Erpressungsfall vorbereitet: Sechs Entscheidungen, die vor dem Notfall feststehen

Montagmorgen, siebzehnte Datei mit neuer Endung, daneben die Lösegeldnote: Ab jetzt läuft die Uhr. Was jetzt noch schiefgehen kann, wurde allerdings nicht an diesem Montag entschieden, sondern Monate zuvor. Das BSI meldet für den Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025 nach Erkenntnissen des BKA 950 angezeigte Ransomware-Angriffe, 80 Prozent davon gegen kleine und mittlere Unternehmen, und es betont: Backups sind unverzichtbar, helfen aber nicht gegen Datenleaks. Der Verlauf eines Erpressungsfalls hängt an sechs Vorentscheidungen. Wer sie getroffen hat, verhandelt in Ruhe. Wer sie nicht getroffen hat, improvisiert unter Zeitdruck, und genau das ist der teure Teil.

1. Wer entscheidet, wer spricht, wer zahlt

Die unangenehmsten Minuten eines Erpressungsfalls sind Minuten ohne Entscheidungsträger. Klären Sie deshalb vorab, schriftlich und mit Namen: Wer entscheidet über Produktionsstopp und Netztrennung, wer über das Abschalten von Verbindungen, wer gegenüber Presse und Kunden spricht, und wer überhaupt Kontakt zur Gegenstelle aufnehmen darf. Bei der letzten Frage empfiehlt sich ein vorab vertraglich gebundener Spezialist: Wer im Ernstfall zum ersten Mal eine Adresse in einem Tor-Browser sucht, macht Fehler, die man kaufen kann.

Zwei Punkte werden fast immer vergessen. Erstens die Vertretung: Jede Rolle braucht eine zweite Person, und beide brauchen Nummern, die auch ohne Firmennetz funktionieren, plus die Eintragung in einer schlichten Urlaubsliste, die gedruckt außerhalb des Servers liegt. Zweitens die Vollmacht: Wer darf was ohne Rückfrage, und bis zu welcher Höhe? Wenn die Klärung der Zuständigkeit den halben Tag kostet, war die Organisationsfrage Teil des Schadens.

2. Meldeketten festlegen, bevor die Frist läuft

Pflichten kommen von mehreren Seiten gleichzeitig. Für Unternehmen im Anwendungsbereich der NIS2 gilt das staffelige Meldesystem nach BSIG: Erstwarnung innerhalb von 24 Stunden, Erstbericht innerhalb von 72 Stunden, Abschlussbericht einen Monat nach der Erstwarnung. War ein Abfluss personenbezogener Daten möglich, läuft parallel die 72-Stunden-Frist der DSGVO zur Meldung an die Aufsichtsbehörde. Dazu kommen Vertragsfristen: Cyberversicherer schreiben unverzügliche Meldung vor, manche über eine vorgeschriebene Hotline mit vorgeschriebenem Dienstleister. Und nach innen brauchen Betriebsrat und Mitarbeitende früh eine verlässliche Linie statt Gerüchte.

Am besten pflegen Sie dafür eine Melde-Matrix: Ein Blatt, wer meldepflichtig ist, an wen, auf welchem Weg, mit welchen Nummern. Der CERT-Bund nimmt Meldungen auch ohne Registrierung entgegen, das meldet Ihnen nichts ab, hilft aber bei der Einordnung. Wenn Ihr Haus bereits Nachweispflichten strukturiert angeht, passt unsere Einordnung der NIS2-Nachweispflichten als Einstieg.

3. Wiederanlaufreihenfolge: Stunde 1, Stunde 8, Stunde 72

Ein Backup zu haben ist die eine Sache. In welcher Reihenfolge Systeme zurückkommen, ist die andere, und sie entscheidet, wie lange der Stillstand dauert. Legen Sie deshalb je System schriftlich fest, ob es in Stunde 1 laufen muss, in Stunde 8 oder bis Stunde 72 warten kann, also die Wiederanlaufzeit (RTO). Ein bewährtes Gerüst für den Mittelstand:

Das ist ein Beispiel, keine Norm: Ein Hersteller mit Papierwerkshalle ordnet anders als eine Praxis mit Terminsystem. Entscheidend ist, dass die Reihenfolge an einem Ort steht, wo sie auch ohne Domänencontroller lesbar ist. Der Rest der Kette ist Handwerksarbeit: erst den Schadenherd finden und sichern, dann räumen; wir haben das beim Webshell-Notfall vorgemacht, die Logik ist dieselbe.

