Ransomware-Notfallplan für KMU: Leitfaden

Ein Montagmorgen, mehrere Mitarbeitende können keine Dateien mehr öffnen, am Bildschirm steht eine Lösegeldforderung. In diesem Moment entscheidet nicht die Qualität der letzten Sicherheitsfolie, sondern ob ein Ransomware-Notfallplan für KMU vorhanden ist und ob ihn die richtigen Personen kennen. Wer erst im Ernstfall Zuständigkeiten, Passwörter und Backups sucht, verliert wertvolle Zeit.

Ransomware trifft nicht nur große Konzerne. Gerade kleinere Betriebe sind betroffen, weil sie auf funktionierende E-Mails, Auftragsdaten, Buchhaltung, Produktionsunterlagen oder Terminpläne angewiesen sind. Ein Angriff kann den Betrieb für Stunden oder Tage ausbremsen. Dieser Leitfaden zeigt, welche Entscheidungen vorab getroffen werden müssen und wie Sie im Vorfall strukturiert handeln.

Was ein Ransomware-Notfallplan für KMU leisten muss

Ein Notfallplan ist kein umfangreiches IT-Handbuch, das in einer Schublade liegt. Er ist eine kurze, praxistaugliche Anleitung für einen Ausnahmezustand. Er beantwortet drei Fragen: Wer entscheidet? Was wird sofort getan? Wie kommt der Betrieb kontrolliert wieder in Gang?

Für ein Unternehmen mit 5 bis 100 Mitarbeitenden sollte der Plan auf wenigen Seiten verständlich sein. Die Geschäftsführung muss darin ebenso zurechtkommen wie jene Person, die intern für IT zuständig ist. Technische Details wie Wiederherstellungsreihenfolgen können als eigener Anhang beim IT-Partner liegen. Entscheidend ist, dass die Handlungsfähigkeit nicht an einer einzelnen Person oder deren Handy hängt.

Ein guter Plan berücksichtigt auch, dass nicht jede Störung Ransomware ist. Ein Ausfall des Internetanschlusses, ein defekter Server oder ein kompromittiertes Microsoft-365-Konto brauchen unterschiedliche Maßnahmen. Wer Verdachtsfälle zu früh als harmlos abtut, riskiert jedoch, dass sich ein Angreifer weiter im Netzwerk bewegt.

Die ersten 60 Minuten: Schaden begrenzen statt hektisch reagieren

Sobald Verschlüsselungsmeldungen auftauchen, Dateien plötzlich andere Endungen haben oder sich ungewöhnliche Anmeldeversuche häufen, gilt: Nicht weiterarbeiten und nicht experimentieren. Jede unkoordinierte Aktion kann Beweise zerstören oder die Ausbreitung beschleunigen.

Trennen Sie betroffene Geräte sofort vom Netzwerk. Das bedeutet: Netzwerkkabel ziehen, WLAN deaktivieren und gegebenenfalls die Verbindung zu Netzlaufwerken unterbrechen. Schalten Sie Geräte nicht automatisch aus. Ein laufendes System kann für die Analyse wichtige Hinweise enthalten. Ob ein Gerät heruntergefahren werden soll, entscheidet idealerweise die zuständige IT-Fachperson nach der ersten Einschätzung.

Informieren Sie danach die im Plan benannten Personen über einen vorab definierten Kanal, etwa telefonisch. Verlassen Sie sich nicht allein auf E-Mail oder Microsoft Teams, wenn diese Systeme möglicherweise betroffen sind. Die Geschäftsführung sollte früh eingebunden sein, weil sie betriebliche Prioritäten festlegt: Welche Prozesse müssen zuerst wieder laufen? Welche Kunden oder Lieferanten sind zu informieren? Wer darf extern kommunizieren?

