Was tun nach einem Cyberangriff? Der 24-Stunden-Plan für KMU

Nach einem Cyberangriff in einem KMU zählen die ersten 24 Stunden. Es gilt, Systeme zu isolieren, Zugriffe abzusichern, Spuren zu doku­men­tieren, Zuständigkeiten und Kommuni­kations­wege zu klären sowie die betroffenen IT-Systeme in einer sicheren Reihenfolge wieder betriebsfähig zu machen. Wer so handelt, begrenzt Schäden und Ausfallzeiten deutlich, stoppt Dominoeffekte und senkt damit die Folgerisiken. 

Ein Cyberangriff beginnt selten in dem Moment, in dem ihn ein Unternehmen bemerkt. Häufig sind Angreifende bereits im E-Mail-Konto, in einer Cloud-Anwendung oder auf einem Endgerät aktiv, bevor für ein KMU die ersten Auffälligkeiten sichtbar sind. Genau deshalb meint die Formu­lierung «erste 24 Stunden» nicht den technischen Start des Angriffs, sondern die erste kritische Phase ab dem Zeitpunkt, an dem das Unternehmen den Vorfall erkennt oder ernsthaft vermutet.

Ein Angriff kann nachts starten und mehrere Stunden unbe­merkt bleiben. Ein Ransomware-Vorfall zeigt sich zunächst manchmal nur als einzelner Dateifehler oder nachdem sich die Angreifer mit ihren Forderungen melden. Ein kompro­mittiertes Microsoft-365-Konto fällt oft erst auf, wenn Kunden merk­würdige Nachrichten melden. 

Für KMU ist diese Unterscheidung entscheidend. Die ersten Stunden nach der Entdeckung prägen den weiteren Verlauf. Ein hektischer Neustart von Servern, ein vorschnelles Zurücksetzen von Konten oder unkoor­dinierte Informationen an Kunden verschärfen den Schaden oft zusätzlich. Ein geordneter Ablauf bringt das Unternehmen schneller zurück in eine handlungs­fähige Lage und stellt die Cyber Security wieder her.

Woran erkennt ein KMU einen Cyberangriff oft zuerst?

Viele Unternehmen erwarten beim Thema Cyberangriff eine klare Lösegeldforderung, einen schwarzen Bildschirm oder einen Totalausfall der Systeme. In der Realität beginnt die Alarmphase oft unspektakulär. Ein Kunde meldet eine seltsame E-Mail. Eine Mitarbeiterin erhält unerwartete Anfragen für Multifaktor-Authen­ti­fizierungen (MFA). Ein Administrator entdeckt eine ungewohnte Weiter­leitungs­regel im Postfach. Oder Rechnungen tauchen plötzlich mit geänderten Kontodaten erneut auf.

Gerade diese unscheinbaren Anzeichen sind gefährlich, weil Mitarbeitende sie leicht als Einzelfall interpretieren können. Wer in dieser Phase zu lange zuwartet, verliert Zeit. Wer hingegen mehrere Hinweise als möglicherweise zusammenhängend wahrnimmt, erkennt schneller ein eigentliches Muster und typische Warnsignale:

• Verdächtige MFA-Anfragen oder Anmeldungen aus ungewohnten Ländern
  
  
• Merkwürdige E-Mails im Namen des eigenen Unternehmens
  
  
• Erneut versendete Rechnungen mit geänderter IBAN
  
  
• Plötzlich unlesbare oder verschlüsselte Dateien
  
  
• Unbekannte Weiter­leitungs­regeln im E-Mail-System
  
  
• Ungewöhnliches Verhalten von Admin-Konten
  
  
• Auffällige Exporte oder Downloads grosser Datenmengen
  
  

Besonders heikel sind kompro­mittierte E-Mail- und Microsoft-365-Konten. Wenn Angreifende Zugriff auf ein echtes Geschäftskonto haben, können sie Kommunikation mitlesen, Lieferanten täuschen, Zahlungs­frei­gaben beeinflussen und Informationen aus HR oder Finance missbrauchen. Genau deshalb reicht bei einem verdächtigen Konto ein schneller Passwortwechsel oft nicht aus.

1. Was ist in der ersten Stunde zu tun?

In den ersten 60 Minuten geht es nicht darum, bereits alles zu verstehen. Entscheidend ist, Bewegung aus dem Angriff zu nehmen. Systeme, Konten und Verbindungen dürfen nicht einfach weiterlaufen, bis genügend Klarheit herrscht, sonst gewinnt die angreifende Seite Zeit.

Die wichtigste Regel lautet deshalb: zunächst eingrenzen, erst danach reparieren. Ein KMU sollte in dieser Stunde vor allem die offensichtlich betroffenen Systeme trennen, kompro­mittierte Konten sperren und eine kleine, handlungsfähige Führungsrunde bilden. In vielen Unternehmen sind das Geschäfts­lei­tung, interne IT oder externer IT-Partner und je nach Fall Verantwortliche für Datenschutz, Recht oder Betrieb.

