Computer-Security durch die Cloud

Stand: August 2026

Einleitung – Was tun, wenn ein Ransomware-Angriff erkannt wird?

Ein Ransomware-Angriff stellt einen kritischen Vorfall dar, der sofortige Aufmerksamkeit erfordert. In der ersten Stunde entscheidet sich oft das Schicksal der Infrastruktur: Sind die Daten noch wiederherstellbar oder sind die Schäden irreversibel? Die ersten Minuten definieren die Triage-Phase, in der über Erfolg oder Totalausfall entschieden wird. Wer hier ungestüm handelt, riskiert nicht nur den Verlust flüchtiger Daten im Arbeitsspeicher, sondern auch die Vernichtung wertvoller Forensik-Spuren.

Dieser Leitfaden zeigt Ihnen konkrete Schritte, um die Ausbrechung zu stoppen und die Compliance zu wahren. Ein strukturierter Handlungsrahmen hilft dabei, den Fokus auf die Schadensbegrenzung zu legen, anstatt in der Panik unüberlegte Entscheidungen zu treffen. Dabei müssen sowohl technische als auch regulatorische Anforderungen präzise berücksichtigt werden.

Das BSI stuft Ransomware als „eine der größten Cyberbedrohungen für Staat, Wirtschaft und Gesellschaft“ ein – eine Einstufung, die sich 2024 durch die steigende Angriffszahlen weiter bestätigt hat. Laut aktuellen Branchenanalysen erfolgt der Eintritt über ein einzelnes kompromittiertes Endpoint – einen Desktop oder Server, dessen Zugänge durch gestohlene Credentials oder Phishing erschlossen wurden. Die offizielle BSI-Bedrohungslage verdeutlicht: Es genügt ein einziger erfolgreicher Angriff, um ein gesamtes Netzwerk zu lahmzulegen. Beachten Sie bei der Reaktion besonders die strengen gesetzlichen Vorgaben: Die NIS2-Richtlinie sieht eine Meldung an das BSI innerhalb von 24 Stunden vor, während die DSGVO bei personenbezogenen Daten eine Frist von 72 Stunden vorgibt. Wir greifen auf bewährte Best Practices zurück, um Ihnen eine klare Orientierung zu bieten. Ziel ist eine schnelle Stabilisierung und eine saubere Basis für die anschließende Wiederherstellung.

Bevor du startest: 3 Klärungsfragen

Bevor die ersten technischen Gegenmaßnahmen greifen, müssen IT-Verantwortliche eine schnelle Triage durchführen. Die erste Stunde nach der Entdeckung eines Vorfalls bildet die kritische Phase, in der die Weichen für die weitere Beweissicherung gestellt werden. Um den Umfang des Angriffs sowie die notwendige Ressourcenplanung präzise abzugrenzen, müssen drei zentrale Fragen unmittelbar geklärt werden. Diese Fragen dienen als Filter, um Chaos in der Stresssituation zu vermeiden und die richtigen Experten zu mobilisieren.

1. Welche Systeme sind konkret betroffen? Identifizieren Sie, ob sich der Angriff auf einzelne Endpunkte beschränkt oder bereits die zentrale Infrastruktur sowie Dateiserver erreicht hat. Eine schnelle Lokalisierung verhindert, dass die Isolation unnötiger Bereiche erfolgt, während andere Netzsegmente unbemerkt kompromittiert werden. Prüfen Sie dazu die EDR-Alerts und die Firewall-Logs auf auffällige lateral movements. Ein einzelner kompromittierter Desktop kann laut Arctic Wolf den Einstiegspunkt für eine sektorübergreifende Verschlüsselung darstellen.
2. Gibt es bereits Hinweise auf Verschlüsselung oder Lösegeldforderungen? Prüfen Sie, ob Dateien bereits unlesbare Endungen aufweisen oder bereits Ransom-Notes auf den Desktops erscheinen. Diese Information ist essenziell, um die Eskalationsstufe festzulegen und eine Ransomware-Soforthilfe einzuleiten. Die Dateierweiterung und der Inhalt der Ransom-Note erlauben oft die Zuordnung zur spezifischen Ransomware-Familie – ein Schritt, der die Suche nach einem funktionierenden Decryptor erheblich erleichtert, wie IS-ITS.org in seinem Reaktionsleitfaden beschreibt.
3. Wer ist im Unternehmen für die Incident Response verantwortlich? Mobilisieren Sie den Krisenstab oder das zuständige IT-Sicherheitsteam. Die Definition der Kommunikationswege ist entscheidend, um Informationen über die ersten 24 Stunden nach einem Ransomware-Angriff effizient zu koordinieren. Der VDMA-Notfallleitfaden empfiehlt, vorab einen fest definierten Krisenstab mit klaren Rollen zu benennen – inklusive externer IR-Partner, Rechtsberatung und Kommunikationsexperten.