Die erste Lagebeurteilung braucht keine perfekte technische Diagnose. Sie sollte festhalten, wann der Vorfall entdeckt wurde, welche Geräte auffällig sind, welche Systeme erreichbar bleiben und welche Konten zuletzt verwendet wurden. Screenshots der Lösegeldforderung, Uhrzeiten und Fehlermeldungen helfen später bei der Analyse.

Klare Rollen verhindern Stillstand

In kleinen Unternehmen übernimmt eine Person oft mehrere Aufgaben. Das ist normal, aber im Notfall riskant. Deshalb braucht der Plan nicht viele Rollen, sondern eindeutige Vertretungen.

Die Geschäftsführung trifft Entscheidungen mit geschäftlicher und rechtlicher Tragweite. Dazu gehören die Priorisierung des Betriebs, die Freigabe externer Kommunikation und die Abstimmung mit Versicherung, Rechtsberatung oder Behörden. Die technische Einsatzleitung koordiniert Analyse, Sperren von Konten und Wiederherstellung. Diese Rolle kann intern besetzt sein, häufig übernimmt sie aber der betreuende IT-Partner.

Eine dritte Rolle verantwortet die Kommunikation mit Mitarbeitenden. Sie stellt sicher, dass niemand aus Unsicherheit auf verdächtige E-Mails antwortet, private USB-Sticks verwendet oder Informationen nach außen gibt. Bei einem kleinen Team können diese Aufgaben bei zwei Personen liegen. Wichtig ist nur: Namen, Mobilnummern und Stellvertretungen stehen im Plan und sind auch außerhalb der IT-Systeme verfügbar.

Backup ist nur dann ein Rettungsnetz, wenn es wiederherstellbar ist

Viele Unternehmen haben Backups. Weniger Unternehmen wissen, ob diese nach einem Angriff tatsächlich funktionieren. Das ist ein entscheidender Unterschied. Wenn ein Angreifer Administratorrechte erlangt, kann er auch erreichbare Sicherungen löschen oder verschlüsseln.

Für geschäftskritische Daten braucht es getrennte, geschützte Sicherungen und regelmäßige Wiederherstellungstests. Dazu zählen nicht nur Serverdaten, sondern auch Microsoft 365: E-Mails, OneDrive, SharePoint und Teams-Daten. Microsoft stellt die Plattform bereit, ersetzt aber kein durchgängiges, auf Ihre Aufbewahrungsanforderungen abgestimmtes Backup.

Definieren Sie außerdem realistische Wiederanlaufziele. Die Buchhaltung muss möglicherweise innerhalb eines Tages verfügbar sein, ein Archiv kann warten. Ein vollständiges System wiederherzustellen dauert länger als einzelne Daten zurückzuholen. Wer diese Reihenfolge vorher festlegt, vermeidet Diskussionen unter Druck.

Ein kurzer Test pro Quartal ist oft sinnvoller als ein großes Versprechen auf Papier. Dabei wird nicht nur geprüft, ob Daten zurückkommen, sondern auch ob Zugänge, Anleitungen und Zuständigkeiten stimmen. Cloudschmiede begleitet solche Tests bei betreuten Umgebungen so, dass daraus konkrete Verbesserungen entstehen und kein theoretischer Auditbericht.

Konten und Zugriffe: Den Angreifer wirklich aussperren

Die Wiederherstellung von Daten reicht nicht aus, wenn der ursprüngliche Zugang offen bleibt. Häufig beginnt ein Ransomware-Vorfall mit einem gestohlenen Kennwort, einer täuschend echten E-Mail oder einem ungeschützten Fernzugriff.

Nach einem bestätigten oder ernsthaft vermuteten Vorfall müssen betroffene Benutzerkonten gesperrt und privilegierte Zugänge besonders geprüft werden. Kennwörter sollten kontrolliert zurückgesetzt werden, beginnend bei Administrationskonten. Mehrstufige Anmeldung schützt dabei nicht absolut, erschwert den Missbrauch aber deutlich. Prüfen Sie auch Weiterleitungsregeln in Postfächern, neu angelegte Konten und ungewöhnliche Anmeldungen.

