Notfallplan Cyberangriff: Die ersten Stunden im Unternehmen

Stellen Sie sich vor, morgen früh steht Ihre IT. Keine E-Mails, kein Zugriff auf die Warenwirtschaft, die Telefonanlage läuft über denselben Server und schweigt ebenfalls. Wen rufen Sie an? Wo steht die Nummer? Und wer in Ihrem Unternehmen entscheidet, ob die Produktion weiterläuft oder gestoppt wird?

Wer auf diese Fragen nicht sofort eine Antwort hat, ist in guter Gesellschaft. Nach der Wirtschaftsschutz-Studie des Digitalverbands Bitkom hält sich nur die Hälfte der deutschen Unternehmen für sehr gut auf Cyberangriffe vorbereitet. Ein Notfallplan für Cyberangriffe ist dabei kein Großprojekt. Er ist ein überschaubares Dokument, das im Ernstfall Stunden und oft sehr viel Geld spart.

Ein IT-Sicherheitsexperte brachte es in der Fachschulung, an der wir im Oktober teilgenommen haben, sinngemäß auf den Punkt: Wer erst nach dem Angriff im Internet sucht, was jetzt zu tun ist, ist zu spät dran. Dieser Beitrag zeigt Ihnen, was in einen solchen Plan gehört.

Warum braucht jedes Unternehmen einen Notfallplan?

In den ersten Stunden nach einem Angriff werden die Entscheidungen getroffen, die den gesamten weiteren Verlauf bestimmen. Werden Systeme vorschnell neu aufgesetzt, gehen Spuren verloren, die zur Aufklärung und für die Versicherung wichtig sind. Wird nicht schnell genug isoliert, breiten sich die Täter weiter aus. Und wird die Kommunikation nicht gesteuert, erfahren Kunden und Mitarbeiter aus Gerüchten, was los ist.

Wie viel davon abhängt, zeigen die Zahlen einer aktuellen Befragung kleiner und mittlerer Unternehmen: In Deutschland stand der Betrieb nach einem Angriff im Schnitt 41,7 Stunden still. Jede dieser Stunden kostet Umsatz, Vertrauen und Nerven.

Was ist die erste Maßnahme bei einem Cyberangriff?

Trennen Sie betroffene Geräte vom Netzwerk, aber schalten Sie sie nicht einfach aus. Das bedeutet in der Praxis: Netzwerkkabel ziehen, WLAN deaktivieren, keine weiteren Anmeldungen. So stoppen Sie die Ausbreitung, ohne Beweise im Arbeitsspeicher zu vernichten.

Im zweiten Schritt rufen Sie Hilfe. Wer eine Cyberversicherung für Unternehmen hat, wählt zuerst deren Notfall-Hotline. Die Schadenexperten aus der Fachschulung waren hier sehr klar: nicht erst die eigene IT basteln lassen, nicht erst Behörden abtelefonieren, sondern sofort die Spezialisten einschalten. Die Krisendienstleister koordinieren dann Forensik, Wiederherstellung und die Frage, wann welche Behörde informiert werden muss.

Ohne Cyberversicherung müssen Sie selbst einen IT-Forensiker finden, und das unter Zeitdruck. Für diesen Fall gehört mindestens eine geprüfte Notfallnummer eines Dienstleisters in den Plan. Ob eine Versicherung mit Soforthilfe für Ihr Unternehmen sinnvoll ist, besprechen wir gerne mit Ihnen. Vereinbaren Sie hier einen kostenlosen Beratungstermin.

Welche Fristen und Meldepflichten laufen?

Sind personenbezogene Daten betroffen, etwa Kunden- oder Mitarbeiterdaten, muss die Verletzung nach der Datenschutz-Grundverordnung in der Regel innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden. Unter Umständen sind auch die Betroffenen selbst zu informieren. Die Frist läuft ab Kenntnis, also oft schon ab dem ersten Morgen.

Eine Strafanzeige ist ebenfalls sinnvoll. Die Polizeien der Länder haben dafür Zentrale Ansprechstellen Cybercrime für Unternehmen eingerichtet. Für Betriebe, die unter die Regeln zur Netz- und Informationssicherheit fallen, können zusätzliche Meldepflichten gegenüber dem Bundesamt für Sicherheit in der Informationstechnik gelten. Welche davon im Einzelfall greifen, klären die Fachanwälte, die viele Cyberversicherungen im Ernstfall stellen.