Konkret bedeutet das, verdächtige Endgeräte vom LAN und WLAN zu nehmen, kompro­mittierte Benutzerkonten auf eine Sperrliste zu setzen, VPN- oder Fern­wartungs­zugänge zu prüfen und erste Auffälligkeiten zu dokumentieren. Dazu gehören Screenshots, Uhrzeiten, Logins, Fehlermeldungen und Benutzerhinweise. Diese Informationen wirken in der Hektik des ersten Moments oft nebensächlich, sind später aber zentral für Analyse, Versicherung und allfällige Anzeige.

Was ein KMU in der ersten Stunde nicht tun soll

Viele Unternehmen reagieren zunächst mit überstürztem Aufräumen: Sie setzen Systeme neu auf, bereinigen Mailboxen oder löschen Logdaten. Genau dies vernichtet wertvolle Spuren und erschwert spätere Abklärungen. Folgende Schritte sollten in dieser ersten Phase nach Entdeckung des Cyberangriffs bewusst unterbleiben:

• Betroffene Systeme nicht vorschnell neu aufsetzen
  
  
• Logfiles nicht löschen
  
  
• Kompromittierte Mailboxen nicht «aufräumen»
  
  
• Verdächtige Dateien nicht ohne Sicherung entfernen
  
  
• Keine flächendeckenden Passwortwechsel ohne Priorisierung starten
  
  

Wer nach einem Cyberangriff an einen Tisch gehört

Ein Cyberangriff ist kein reines IT-Thema. Er betrifft Führung, Kommunikation, Finanzen und oft auch Verträge oder Personendaten. Deshalb braucht ein KMU jetzt keine grosse Sitzung, sondern die richtigen Rollen in einem kompakten Krisenteam:

• Geschäftsleitung für Prioritäten und Entscheidungen
  
  
• IT-Verantwortlicher (wenn vorhanden) für Eindämmung und technische Analyse
  
  
• Externer IT-Partner für zusätzliche Ressourcen und Spezialwissen
  
  
• Finanzen für Zahlungsprozesse und Rechnungsprüfung
  
  
• Kundenkontakt und Kommunikations­verant­wortlicher für Rückfragen und die proaktive Kommunikation nach aussen
  
  
• Datenschutzverantwortliche oder juristische Fachperson, sobald Personendaten im Raum stehen
  
  

2. Welche Entscheidungen fallen in Stunde 2 bis 4?

Sobald die akute Ausbreitung gestoppt ist, braucht das Unternehmen ein belastbares erstes Lagebild. Jetzt geht es um Ausbreitung und Auswirkungen. Ein KMU muss wissen, ob nur ein einzelner Arbeitsplatz betroffen ist oder ob sich der Vorfall bereits auf Server, Dateiablagen, Cloud-Dienste, Zahlungs­prozesse oder Kunden­schnitt­stellen ausgedehnt hat.

Gerade in dieser Phase hilft eine klare Fragelogik. Wer alles gleichzeitig prüft, verliert Tempo. Wer sich zuerst auf Identitäten, Kommunikation und Geldflüsse konzentriert, reduziert die grössten Risiken am schnellsten. Besonders im Microsoft-365-Umfeld reicht ein einfacher Pass­wort­wechsel selten aus. Es braucht den Blick auf Weiter­leitungs­regeln, versendete Nachrichten, neue Apps, verdächtige Geräte und privilegierte Rollen. In dieser Phase können zum Beispiel folgende Prüffragen relevant sein:

• Welche Systeme sind betroffen?
  
  
• Ist nur ein Arbeitsplatz kompromittiert oder auch ein Server?
  
  
• Sind E-Mail, Microsoft 365 oder Dateiablagen betroffen?
  
  
• Gibt es Hinweise auf Datenabfluss?
  
  
• Wurden Kunden-, Personal- oder Lieferantendaten berührt?
  
  
• Sind Backups vorhanden und intakt?
  
  

Gerade bei Ransomware-Attacken (Schadsoftware mit Erpressung durch Angreifer) zeigt sich in dieser Phase, wie wichtig saubere Backups und ein belastbarer Disaster Recovery Plan sind. Ein Unternehmen braucht neben der eigentlichen Daten­siche­rung auch Gewissheit darüber, welche Sicherung sauber ist, wie schnell eine Wieder­her­stellung möglich ist und welche Systeme zuerst Priorität haben. Genau dort schliesst der 24-Stunden-Plan an eine vorgängig aufbereitete Business-Continuity-Planung an: Die technische Analyse und die betriebliche Priorisierung müssen parallel laufen. 

Wann spielen externe Ansprechpartner einer Rolle?

Spätestens nach den ersten technischen Sofort­mass­nahmen rückt die formelle Seite nach. Nicht jedes KMU steht sofort vor denselben gesetzlichen Pflichten. Trotzdem braucht jedes Unternehmen eine nachvollziehbare Entscheidung darüber, wen es jetzt sinnvoll einbezieht. Sobald Zahlungen manipuliert worden sein könnten, gehört die Bank auf die Liste. Sobald Verträge, Personendaten oder sensible Kunden­infor­mationen betroffen sein könnten, braucht es eine datenschutzrechtliche und rechtliche Einordnung.