Nur durch diese strukturierte Vorab-Analyse lässt sich eine geordnete Reaktion gewährleisten, die sowohl die technische Forensik als auch die regulatorischen Meldepflichten berücksichtigt.

Auswahlkriterium 1 – Systemisolierung ohne Herunterfahren

Die sofortige Isolation betroffener Systeme stoppt die seitliche Ausbreitung der Ransomware im Netzwerk. Trennen Sie das Gerät physisch vom Netzwerk, indem Sie das Netzwerkkabel ziehen und WLAN deaktivieren – ohne den Rechner herunterzufahren. Dieser Schritt bewahrt volatile Daten im Arbeitsspeicher, die für die forensische Analyse entscheidend sind. Verschlüsselungsschlüssel und Angriffsartefakte verbleiben im RAM und gehen bei einem Neustart unwiderruflich verloren. Das BSI führt die Netzwerkisolation in seinen Top-10-Ransomware-Maßnahmen als erste Schutzmaßnahme auf. Ziel ist es, die Angriffsfläche sofort zu reduzieren, damit weitere Systeme nicht kompromittiert werden. Gleichzeitig bleibt die Beweislage intakt, was eine anschließende Incident-Response erheblich erleichtert.

Konkretes Beispiel: Ein Server in der Buchhaltung zeigt um 09:14 Uhr erste Verschlüsselungsartefakte. Um 09:15 Uhr zieht der Administrator das Netzwerkkabel und deaktiviert WLAN. Um 09:17 Uhr wird der Switch-Port deaktiviert. Diese drei Minuten bewahren RAM-Inhalte, die Rückschlüsse auf die Angreifer-Gruppe zulassen. Parallel zur physischen Trennung sollten Administratoren alle aktiven Sessions beenden und verdächtige Benutzerkonten sperren. Dokumentieren Sie Zeitstempel und erste Beobachtungen, um die Voraussetzungen für eine meldepflichtige Anzeige gegenüber der Aufsichtsbehörde zu schaffen – die DSGVO verlangt eine Meldung innerhalb von 72 Stunden nach Bekanntwerden, das NIS2-Gesetz eine BSI-Meldung innerhalb von 24 Stunden. Weitere Details zur strukturierten Erstreaktion liefert ismslite.de mit einem praxisnahen Leitfaden für die ersten 60 Minuten nach Erkennen eines Vorfalls.

Auswahlkriterium 2 – Sofortige Admin-Konten-Härtung

Nach der Netzwerk-Isolation folgt der Identitäts-Schutz. Beenden Sie alle aktiven Admin-Sessions sofort – lokal, per RDP und in der Cloud. Setzen Sie mindestens ein starkes Admin-Passwort zurück, idealerweise über ein Privileged-Access-Workstation. Deaktivieren Sie auffällige Benutzerkonten, die ungewöhnliche Anmeldeversuche oder Rechteausweitungen zeigen. Erzwingen Sie MFA für jedes privilegierte Konto, auch für Service-Accounts, sofern technisch möglich. Nutzen Sie Conditional Access, um Legacy-Authentifizierung zu blockieren und risikobasierte Richtlinien zu aktivieren. Diese Schritte entziehen Angreifern die Bewegungsfreiheit, die gestohlene Anmeldeinformationen ihnen verschaffen. Der Ransomware-Leitfaden für die ersten 60 Minuten empfiehlt diese Härtung parallel zur Forensik-Sicherung. Microsofts Playbook für M365 Defender ergänzt: Session-Tokens widerrufen, Passwort-Hash-Synchronisation prüfen und Break-Glass-Accounts auf Verdacht rotieren. Dokumentieren Sie jede Aktion mit Zeitstempel – sie wird später für Meldepflichten und Versicherungsnachweise relevant.

