Das Wichtigste in Kürze
- Goldene Regel Nr. 1: Systeme niemals ausschalten! Beim Ausschalten gehen flüchtige Speicherinhalte (RAM) und damit entscheidende Spuren der Angreifer für immer verloren. Netzkabel ziehen oder WLAN deaktivieren genügt.
- Meldepflichten beachten: Betreiber kritischer Infrastrukturen müssen binnen 24 Stunden das BACS (Art. 74b ISG) informieren; bei Gefährdung von Personendaten muss der EDÖB (nDSG) unverzüglich benachrichtigt werden.
- Backups schützen: Trennen Sie verbleibende Offline- und Cloud-Backups sofort physisch vom Netzwerk.
- Lösegeld zahlen? Behörden (BACS, fedpol) und Sicherheitsexperten raten dringend davon ab: Es gibt keine Garantie für Entschlüsselung, und man finanziert die nächste Angriffswelle.
1. Das Sofortprotokoll: Die ersten 60 Minuten
Wenn ein Ransomware-Befall festgestellt wird, regiert oft Panik. Strukturiertes Handeln ist jetzt die halbe Rettung:
Schritt 1: Netzwerkverbindungen trennen (Nicht ausschalten!)
Ziehen Sie an allen betroffenen und verdächtigen Computern und Servern das Netzwerkkabel. Schalten Sie WLAN- und Bluetooth-Verbindungen ab. Trennen Sie standortübergreifende VPN-Tunnel und Internet-Uplinks am Router. Wichtig: Lassen Sie die Geräte eingeschaltet laufen! Im Arbeitsspeicher (RAM) befinden sich unverschlüsselte Schlüsselreste, IP-Adressen der Angreifer-Command-and-Control-Server und aktive Malware-Prozesse, die Forensiker für die Rettung benötigen.
Schritt 2: Backups sofort sichern und isolieren
Kriminelle versuchen fast immer vor der Verschlüsselung, alle erreichbaren Sicherungen zu löschen (z. B. via Schattenkopien oder Backup-Konsolen-Zugriff). Trennen Sie externe Festplatten, NAS-Systeme und Cloud-Synchronisationen sofort physisch vom Netzwerk, um noch intakte Snapshots zu bewahren.
Schritt 3: Krisenstab und alternative Kommunikationskanäle etablieren
Verwenden Sie für die interne Abstimmung keinesfalls das kompromittierte E-Mail-System oder interne Teams-Kanäle (Angreifer lesen oft mit!). Richten Sie eine Signal- oder Threema-Gruppe auf privaten Smartphones ein oder nutzen Sie ein dediziertes Notfall-Telefon.
2. Die Stunden 2 bis 12: Schadensanalyse und Meldewesen
| Instanz | Zuständigkeit | Frist & Kontakt |
|---|---|---|
| BACS (Bundesamt für Cybersicherheit) | Gesetzliche Meldepflicht nach ISG für kritische Infrastrukturen & IT-Dienstleister. | Innert 24 Stunden: Online-Meldeformular via bacs.admin.ch oder Notfall-Telefon. |
| EDÖB (Eidg. Datenschutzbeauftragter) | Meldepflicht nach nDSG bei drohendem Missbrauch von Personendaten. | Unverzüglich nach Bekanntwerden der Datenverletzung (Data Breach). |
| Kantonspolizei / fedpol | Strafanzeige, Erpressungsermittlung, Koordination. | Cybercrime-Abteilung der jeweiligen Kantonspolizei. |
| Cyberversicherung | Freigabe von Forensik-Budgets, Verhandlungsexperten, PR-Unterstützung. | Notfall-Hotline der Assekuranz (sofort vor Beauftragung eigener Dienstleister!). |
3. Die Stunden 12 bis 24: Forensik und Wiederanlauf-Strategie
Bevor an ein Zurückspielen von Daten gedacht werden kann, muss die Ursache («Patient Zero») zweifelsfrei geklärt sein. Wer das Backup in ein noch infiziertes Netzwerk einspielt, wird binnen Stunden erneut verschlüsselt.
- Einstiegsvektor identifizieren: War es eine Phishing-Mail, eine offene VPN-Schwachstelle oder ein gestohlener RDP-Zugang?
- Active Directory bereinigen: Haben die Angreifer versteckte administrative Benutzer («Golden Tickets») angelegt?
- Saubere Wiederaufbau-Infrastruktur: Kritische Server werden in einer isolierten Quarantäne-Zone (Clean Room) neu installiert und aus geprüften, vor dem Angriff erstellten Backups bestückt.
4. Das Lösegeld-Dilemma: Warum Zahlen fast immer schadet
Laut Statistiken des BACS und internationalen Studien erhalten bis zu 35 % der Organisationen, die Lösegeld zahlen, ihre Daten trotzdem nicht vollständig zurück. Zudem werden zahlende Opfer auf Untergrund-Foren als «zahlungsbereit» markiert und oft binnen sechs Monaten von einer anderen Bande erneut attackiert.
Laufender Cyberangriff oder Verdacht auf Vorfall?
Melden Sie sich umgehend bei unserem Incident Response Notfallteam oder sichern Sie Ihre Aussenfläche präventiv ab.