In vielen Fällen zählt vor allem die Reihenfolge. Zuerst das Lagebild, danach die gezielte Eskalation. Eine Bank profitiert früh von einem konkreten Hinweis auf mögliche Konten- oder Rechnungs­manipulation. Kunden profitieren früh von einer Warnung, wenn missbrauchte E-Mail-Konten im Umlauf sind. Interne Teams profitieren früh von eindeutigen Anweisungen, welche Systeme vorerst tabu bleiben.

3. Was ist ab Stunde 5 bis 24 nach dem Cyberangriff zu tun?

Nach den ersten Abklärungen folgt die geordnete Stabilisierung. Viele Unternehmen wollen an diesem Punkt so schnell wie möglich wieder zur Normalität zurück. Genau dort lauert ein weiterer Fehler. Nicht alles muss sofort wieder laufen. Sinnvoller ist es, den Betrieb kontrolliert wieder handlungs­fähig zu machen und die wichtigsten Prozesse in der richtigen Reihenfolge abzusichern.

Für viele KMU haben sich in dieser Phase dieselben Prioritäten bewährt. Zuerst zählt die Erreichbarkeit. Danach folgen Dokumente, Daten und Zahlungs­prozesse. Anschliessend kommen Kundenservice und operative Kernabläufe. Sekundäre Systeme und Komfortfunktionen stehen weiter hinten.

• Kommunikation und Erreichbarkeit
  
  
• Zugriff auf kritische Dokumente und Daten
  
  
• Finanz- und Zahlungsprozesse
  
  
• Kundenservice und operative Kernabläufe
  
  
• Sekundäre Systeme und Komfortfunktionen
  
  

Parallel dazu braucht es eine klare interne Kommunikation. Mitarbeitende müssen wissen, welche Systeme vorerst tabu bleiben, welche Passwörter geändert wurden und wer für Rückfragen zuständig ist. Extern zählen bestätigte Informationen. Spekulation, Schönfärberei und zu frühe Entwarnung sind zu vermeiden, denn sie schaffen neue Risiken.

In dieser Phase zeigt sich auch, wie eng Business Continuity und Disaster Recovery zusammenhängen. Business Continuity hält kritische Geschäftsprozesse wie Erreichbarkeit, Angebotswesen, Rechnungsfreigaben oder Zugriff auf HR-Unterlagen aufrecht. Disaster Recovery sorgt dafür, dass technische Grundlagen wie Server, Dateiablagen, Microsoft-365-Dienste oder Backup-Stände in einer sinnvollen Reihenfolge zurückkommen.

Welche Fehler kosten in den ersten 24 Stunden eines Cyberangriffs am meisten Zeit und Geld?

Nicht jeder Schaden entsteht durch den Angriff selbst. Ein erheblicher Teil entsteht durch die falsche Reaktion darauf. Besonders häufig sind zwei Extreme: zu langes Abwarten und hektischer Aktionismus. Wer wartet, gibt der angreifenden Seite Zeit. Wer übereilt reagiert, zerstört Spuren oder verschlechtert die Ausgangslage.

Häufige Fehler:

• Zu langes Abwarten, weil der Vorfall noch «nicht ganz sicher» scheint
  
  
• Vorschnelles Neuaufsetzen betroffener Systeme
  
  
• Kompromittierte Postfächer nur oberflächlich bereinigen
  
  
• Zahlungsprozesse und offene Rechnungen nicht sofort prüfen
  
  
• Kunden oder Partner zu spät informieren
  
  
• Den Vorfall als reines IT-Problem behandeln
  
  

Wie bereitet ein KMU den Ernstfall besser vor?

Der grösste Vorteil entsteht nicht im Angriff selbst, sondern davor. Ein KMU mit sauberem Rollenmodell, funktionierender MFA, definierten Alarmwegen, getesteten Backups und abgestimmten Kommunika­tions­wegen reagiert deutlich ruhiger. Gerade in Microsoft 365 lohnt sich die Vorbereitung besonders: alte Freigaben bereinigen, Admin-Rollen prüfen, Weiterleitungen kontrollieren, Offline-Backups testen und die Disaster Recovery einmal realistisch durchspielen.

Auch externe Unterstützung kann hier einen grossen Unterschied machen. Ein auf Cyber Security spezialisierter IT-Partner ist in der Lage, bei Cyberattacken professionell vorzugehen. Mit proaktiven Managed-Service-Modellen wie Managed Cyber Security oder Managed M365 Security und eigener Mission Control erkennen IT-Dienstleister wie etwa care4IT sich anbahnende Cybergefahren frühzeitig. So können sie zeitnah entsprechende Gegenmassnahmen ergreifen, noch bevor sich eine eigentliche Cyberattacke ereignet.