Ein konkretes Beispiel verdeutlicht die Dringlichkeit: Ein Angreifer nutzt einen gestohlenen Domänen-Admin-Token, um sich um 03:00 Uhr per RDP einzuloggen. Bis 03:42 Uhr hat er sich lateral zu drei weiteren Servern bewegt. Wird der Token um 03:45 Uhr gesperrt, endet die Bewegung sofort – weitere Systeme bleiben verschont. Die Identitäts-Härtung ist damit der wirksamste Hebel in Minute 15 bis 30.

Auswahlkriterium 3 – Beweissicherung und Dokumentation

Dokumentieren Sie jede Beobachtung. Notieren Sie Zeitstempel, betroffene Dateien, Fehlermeldungen und Netzwerkverkehr. Diese Daten bilden die Basis für die Analyse. Erfassen Sie insbesondere die Ransom-Note im Original – sie enthält oft Kontaktinformationen der Angreifer und Hinweise auf die verwendete Ransomware-Familie. Die Zuordnung zur Familie ermöglicht die gezielte Suche nach einem Decryptor und liefert Threat-Intelligence-Feeds mit IOCs für die breitere Abwehr.

Speichern Sie Log-Dateien, Screenshots und Systemabbilder. Vermeiden Sie das Überschreiben von Beweismitteln. Jede Datei muss unverändert bleiben. Nutzen Sie schreibgeschützte Medien oder Netzwerk-Freigaben auf einem separaten VLAN, um die Integrität der Beweismittel zu wahren. Das Fuerstmann-KMU-Leitfaden empfiehlt, Log-Dateien unverzüglich auf ein externes Speichermedium zu kopieren, bevor weitere Analyse-Tools auf dem betroffenen System laufen.

Erstellen Sie ein Systemabbild, bevor Sie weitere Maßnahmen ergreifen. Das Abbild enthält alle laufenden Prozesse und Speicherinhalte. Ein Memory Dump liefert beispielsweise aktive Verschlüsselungsschlüssel, die im RAM verbleiben – ohne diesen Dump wären sie nach einem Neustart unwiederbringlich verloren. Ein konkretes Beispiel: Bei einer Conti-Variante lag der Symmetrisch-Schlüssel im Klartext im Arbeitsspeicher und war nur durch einen Memory Dump vor dem Shutdown rettbar.

Führen Sie die Dokumentation in einem geschützten Ordner durch. Nutzen Sie ein Versionierungssystem, um Änderungen nachvollziehbar zu machen. Ein Fortgale-Leitfaden betont, dass jede nachträgliche Änderung an Beweismitteln deren Verwertbarkeit vor Gericht gefährdet. Legen Sie daher von Beginn an eine unveränderliche Ketten der Beweisführung (Chain of Custody) an.

Erfassen Sie auch Systemprotokolle, wie Windows-Ereignisanzeige oder Linux-Logfiles. Achten Sie auf ungewöhnliche Einträge, die auf Verschlüsselung oder Exfiltration hinweisen. Typische Indikatoren sind massenhafte Dateiänderungen innerhalb kurzer Zeit, ungewöhnliche PowerShell-Aktivitäten oder neue Benutzerkonten mit Admin-Rechten.

Erstellen Sie einen Beweissicherungsplan vor dem Vorfall. Legen Sie fest, welche Geräte gesichert werden, welche Tools verwendet werden und wer die Verantwortung trägt. Ein SecurityToday-Bericht aus Februar 2026 zeigt, dass Unternehmen mit vordefinierten Beweissicherungsplänen 40 % schneller eine vollständige Dokumentation vorweisen können.

