Ein verschlüsselter Datei-Server am Montagmorgen, ein kompromittiertes Microsoft-365-Konto oder auffällige Zahlungen im Buchhaltungssystem: In solchen Momenten entscheidet nicht allein die Technik. Wer einen Notfallplan für Cyberangriffe erstellen will, schafft vor allem Klarheit für die ersten kritischen Stunden. Denn unter Zeitdruck entstehen Fehler, wenn Zuständigkeiten, Kommunikationswege und Wiederanlauf nicht vorher festgelegt sind.

Für mittelständische Unternehmen, Schulen, Gemeinden oder Einrichtungen ohne große interne IT-Abteilung ist das besonders relevant. Ein Sicherheitsvorfall kann die Arbeit ganzer Teams stoppen, sensible Daten gefährden und das Vertrauen von Kundinnen, Kunden oder Bürgern belasten. Ein praxistauglicher Plan sorgt dafür, dass Ihr Betrieb handlungsfähig bleibt – auch dann, wenn zentrale Systeme gerade nicht verfügbar sind.

Warum ein Notfallplan mehr ist als ein IT-Dokument

Ein Cyberangriff ist kein einzelnes, immer gleich ablaufendes Szenario. Ransomware kann Daten verschlüsseln und Backups angreifen. Phishing kann einzelne Konten übernehmen und sich über Postfächer weiterverbreiten. Ein gestohlenes Notebook, eine falsch konfigurierte Cloud-Freigabe oder ein kompromittierter Dienstleister können ebenfalls Auslöser sein.

Darum darf ein Notfallplan nicht nur aus technischen Anweisungen bestehen. Er muss festlegen, wer Entscheidungen trifft, wer Systeme isoliert, wer Beweise sichert und wer intern sowie extern kommuniziert. Auch die Fachbereiche brauchen Orientierung: Wie werden Aufträge, Pflege- oder Verwaltungsprozesse, Unterricht oder Kassenbetrieb vorübergehend fortgeführt? Welche Informationen dürfen Mitarbeitende weitergeben und welche nicht?

Der Plan muss nicht hundert Seiten lang sein. Im Ernstfall wird er von Menschen genutzt, die gleichzeitig unter Druck stehen. Präzise Checklisten, eindeutige Rufnummern, aktuelle Zugänge und klare Entscheidungsschwellen helfen mehr als allgemeine Formulierungen wie „IT informieren“.

Notfallplan für Cyberangriffe erstellen: Die Grundlagen

1. Kritische Geschäftsprozesse priorisieren

Beginnen Sie nicht bei der Firewall, sondern bei Ihrem Betrieb. Welche Prozesse müssen innerhalb weniger Stunden weiterlaufen? In einem Handwerksbetrieb können das Einsatzplanung, Kommunikation mit Baustellen und Rechnungsdaten sein. In einer Arztpraxis stehen Praxissoftware, Terminvergabe und der sichere Zugriff auf Patientendaten im Mittelpunkt. Für eine Gemeinde können Fachverfahren, E-Mail-Kommunikation und Bürgerdienste besonders kritisch sein.

Ordnen Sie die Prozesse nach ihrer maximal tolerierbaren Ausfallzeit. Manche Systeme dürfen nur wenige Stunden ausfallen, andere einen oder zwei Tage. Daraus leiten Sie Wiederanlaufprioritäten ab. Diese Prioritäten verhindern, dass im Incident alle gleichzeitig versuchen, „alles“ zu reparieren.

Berücksichtigen Sie Abhängigkeiten. Ein Dokumentenmanagementsystem nützt wenig, wenn die Benutzerverwaltung nicht funktioniert. VoIP-Telefonie kann ausfallen, obwohl Internet und Arbeitsplätze noch verfügbar sind. Wer diese Ketten kennt, kann Ersatzwege definieren – etwa Mobiltelefone, vorbereitete Offline-Formulare oder einen alternativen Kommunikationskanal.