4. Wie alt Daten sein dürfen: der RPO, und was die Sicherung liefert

Die Wiederanlaufzeit sagt, wie schnell Systeme zurück sind. Die Recovery Point Objective (RPO) sagt, wie viel Datenverlust Sie unterwegs akzeptieren: Bei einem RPO von 24 Stunden ist der Stand von gestern Mittag der beste, den Sie bekommen, und der Unterschied zu vier Stunden entscheidet über Nacharbeit in Stunden oder Tagen. Prüfen Sie die RPO je System gegen das, was Ihre Sicherung tatsächlich liefert, nicht gegen das, was der Jobname verspricht. Snapshot ist nicht gleich Sicherungskopie, und ein Sicherungsjob, der seit Wochen auf Fehler läuft, ist eine Gewohnheit, keine Sicherung. Woran Sie den Erfolg messbar machen, haben wir in Sicherungen überwachen beschrieben: die Zahl der gültigen Restore-Punkte ist das Maß, nicht die Erfolgs-Mail vom Abend.

Die Regeln, die das BSI seit Jahren empfiehlt, laufen darauf hinaus: mehrere Kopien, verschiedene Medien, eine Kopie außer Haus, eine offline oder unveränderlich, und kein Fehler im regelmäßigen Tests. Genau diese letzte Null ist die eigentliche Kernfrage: Niemand weiß, was der letzte Test ergeben hat.

5. Getrennte Wiederherstellungsumgebung, inklusive Test und Abnahme

Ein Erpresser, der es bis zur Sicherungskonsole geschafft hat, löscht Restore-Punkte als Erstes, die Angriffsberichte der vergangenen Jahre sind sich darin einig. Der Schutz ist eine Wiederherstellungsumgebung, die vom Tagesnetz getrennt ist: eigene Credentials, die auf keiner Arbeitsstation liegen, unveränderliche Kopien, und ein Inselpfad, über den ein Rücksicherungsversuch möglich ist, ohne das Produktionssystem zu infizieren. Fragen Sie Ihren Steuerungs- oder IT-Ausschuss zwei Sätze: Wann wurde zuletzt ein vollständiger Rücksicherungsfall auf einer Insel getestet, und wer hat das Ergebnis abgenommen? Wenn die Antworten ein Datum aus dem letzten Jahr und einen Namen haben, sind Sie vorbereiteter als die meisten Häuser, die wir kennen. Fehlt beides, ist das die sinnvollste Investition der nächsten zwei Quartale, vor jedem neuen Werkzeug.

6. Nachweis danach: Vorfallsdoku, Versicherung, Kundeninformation

Nach dem Vorfall beginnt die zweite Schicht: Jede Entscheidung braucht einen Zeitstempel, jede Maßnahme einen Verantwortlichen, jede Beobachtung einen Beleg. Das ist keine Bürokratie, sondern Ihr Eigenkapital gegenüber drei Adressaten: der Versicherung, die den Nachweis des ordentlichen Zustands vor und während des Vorfalls sehen will, der Aufsicht, die Fristen prüft, und den Kunden, die berechtigt fragen, was mit ihren Daten passiert ist. Wer erst nach der Säuberung zu protokollieren beginnt, dokumentiert das Chaos, nicht die Tat. Ein geführtes Vorfallsprotokoll, von der ersten Minute an, ist deshalb Teil der sechsten Entscheidung, nicht ihr Nachspiel. Wie Sie Nachweise überhaupt in angemessener Zeit zusammenbekommen, zeigen wir im Beitrag Nachweise in zwanzig Minuten.

Was Monitoring damit zu tun hat, ohne Werbesatz

Kein Monitoring verhindert die verschlüsselte Datei. Aber die Angriffe laufen, das zeigen die Berichte deutlich, über Tage: erst Zugang, dann Rechte, dann stiller Diebstahl, dann erst das laute Finale. Wer die Phasen davor sieht, entscheidet Stunden früher, und jede gewonnene Stunde zählt gegen die Punkte 3 bis 6. PRAEMON ist genau dafür gebaut: Windows-Ereignisse, Protokollketten, Backup-Zustände und Zugriffsmuster an einem Ort, ohne dass jemand Rohlogs wälzen muss. Wenn Sie bei null anfangen, sind die sechs Punkte des Beitrags die Reihenfolge. Wenn Sie schon alles haben, lohnt der Blick, ob die Punkte 4 und 5 die letzte Prüfung überstanden haben.

Redaktionsschluss-Hinweis: Meldefristen und BSI-Zahlen am 12.11.2026 an den Primärquellen geprüft; für die NIS2-Pflicht kommt es auf Ihren Sektor und Ihre Betroffenheitsprüfung an, dieser Beitrag ersetzt keine Rechtsberatung.