Nutzen Sie ein sicheres Speichermedium, z. B. ein verschlüsseltes USB-Stick oder einen externen Server. Kopieren Sie die Daten nicht auf das betroffene System. Ein a7 Blog über Schutz, Erkennung und Reaktion liefert zusätzliche Praxisbeispiele für die sichere Sicherung von Forensik-Daten.

Erstellen Sie ein Protokoll, das den Zeitpunkt, die durchgeführten Schritte und die verantwortliche Person festhält. Dieses Protokoll kann später als Beweismittel dienen. Die gesicherten Beweise sind nicht nur für die interne Untersuchung wichtig. Sie dienen auch der späteren rechtlichen Bewertung und möglichen Strafverfolgung. Das LKA Baden-Württemberg empfiehlt darüber hinaus, alle Beweismittel unverändert zu belassen und keine Reparaturversuche an betroffenen Systemen durchzuführen, bevor die forensische Sicherung abgeschlossen ist.

Weitere Leitlinien finden Sie im Arctic Wolf Blog über Ransomware-Erkennung und im a7 Blog über Schutz, Erkennung und Reaktion.

Auswahlkriterium 4 – Backup-Strategie prüfen

Bevor Sie mit der Wiederherstellung von Systemen beginnen, müssen Sie die Integrität Ihrer Datensicherung zweifelsfrei klären. Eine unbedachte Restauration infolge eines Ransomware-Befalls führt oft dazu, dass Schadcode oder infizierte Dateien direkt wieder in das produktive Netzwerk gelangen. Prüfen Sie daher zuerst, ob Ihre Backups auf einem sauberen, von der Hauptinfrastruktur getrennten System liegen.

Der Goldstandard für eine resiliente Datensicherung ist die 3-2-1-1-0-Regel. Diese setzt sich wie folgt zusammen:

• 3 Kopien der Daten insgesamt,
• 2 verschiedene Medientypen,
• 1 Kopie an einem externen Standort (offsite),
• 1 Kopie in einem isolierten Zustand (Air-Gap oder immutable),
• 0 Fehler bei den durchgeführten Wiederherstellungstests.

Verifizieren Sie die Daten unbedingt in einer isolierten Testumgebung. Nur so stellen Sie sicher, dass die Backups nicht ebenfalls kompromittiert wurden. Die Top-10-Ransomware-Maßnahmen des BSI betonen zudem die Wichtigkeit einer konsequenten Überwachung der Datensicherung. Achten Sie bei der Analyse darauf, dass keine polizeilich empfohlenen Beweissicherungs-Verfahren durch den Wiederherstellungsprozess unschädlich gemacht werden.

Konkretes Beispiel: Ein Mittelständler stellt nach einem Angriff fest, dass sein letztes Backup vom Vortag auf demselben NAS liegt, das auch von der Ransomware verschlüsselt wurde. Die 3-2-1-1-0-Regel hätte dieses Szenario verhindert – durch die Air-Gap-Kopie auf einem isolierten System wäre ein sauberer Restore möglich gewesen. Der VisionCompliance-Leitfaden unterstreicht: Backup-Resilienz wird zunehmend zur Voraussetzung für eine Cyber-Versicherung.

Der VDMA-Ratgeber für die Industrie ergänzt praxisnahe Hinweise: In produzierenden Unternehmen sollten Backup-Systeme zusätzlich gegen Manipulation an den Steuerungssystemen (OT-Umgebungen) abgesichert werden. Ein Heise-Business-Artikel zur aktuellen Ransomware-Lage erklärt, wie Angreifer gezielt Backup-Infrastruktur als ersten Angriffsvektor ins Visier nehmen, um Wiederherstellungsmöglichkeiten zu zerstören.