2. Ein Incident-Team mit Vertretungen festlegen

Im Notfall braucht es eine kleine, handlungsfähige Gruppe. Dazu gehören in der Regel Geschäftsführung oder Leitung, IT-Verantwortliche beziehungsweise der externe IT-Partner, eine Person für Kommunikation sowie je nach Branche Datenschutz, Personal oder Fachbereichsleitung. Entscheidend ist nicht die Anzahl, sondern die Verfügbarkeit und Entscheidungsbefugnis.

Halten Sie für jede Rolle mindestens eine Vertretung fest. Urlaubszeit, Krankheit oder ein Angriff außerhalb der Geschäftszeiten sind keine Ausnahmefälle. Die Kontaktdaten sollten nicht ausschließlich auf dem betroffenen Server oder im E-Mail-Postfach liegen. Eine geschützte, offline verfügbare Kontaktliste gehört in jeden Notfallordner.

Definieren Sie außerdem klar, wer welche Entscheidung treffen darf. Wer kann etwa einen Standort vom Netzwerk trennen? Wer beauftragt forensische Unterstützung? Wer entscheidet über eine Information an Kunden? Solche Entscheidungen müssen schnell, aber nicht kopflos getroffen werden.

3. Die ersten 60 Minuten konkret beschreiben

Die erste Stunde dient der Eindämmung und der Lageklärung. Mitarbeitende sollten verdächtige E-Mails, ungewöhnliche Anmeldeaufforderungen, plötzlich verschlüsselte Dateien oder fremde Software nicht selbst „wegklicken“ oder weiterleiten. Sie melden den Vorfall über einen vorher definierten Weg.

Das Incident-Team bewertet dann, was tatsächlich betroffen ist. Dazu gehören betroffene Benutzerkonten, Geräte, Server, Cloud-Dienste und Standorte. Systeme können gezielt vom Netzwerk getrennt, Konten gesperrt und Sitzungen beendet werden. Dabei gilt: Nicht vorschnell ganze Umgebungen abschalten, wenn dadurch wichtige Spuren verloren gehen oder der Betrieb unnötig vollständig stillsteht. Bei einer möglichen aktiven Ausbreitung ist schnelles Isolieren jedoch wichtiger als Komfort.

Dokumentieren Sie jede Maßnahme mit Uhrzeit, verantwortlicher Person und Beobachtung. Diese Chronologie ist später für technische Analyse, Versicherungsfragen, Datenschutzmeldungen und die interne Aufarbeitung wertvoll. Screenshots, Log-Dateien und verdächtige E-Mails sollten gesichert werden, ohne sie weiter auszuführen oder zu verändern.

Kommunikation steuern, Vertrauen schützen

Schweigen schafft Unsicherheit, ungesicherte Aussagen schaffen neue Risiken. Deshalb braucht der Plan vorbereitete Kommunikationswege. Intern sollten Mitarbeitende wissen, ob sie Geräte weiter nutzen dürfen, wie sie erreichbar bleiben und an wen sie Beobachtungen melden. Eine kurze, klare Anweisung ist wirksamer als Spekulationen in Gruppen-Chats.

Extern hängt die Kommunikation vom Vorfall ab. Sind personenbezogene Daten betroffen, müssen Datenschutzpflichten geprüft werden. Vertragliche Meldepflichten gegenüber Kunden, Banken, Versicherungen oder Behörden können hinzukommen. Bei kritischen Infrastrukturen und bestimmten Branchen gelten zusätzliche Anforderungen. Lassen Sie rechtliche Bewertungen bei schwerwiegenden Vorfällen durch die zuständigen Fachstellen begleiten.

Wichtig ist ein Freigabeprozess: Nur benannte Personen geben Auskünfte nach außen. Das schützt nicht nur die Reputation, sondern auch die technische Untersuchung. Angreifer nutzen öffentliche Informationen manchmal gezielt, um ihre nächsten Schritte anzupassen.