Was gehört in einen Cyber-Notfallplan?

Ganz oben steht eine Kontaktliste. Darauf gehören die Notfall-Hotline der Cyberversicherung samt Versicherungsscheinnummer, der eigene IT-Dienstleister mit einer Notfallnummer außerhalb der Geschäftszeiten, die Ansprechpartner in der Geschäftsführung und eine Vertretung für den Fall, dass jemand im Urlaub ist.

Dazu kommt eine klare Rollenverteilung. Wer entscheidet, ob Systeme abgeschaltet werden? Wer spricht mit Kunden, wer mit Mitarbeitern, wer mit der Presse? Im Ernstfall ist keine Zeit, das zu diskutieren.

Ebenso wichtig ist ein Kommunikationsweg, der nicht von der eigenen IT abhängt. Wenn E-Mail und Telefonanlage ausfallen, braucht das Team eine Alternative, etwa private Mobilnummern in einer gedruckten Liste.

Schließlich gehört eine Übersicht der wichtigsten Systeme in den Plan, mit der Reihenfolge, in der sie wieder anlaufen sollen. Was braucht Ihr Betrieb zuerst: Zahlungsverkehr, Warenwirtschaft, Kundenkommunikation? Diese Priorisierung vorher zu treffen, spart im Ernstfall wertvolle Stunden.

Warum gehört der Notfallplan auf Papier?

Der beste Plan nützt nichts, wenn er auf einem verschlüsselten Server liegt. Drucken Sie ihn aus und bewahren Sie Exemplare an mehreren Orten auf, auch außerhalb des Büros. Das klingt altmodisch, ist aber einer der häufigsten Tipps aus der Praxis der Krisenmanager.

Genauso wichtig ist es, den Plan einmal im Jahr durchzuspielen. Eine kurze Übung am Besprechungstisch reicht oft schon, um Lücken zu entdecken: veraltete Nummern, ungeklärte Zuständigkeiten, fehlende Zugänge. Manche Cyberversicherer stellen dafür Vorlagen und Unterstützung bereit.

Häufige Fragen zum Notfallplan bei Cyberangriffen

Wen rufe ich bei einem Hackerangriff zuerst an?
Wenn Sie eine Cyberversicherung haben, deren Notfall-Hotline. Die Krisendienstleister koordinieren dann alle weiteren Schritte einschließlich der Meldungen an Behörden.

Soll ich infizierte Rechner ausschalten?
Nein, trennen Sie sie vom Netzwerk, aber lassen Sie sie eingeschaltet. So bleiben Spuren für die Forensik erhalten.

Muss ich einen Cyberangriff der Datenschutzbehörde melden?
Wenn personenbezogene Daten betroffen sind, in der Regel ja, und zwar innerhalb von 72 Stunden nach Bekanntwerden.

Wie oft sollte ein Notfallplan aktualisiert werden?
Mindestens einmal im Jahr und immer dann, wenn sich Ansprechpartner, Dienstleister oder wichtige Systeme ändern.

Fazit: Eine Stunde Vorbereitung spart Tage im Ernstfall

Ein Cyber-Notfallplan muss nicht perfekt sein, um zu wirken. Eine ausgedruckte Kontaktliste, klare Zuständigkeiten und die Nummer der Notfall-Hotline machen bereits einen großen Unterschied. Wer zusätzlich eine Cyberversicherung mit Soforthilfe hat, holt sich im Ernstfall genau die Experten an Bord, die ein mittelständischer Betrieb selbst kaum vorhalten kann. Was bei einem Erpressungsangriff im Detail passiert, lesen Sie in unserem Beitrag Ransomware-Angriff im Unternehmen.

Wir helfen Ihnen, die passende Absicherung zu finden, und prüfen spartenübergreifend, wo Ihr Unternehmen heute steht. Kostenlos und ohne Verpflichtung. Hier vereinbaren Sie Ihren Beratungstermin. Oder rufen Sie uns an unter 040 603 1081.