherungsmedium war ebenfalls im Netz erreichbar, oder es wurde zwar der Server gesichert, nicht aber die Arbeitsplätze – wo ein Großteil der täglichen Arbeit liegt.
Deshalb gilt: Entscheidend ist nicht, ob Sie sichern, sondern ob Sie im Ernstfall zurückholen können. Das lässt sich nur durch eine testweise Wiederherstellung beantworten, nicht durch einen Blick ins Protokoll. Wie ein abgestuftes Konzept aus lokaler Sicherung, Auslagerung in ein Rechenzentrum und Microsoft-365-Backup aussieht, haben wir auf unserer Seite zur Datensicherung zusammengefasst.
Meldepflichten: die 72-Stunden-Frist
Sind personenbezogene Daten betroffen – Kundendaten, Personaldaten, Bewerbungen – kann eine Meldepflicht nach Art. 33 DSGVO greifen. Die Frist beträgt 72 Stunden ab Kenntnis des Vorfalls, sofern ein Risiko für die betroffenen Personen besteht. Bei hohem Risiko müssen zusätzlich die Betroffenen selbst informiert werden.
Ob im Einzelfall gemeldet werden muss, ist eine Bewertungsfrage und keine technische. Klären Sie das früh mit Ihrem Datenschutzbeauftragten oder anwaltlich – die Frist läuft, während Sie noch mit der Wiederherstellung beschäftigt sind. Unabhängig davon ist eine Anzeige bei der Polizei sinnvoll; viele Cyberversicherungen setzen sie voraus.
Dieser Abschnitt gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.Was passiert, wenn Sie uns anrufen
Wir fangen nicht mit dem Reparieren an, sondern mit dem Zuhören. Im ersten Schritt nehmen wir alles auf und verschaffen uns einen Überblick, was tatsächlich passiert ist: welche Geräte betroffen sind, wie weit die Verschlüsselung reicht, welche Sicherungen unangetastet sind und ab wann sie brauchbar sind. Erst wenn dieses Bild steht, wird entschieden, in welcher Reihenfolge wiederhergestellt wird.
Das klingt unspektakulär, ist aber der Punkt, an dem die meiste Zeit gewonnen oder verloren wird. Wer sofort anfängt, irgendetwas zurückzuspielen, riskiert, verschlüsselte Stände über brauchbare zu legen oder den Angriffsweg gleich mit wiederherzustellen.
Erreichbar sind wir über unsere Hauptnummer 05741 608912-0. Anrufe werden automatisch weitergeleitet – Sie müssen sich also keine zweite Nummer notieren.
Vorbereitung ist billiger als Wiederherstellung
Der Ernstfall ist der schlechteste Zeitpunkt, um herauszufinden, ob die Sicherung trägt. Wenn Sie nicht sicher sind, wie es um Ihre steht, ist der Datensicherungs-Check der schnellste Weg zu einer belastbaren Antwort: Wir prüfen Ihre bestehende Lösung, spielen testweise zurück und sagen Ihnen, wo es klemmt – unabhängig davon, wer sie eingerichtet hat.
Wenn Sie breiter ansetzen möchten, betrachtet der IT-Sicherheitscheck zusätzlich Zugriffsrechte, Patch-Stand, Netzwerktrennung und Notfalldokumentation.
Als IT-Systemhaus aus Lübbecke betreuen wir Unternehmen in Minden, Herford, Bad Oeynhausen und der Region OWL. Im Ernstfall sind wir schnell vor Ort – und im besten Fall müssen wir es nie sein.