Wiederherstellung: Sicher zurück statt schnell zurück

Die Wiederherstellung beginnt nicht mit dem Einspielen irgendeines Backups. Zuerst muss geklärt werden, über welchen Weg der Angriff erfolgte und ob dieser geschlossen ist. Sonst wird ein bereinigtes System direkt erneut kompromittiert.

Prüfen Sie Backups auf Vollständigkeit, Alter und Integrität. Idealerweise gibt es getrennte, unveränderbare Sicherungen sowie regelmäßige Tests der Wiederherstellung. Ein Backup, das nur theoretisch existiert, ist keine belastbare Absicherung. Für kritische Anwendungen sollten Sie wissen, wie lange eine Rücksicherung realistisch dauert und welche Daten seit der letzten Sicherung fehlen könnten.

Stellen Sie Systeme in der zuvor festgelegten Reihenfolge wieder her: Identitäts- und Benutzerverwaltung, Netzwerkgrundlagen, zentrale Server und Anwendungen, anschließend Arbeitsplätze und weniger kritische Dienste. Nach jeder Stufe gehören Sicherheitsprüfungen dazu. Neue Passwörter, Mehrfaktor-Authentifizierung, aktualisierte Systeme und eine Überprüfung von Berechtigungen sind häufig Teil des sicheren Neustarts.

Eine Lösegeldzahlung ist kein Wiederherstellungsplan. Sie garantiert weder die Entschlüsselung noch die Löschung kopierter Daten. Ob und wie in einer konkreten Lage gehandelt wird, ist eine rechtliche, wirtschaftliche und sicherheitsrelevante Einzelfallentscheidung. Der beste Handlungsspielraum entsteht lange vorher: durch getestete Backups, segmentierte Netzwerke und professionelle Unterstützung.

Aus dem Vorfall lernen – und den Plan trainieren

Auch der beste Plan verliert an Wert, wenn Telefonnummern veraltet sind, Systeme wechseln oder neue Cloud-Dienste hinzukommen. Prüfen Sie ihn mindestens einmal jährlich und nach jeder größeren Veränderung Ihrer IT-Landschaft. Ein Wechsel der Telefonie, ein neues Fachverfahren oder die Einführung von Microsoft 365 verändert möglicherweise auch Ihren Notfallablauf.

Noch wichtiger sind Übungen. Dafür muss kein kompletter Betrieb stillgelegt werden. Ein 60-minütiges Szenario reicht oft aus: Ein Mitarbeitendenkonto wurde per Phishing übernommen – was passiert jetzt, wer wird informiert, welche Konten werden geprüft und wie bleibt die Kommunikation funktionsfähig? Solche Tests zeigen schnell, ob Rollen, Zugänge und Entscheidungswege wirklich funktionieren.

Nach einem echten Vorfall oder einer Übung folgt eine kurze, ehrliche Nachbesprechung. Was hat funktioniert? Wo gab es Wartezeiten? Welche Information fehlte? Daraus entstehen konkrete Verbesserungen statt eines Plans, der nur für Audits abgelegt wird.

Unterstützung, wenn interne Ressourcen knapp sind

Viele Organisationen haben keine eigene Security-Abteilung, müssen aber dennoch professionell reagieren können. Hier kann ein externer IT-Partner die Rolle im Notfallteam übernehmen: mit Monitoring, klaren Eskalationswegen, Backup-Konzepten, Dokumentation und Unterstützung bei der Wiederherstellung. IT4YOU verbindet diese Bausteine mit der laufenden IT-Betreuung, damit Sicherheitsmaßnahmen und betriebliche Anforderungen nicht getrennt voneinander betrachtet werden.

Ein guter Notfallplan nimmt einem Cyberangriff nicht jede Wirkung. Er sorgt aber dafür, dass aus einem technischen Vorfall keine unkontrollierbare Betriebskrise wird. Legen Sie Verantwortlichkeiten fest, testen Sie Ihre Wiederherstellung und besprechen Sie den ersten kritischen Anruf, bevor er tatsächlich kommt.