Auswahlkriterium 5 – Meldefristen & Compliance

Die gesetzlichen Zeitschranken sind in Stunde 1 bereits zu aktivieren. SecurityToday betont, dass die NIS2-Verordnung eine Meldung an das BSI innerhalb von 24 Stunden nach Erkennen vorschreibt – für Unternehmen, die zur kritischen Infrastruktur zählen. Gleichzeitig verlangt die DSGVO (Art. 33) die Benachrichtigung der zuständigen Datenschutzaufsichtsbehörde innerhalb von 72 Stunden, sobald ein Vorfall personenbezogene Daten betrifft.

Versäumen Sie diese Fristen, drohen Bußgelder und erheblicher Reputationsschaden. Ein strukturierter Meldebericht bildet das Fundament: Er sollte die Art des Vorfalls, die betroffenen Datenkategorien und die bereits ergriffenen Gegenmaßnahmen dokumentieren. Halten Sie sich an die gesetzlichen Vorgaben, um Haftungsrisiken zu minimieren.

VisionCompliance empfiehlt, den Bericht bereits während der Triage-Phase zu entwerfen. So bleibt die Dokumentation konsistent, und nachträgliche Lücken vermeiden Sie.

• 24 Stunden: NIS2-Meldung an das BSI – kritische Infrastruktur betrifft.
• 72 Stunden: DSGVO-Notifizierung der Datenschutzaufsicht – bei personenbezogenen Daten.
• Sofort: Interne Krisenkommunikation einleiten, betroffene Stakeholder informieren.

Die Meldefristen dienen nicht nur der Compliance, sondern sichern auch die Beweiskette. Frühzeitige Dokumentation erleichtert spätere Analysen und schützt das Unternehmen vor unbegründeten Vorwürfen. Ein klar definierter Meldeprozess gehört deshalb zur unverzichtbaren Erstmaßnahme jedes Incident-Response-Plans. Die ismslite.de-Quelle liefert hierzu eine detaillierte Übersicht über die regulatorischen Rahmenbedingungen im Kontext von Ransomware-Vorfällen.

Sofortmaßnahmen in der ersten Stunde – Ein praktischer Ablaufplan

Die ersten 60 Minuten entscheiden, ob sich ein Ransomware-Vorfall eindämmen lässt oder zur Existenzbedrohung wird. Ein verbindlicher Ablaufplan schafft Handlungssicherheit, wenn Adrenalin und Zeitdruck das Denken blockieren. Die folgende Sieben-Schritte-Sequenz hat sich in der Praxis bewährt und lässt sich als Checkliste im Notfallkoffer ablegen.

1. Sofortige Isolation: Betroffene Systeme physisch vom Netzwerk trennen – Kabel ziehen, WLAN deaktivieren, VPN-Tunnel kappen. Nicht herunterfahren; flüchtige RAM-Inhalte (Verschlüsselungsschlüssel, Angriffsartefakte) gehen sonst verloren. Ein Leitfaden für KMU betont explizit: isolieren statt abschalten. Konkretes Beispiel: Ein isolierter Dateiserver mit aktivem RAM liefert Verschlüsselungskeys, die eine Wiederherstellung ohne Lösegeldzahlung ermöglichen.
2. IR-Team alarmieren: Internen Krisenstab und externe Incident-Response-Dienstleister parallel informieren. Zeitstempel, erste Beobachtungen (Ransom-Note, Dateierweiterungen, betroffene Hosts) schriftlich fixieren. Wer keine eigene IR-Kapazität vorhält, sollte vorab Rahmenverträge mit Spezialisten geschlossen haben. Der VDMA-Leitfaden empfiehlt, den Krisenstab quartalsweise zu trainieren.
3. Admin-Konten härten: Alle aktiven privilegierten Sessions beenden, mindestens ein Domänen-Admin-Passwort zurücksetzen, verdächtige Dienstkonten deaktivieren, MFA erzwingen. Kompromittierte Identitäten sind der häufigste laterale Bewegungsvektor. Microsofts M365-Playbook liefert hierzu detaillierte technische Schritte.
4. Beweissicherung: Forensische Abbilder (Memory Dumps, Festplatten-Images) der isolierten Systeme erstellen, bevor Analysen starten. Log-Quellen (SIEM, Firewall, EDR, AD) auf schreibgeschützten Speicher spiegeln. Kettenbeweis-Dokumentation beginnt jetzt. Das LKA BW empfiehlt, unveränderte Datenträger zu sichern und keine Reparaturen vor der forensischen Sicherung durchzuführen.
5. Backup-Integrität prüfen: Erst auf bereinigten, air-gapped Systemen Restore-Tests fahren. Die 3-2-1-1-0-Regel (drei Kopien, zwei Medien, ein Offsite, ein immutable Air-Gap, null Fehler beim Test) ist der Maßstab. Auf infizierten Hosts liefern Backups keine verlässliche Aussage. Der VisionCompliance-Leitfaden liefert hierzu detaillierte Prüfschritte.
6. Behördliche Meldung vorbereiten: NIS2-verpflichtete Einrichtungen melden binnen 24 Stunden an das BSI; bei personenbezogenen Daten greift die 72-Stunden-Frist der DSGVO (Art. 33). Meldetexte, Ansprechpartner und Eskalationspfade sollten als Vorlagen vorliegen. Eine Vorlage für den Meldebericht beschleunigt den Prozess erheblich.
7. Stakeholder-Kommunikation: Einheitliche Sprachregelung für Mitarbeiter, Kunden, Partner und – falls nötig – Presse definieren. Keine Spekulationen über Eintrittsvektor oder Schadsumme. Externe Kommunikation nur über autorisierte Sprecher. Der ISICO-Schritt-für-Schritt-Leitfaden bietet hierzu konkrete Kommunikationsvorlagen.

