Bei einem Ransomware-Befall trennen Sie sofort alle betroffenen Geräte vom Netzwerk, ohne sie auszuschalten, und lassen die Datensicherung unangetastet, bis geklärt ist, ob sie intakt ist. Lösegeld zu zahlen ist keine Lösung, die sich garantieren lässt; entscheidend ist, ob eine saubere Sicherung vorliegt. Sind personenbezogene Daten betroffen, ist die Datenschutzbehörde binnen 72 Stunden zu informieren. Bei Verdacht auf Verschlüsselung hilft WVM-IT aus Lenzing in ganz Österreich per Fernwartung, Mo–Sa ab 7:30 Uhr, 95 € je Stunde ohne Vertrag; rufen Sie an, bevor Sie etwas löschen.
Was Ransomware technisch ist, erklärt Ransomware im Glossar; bei akuten Problemen ist IT-Notfall der kürzere Weg. Dieser Beitrag ordnet die ersten Stunden.
Erste Handlung: Netz trennen, nicht ausschalten
Ziehen Sie bei betroffenen Rechnern das Netzwerkkabel und schalten Sie das WLAN ab. Trennen Sie auch Server und Netzwerkspeicher, wenn dort Dateien verschlüsselt werden, und im Zweifel den Internetzugang des ganzen Betriebs. Schalten Sie die Geräte nicht aus: Im Arbeitsspeicher können Hinweise liegen, die bei der Aufklärung helfen, und ein Neustart kann weitere Dateien beschädigen. Wichtig ist, dass der Befall sich nicht über das Netzwerk auf weitere Rechner ausbreitet. Jede Minute zählt hier, weil Verschlüsselungssoftware viele Dateien pro Sekunde bearbeitet.
Zweite Handlung: nichts löschen, nichts aufräumen
Der Impuls, zu bereinigen oder Rechner neu aufzusetzen, ist verständlich und falsch. Notieren Sie stattdessen: Uhrzeit der Entdeckung, Name der verschlüsselten Dateien (die Endung ist oft auffällig), Text der Lösegeldnachricht. Fotografieren Sie den Bildschirm. Das hilft, die Variante einzuordnen und zu beurteilen, ob es Wege der Entschlüsselung gibt. Ändern Sie von einem sauberen Gerät aus die Kennwörter, vor allem von Administrator- und E-Mail-Konten, denn bei vielen Fällen sind Zugangsdaten gestohlen worden, bevor die Verschlüsselung beginnt.
Das Backup prüfen, bevor irgendetwas anderes entschieden wird
Die wichtigste Frage lautet: Gibt es eine Sicherung, die den Angriff nicht erreicht hat? Prüfen Sie, ob die Sicherungsmedien getrennt waren oder ob sie am Netzwerk hingen und mitverschlüsselt wurden. Stellen Sie nichts wieder her, bevor die Rechner sauber sind, sonst wird die Sicherung gleich wieder verschlüsselt. Warum eine Kopie außer Haus und vom Netz getrennt über alles entscheidet, steht in Backup für kleine Firmen: die 3-2-1-Regel und in Datensicherung richtig prüfen. Wer eine saubere Sicherung hat, ist in einer ganz anderen Lage als jemand ohne.
Lösegeld zahlen? Eine sachliche Abwägung
Die Behörden raten davon ab, und die Gründe sind praktisch: Es gibt keine Garantie, dass der Schlüssel geliefert wird oder funktioniert; auch dann dauert die Entschlüsselung oft Tage; die Täter können die Daten bereits kopiert haben und damit weiter drohen; und wer zahlt, wird oft erneut Ziel. Dem steht die Lage von Betrieben gegenüber, die ohne Daten stillstehen. Die Entscheidung gehört in die Geschäftsführung, nicht in die ersten fünf Minuten, und sollte erst nach Prüfung der Sicherung und mit fachlichem Rat fallen. Eine Zahlung kann außerdem rechtliche Fragen aufwerfen, etwa wenn die Empfänger auf Sanktionslisten stehen. Wer über Zahlung nachdenkt, holt sich vorher Beratung.
Meldung, Anzeige, Dokumentation
Erstatten Sie Anzeige bei der Polizei; für die Versicherung ist sie meist Voraussetzung, und sie hilft den Ermittlungen. Haben Täter Daten von Kunden oder Mitarbeitern abgegriffen oder verschlüsselt, liegt eine Verletzung des Schutzes personenbezogener Daten vor, die bei voraussichtlichem Risiko für die Betroffenen binnen 72 Stunden der Datenschutzbehörde zu melden ist (Art. 33 DSGVO). Auch verschlüsselte, nicht gestohlene Daten können dazu zählen, weil Verfügbarkeit geschützt ist. Halten Sie schriftlich fest, was wann geschah. Dieselbe Dokumentation brauchen Auftraggeber, die Sicherheitsfragebögen nach dem NISG 2026 stellen (NIS2 für Zulieferer).