Hier zeigt sich der Wert einer sauber verwalteten Microsoft-365-Umgebung. Sind Geräte zentral erfasst, Sicherheitsrichtlinien dokumentiert und Administratorrechte knapp vergeben, lässt sich ein Vorfall gezielter eingrenzen. Sind Konten, Geräte und Zugänge über Jahre gewachsen, dauert allein die Bestandsaufnahme oft zu lange.

Kommunikation ohne Spekulation

Ein Angriff erzeugt schnell Gerüchte. Mitarbeitende wollen wissen, ob sie arbeiten dürfen. Kunden fragen, warum sie keine Antwort erhalten. Die richtige Kommunikation ist ehrlich, knapp und abgestimmt.

Intern genügt zunächst eine klare Anweisung: Verdächtige Geräte nicht verwenden, keine Passwörter eigenständig ändern, keine externen Anfragen beantworten und Beobachtungen an eine benannte Stelle melden. Extern sollten Sie nur bestätigte Informationen teilen. Aussagen wie „Es wurden sicher keine Daten entwendet“ sind riskant, solange die Analyse läuft.

Ob eine Meldung an Behörden oder betroffene Personen erforderlich ist, hängt unter anderem davon ab, ob personenbezogene Daten betroffen sein könnten und welche Pflichten für Ihr Unternehmen gelten. Bei Datenschutzvorfällen bestehen enge Fristen. Auch NIS2 beziehungsweise die österreichische Umsetzung kann je nach Branche und Größe zusätzliche Anforderungen auslösen. Klären Sie diese Fragen früh mit fachkundiger Unterstützung, statt sie erst nach der technischen Bereinigung anzusehen.

Lösegeldforderung: Keine Entscheidung aus Panik

Eine Lösegeldforderung ist ein Druckmittel, keine Garantie. Selbst wenn ein Entschlüsselungswerkzeug geliefert wird, können Daten unvollständig bleiben, Systeme weiter kompromittiert sein oder Informationen bereits abgeflossen sein. Zudem kann eine Zahlung rechtliche und versicherungsrechtliche Fragen aufwerfen.

Die Entscheidung darf daher nicht bei jener Person liegen, die die Nachricht am Bildschirm sieht. Der Notfallplan sollte festhalten, wer einbezogen wird: Geschäftsführung, technische Einsatzleitung, Cyberversicherung, Rechtsberatung und gegebenenfalls Behörden. Parallel dazu muss die technische Analyse weiterlaufen. Gute Backups und eine klare Wiederherstellungsstrategie schaffen erst den Handlungsspielraum, eine Forderung nicht aus Existenzangst beurteilen zu müssen.

Den Plan vor dem Ernstfall üben

Ein Ransomware-Notfallplan wird erst durch Übung brauchbar. Dafür braucht es keine aufwendige Simulation. Nehmen Sie sich einmal im Jahr 60 bis 90 Minuten und spielen Sie ein realistisches Szenario durch: Ein Mitarbeitender öffnet einen Anhang, ein Server wird auffällig, die Auftragsdaten sind nicht erreichbar.

Prüfen Sie dabei vier Punkte: Erreichen Sie alle Verantwortlichen? Wissen Mitarbeitende, wen sie informieren? Können Sie ein wichtiges System aus dem Backup wiederherstellen? Und liegen die Kontaktdaten sowie Zugänge auch dann vor, wenn E-Mail und Dateiablagen ausfallen? Jede offene Frage gehört anschließend als konkrete Aufgabe auf die Liste.

Sicherheit entsteht nicht dadurch, dass ein Plan perfekt formuliert ist. Sie entsteht, wenn Verantwortlichkeiten klar sind, Backups getestet werden und die Geschäftsführung auch unter Druck entscheiden kann. Genau dafür sollte Ihr Notfallplan da sein: damit ein Angriff den Betrieb trifft, aber nicht Ihre Handlungsfähigkeit nimmt.