Ein praxisnaher Notfallplan fasst diese Schritte in einer einseitigen Entscheidungsmatrix zusammen, die auch unter Stress bedienbar bleibt. Wer den Plan quartalsweise im Tabletop-Test durchspielt, gewinnt die Routine, die in Minute 0 fehlt.

Weiterführende Ressourcen & nächste Schritte

Ein Ransomware-Angriff erfordert nicht nur eine schnelle Reaktion in der akuten Phase, sondern eine langfristige Anpassung der Sicherheitsstrategie. Um die Resilienz Ihres Unternehmens dauerhaft zu stärken, sollten Sie die erste Krisenbewältigung zum Anlass für eine umfassende Prozessoptimierung nehmen. Nutzen Sie hierfür etablierte Leitfäden als methodische Basis.

Für die präventive Absicherung empfehlen wir die BSI-Top-10-Maßnahmen als Checkliste für Ihre IT-Sicherheitsverantwortlichen. Diese helfen dabei, Schwachstellen in der Administration und Netzwerkstruktur systematisch zu schließen. Parallel dazu ist die Einhaltung regulatorischer Vorgaben essenziell: Prüfen Sie Ihre Compliance im Hinblick auf die Meldepflichten nach NIS2 sowie die strengen Vorgaben der DSGVO, insbesondere bei der Meldung von Datenverlusten an die Aufsichtsbehörden innerhalb von 72 Stunden.

Ein zentraler Pfeiler der Wiederherstellung ist eine belastbare Backup-Strategie. Evaluieren Sie Ihre Sicherungskonzepte regelmäßig nach dem 3-2-1-1-0-Prinzip, um sicherzustellen, dass auch im Ernstfall vorverschlüsselten oder gelöschten Datenbeständen ohne Fehler rekonstruiert werden können. Die IS-ITS.org-Ressource bietet hierzu ergänzende technische Details zur Ransomware-Klassifizierung und Decryptor-Suche.

Zusätzliche Experten-Einblicke bieten spezialisierte Leitfäden für konkrete Szenarien:

• Analyse zu Verhandlungen bei Lösegeldforderungen
• Schritt-für-Schritt-Reaktion auf Ransomware-Befall

Ein gut dokumentierter Notfallplan und regelmäßige Übungen sind entscheidend, um die Reaktionsgeschwindigkeit im Ernstfall zu maximieren. Nur durch die kontinuierliche Verfeinerung Ihrer Incident-Response-Playbooks minimieren Sie die potenziellen Schäden für Ihr Unternehmen.