Der Wiederaufbau in groben Schritten
Ist die Lage eingegrenzt, läuft der Wiederaufbau meist in dieser Reihenfolge: Zuerst wird geklärt, wie die Täter hereingekommen sind, denn sonst wiederholt sich der Vorfall. Dann werden die betroffenen Geräte komplett neu aufgesetzt, nicht nur „gereinigt“, weil sich Schadsoftware verstecken kann. Anschließend kommen Konten und Kennwörter an die Reihe, danach die Daten aus der geprüften Sicherung, zuerst die für den Betrieb wichtigsten. Zuletzt werden die Lücken geschlossen, die den Einbruch möglich machten, etwa fehlende Updates, offene Fernzugänge oder fehlender zweiter Faktor. Das kann bei einem kleinen Betrieb Tage dauern, und die Zeit lässt sich vorab nicht verlässlich nennen.
Was Sie vorab tun können
Die Vorsorge ist unspektakulär: Updates einspielen, den zweiten Faktor für alle Konten einschalten, Fernzugänge nur über VPN zulassen, Rechte sparsam vergeben und eine Sicherung führen, die der Angreifer nicht erreicht. Den Stand Ihres Betriebs misst der IT-Sicherheits-Selbsttest; die gründliche Prüfung mit Bericht ist der IT-Sicherheitscheck für 490 €. Dazu passen Homeoffice sicher anbinden und Phishing-Mail geklickt.
In Österreich: Ansprechpartner und Hilfe vor Ort
Neben der Datenschutzbehörde und der Polizei ist die WKO Oberösterreich Anlaufstelle für Betriebe, die Rat zu Vorsorge und Folgen suchen; ob Ihre Betriebsversicherung einen Cyberschaden abdeckt, klärt der Blick in die Polizze, am besten, bevor etwas passiert. Florin Feier aus Lenzing hilft per Fernwartung bei der Einordnung und beim Wiederaufbau und kommt bei Bedarf vor Ort, etwa nach Linz, Wels, Vöcklabruck, Gmunden oder Salzburg. Die Vorsorge ordnet die IT-Sicherheit; Einzelhilfe ohne Vertrag gibt es unter IT-Hilfe.
Häufige Folgefragen
- Soll ich den Rechner sofort ausschalten?
- Nein, zuerst vom Netzwerk trennen. Das Ausschalten kann Spuren im Arbeitsspeicher vernichten; wenn die Verschlüsselung erkennbar noch läuft und sich nicht stoppen lässt, ist es nach Rücksprache dennoch ein Notbehelf.
- Kann man Dateien ohne Lösegeld wieder entschlüsseln?
- Manchmal, wenn die Schadsoftware bekannt ist und Entschlüsselungswerkzeuge existieren. Ob das der Fall ist, lässt sich nur mit der konkreten Variante klären. Deshalb vorab Beweise sichern und nicht bereinigen.
- Müssen wir den Angriff melden, wenn nur Dateien verschlüsselt wurden?
- Wenn dabei personenbezogene Daten betroffen sind und ein Risiko für die Betroffenen besteht, ja, binnen 72 Stunden an die Datenschutzbehörde. Betrifft es nur Betriebsdaten ohne Personenbezug, entfällt diese Meldepflicht; die Dokumentation bleibt trotzdem sinnvoll.
- Wie viel kostet Hilfe im Ernstfall?
- Per Fernwartung rechnen wir 95 € je Stunde, vor Ort 120 € je Stunde zuzüglich Anfahrt. Den Aufwand eines Wiederaufbaus kann man erst nach der Einordnung nennen.
- Kommt Ransomware nur über E-Mail ins Haus?
- Nein. Häufige Wege sind außerdem offene Fernzugänge ohne zweiten Faktor, ungepatchte Programme und gestohlene Kennwörter. Die E-Mail ist nur der bekannteste Weg.
Kurz gesagt: Netz trennen, nichts löschen, Sicherung prüfen, dann erst über Zahlung und Wiederherstellung entscheiden. Bei Personenbezug läuft die Meldefrist von 72 Stunden ab Kenntnis.
Wollen Sie das für Ihren Betrieb klären? Sie können Ihren Fall zu IT-Sicherheit besprechen oder ein Angebot für IT-Sicherheit zusammenstellen.
Zum Weiterlesen: Die Vergleiche zwischen IT-Lösungen helfen bei der Entscheidung, die Checklisten für den Betrieb beim Abarbeiten.
Von Florin Feier · · Aktualisiert:
Wir melden uns an Werktagen innerhalb von 24 Stunden.
So geht es weiter
- Wir lesen und ordnen ein
- Wir melden uns mit einer Einschätzung
- Erst danach entscheiden Sie
Wenn es eilt, rufen Sie an: +43 676 3808501
In Ihrer Nähe: IT-Sicherheit in Schörfling am Attersee · IT-Sicherheit in Salzburg