Angriff im Gange? Die ersten Schritte.

Erst durchatmen. Dann handeln.

Ein Angriff fühlt sich an wie ein Brand. Hektik macht ihn meist schlimmer. Die folgende Liste gilt für den typischen Fall: Rechner zeigen eine Lösegeldforderung, Dateien lassen sich nicht öffnen, oder Sie haben den Verdacht, dass jemand im Netz ist. Gehen Sie sie der Reihe nach durch. Wer nur einen Schritt schafft, macht den ersten.

Die ersten Minuten: sechs Schritte

1. Betroffene Geräte vom Netz trennen. Netzwerkkabel ziehen und WLAN ausschalten. So kann sich die Schadsoftware nicht weiter ausbreiten. Das gilt auch für Laptops im Homeoffice.
2. Nicht ausschalten, wenn es nicht nötig ist. Im Arbeitsspeicher stehen oft Spuren, die Fachleute später brauchen. Vom Netz nehmen reicht meist. Droht der Schaden sich im Sekundentakt auszubreiten und Sie können nicht trennen, ist Ausschalten besser als nichts.
3. Nichts löschen und nichts „aufräumen“. Keine Dateien entfernen, nichts neu installieren, keine Lösegeldnachricht schließen, bevor Sie sie fotografiert haben. Ein Handyfoto vom Bildschirm genügt.
4. Unbeteiligte Geräte schützen. Datensicherungen auf Platten oder NAS (Netzspeicher im Büro) abstecken, damit sie nicht auch verschlüsselt werden.
5. Zeit und Beobachtungen notieren. Wann ist es aufgefallen? Was wurde zuletzt geöffnet? Wer war angemeldet? Kurze Stichworte reichen.
6. Passwörter ändern, aber von einem sauberen Gerät aus. Zuerst E-Mail, Bank, Fernzugänge. Nicht vom befallenen Rechner.

Lösegeld? Nicht vorschnell zahlen

Die Versuchung ist groß, schnell zu zahlen. Bedenken Sie: Es gibt keine Gewissheit, dass die Täter die Daten wirklich freigeben oder gestohlene Daten löschen. Eine Zahlung kann außerdem weitere Angriffe finanzieren. Entscheiden Sie nicht allein und nicht unter Zeitdruck. Lassen Sie sich zuerst von IT-Fachleuten und, wenn Daten betroffen sind, auch rechtlich beraten.

Das BSI verlinkt auf seiner Ransomware-Seite die Initiative No More Ransom (nomoreransom.org). Ein Blick dort lohnt sich, bevor Sie über eine Zahlung nachdenken.

Wen Sie anrufen können

• IT-Dienstleister oder Fachleute. Das BSI empfiehlt, frühzeitig IT-Sicherheitsexperten und -dienstleister hinzuzuziehen. Bestandskunden der Seele GmbH erreichen uns unter 0209 73081720.
• Polizei. Das BSI rät, Anzeige beim Landeskriminalamt zu stellen. Für Unternehmen hat die Polizei eigene Zentrale Ansprechstellen Cybercrime (ZAC). Zuständig ist die ZAC des Bundeslandes, in dem der Firmensitz liegt oder der Vorfall passiert ist. Für Nordrhein-Westfalen nennt die Polizei Telefon 0211 939-4040 und die Mailadresse cybercrime.lka@polizei.nrw.de.
• BSI und Landes-CERT. Das BSI nennt als zuständige Stelle zum Beispiel das Landes-CERT (das IT-Notfallteam des Landes) und bietet ein eigenes Meldeportal für Vorfälle an.
• Datenschutzaufsicht. Auch der Landesdatenschutzbehörde soll der Vorfall laut BSI gemeldet werden. In NRW ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI NRW). Mehr dazu im nächsten Abschnitt.
• Versicherung. Haben Sie eine Cyberversicherung, rufen Sie dort früh an. Prüfen Sie in Ihrer Police, ob es Pflichten oder Fristen für die Meldung gibt.

Quellen: BSI, Ransomware-Angriffe, Polizei, Zentrale Ansprechstellen Cybercrime, gelesen am 19.10.2026.

Personendaten betroffen? Die Uhr läuft

Haben Angreifer Zugriff auf Kunden-, Patienten-, Mandanten- oder Mitarbeiterdaten bekommen oder sind diese verloren gegangen, kann nach der Datenschutz-Grundverordnung (DSGVO) eine Meldung an die Datenschutzaufsicht Pflicht sein. Die LDI NRW schreibt dazu: Verletzungen, von denen mehr als nur ein geringes Risiko für die Betroffenen ausgeht, sind der Aufsichtsbehörde „unverzüglich, möglichst binnen 72 Stunden“ zu melden (Art. 33 DSGVO). Gerechnet wird ab dem Bekanntwerden. Wer später meldet, muss die Verzögerung begründen. Prüfen Sie diese Frage deshalb am ersten Tag, nicht erst nach der Wiederherstellung. Die LDI NRW bietet dafür ein Online-Meldeformular an.

Quelle: LDI NRW, Meldepflicht für Verantwortliche, gelesen am 19.10.2026.

• Halten Sie fest, wann Sie den Vorfall bemerkt haben.
• Klären Sie, welche Daten betroffen sein könnten und ob ein Risiko für die Betroffenen besteht.
• Besprechen Sie das mit Ihrem Datenschutzbeauftragten oder einer Rechtsberatung. Bei Arztpraxen, Kanzleien und anderen Berufsgeheimnisträgern können zusätzliche Pflichten gelten.

Was Sie heute vorbereiten können

Im Ernstfall hat niemand Zeit zum Suchen. Legen Sie deshalb an einem ruhigen Tag eine Notfallkarte an, ausgedruckt und nicht nur auf dem Rechner, der gerade ausgefallen ist.

• Telefonnummern: Ihr IT-Dienstleister, die Polizei-Ansprechstelle, Ihre Versicherung, Ihr Datenschutzbeauftragter.
• Wer entscheidet? Eine Person, die im Notfall das Sagen hat, und eine Vertretung.
• Wo liegen die Sicherungen? Und wann wurde zuletzt getestet, ob sich daraus wirklich etwas zurückholen lässt? Eine Sicherung, die nie probiert wurde, ist eine Hoffnung, kein Plan.
• Welche Geräte hängen im Netz? Rechner, Server, Drucker, Kameras, Kassen, Praxisgeräte. Wer das weiß, kann im Ernstfall gezielt trennen.
• Ein Weg ohne Firmennetz: Private Handynummern der Beteiligten, falls Mail und Telefonanlage ausfallen.

Danach: Wiederaufbau und Vorsorge

Ist der Schaden eingedämmt, geht es ans Aufräumen. Das sollten Fachleute begleiten, denn ein einmal gekapertes Netz sollte nicht einfach weiterlaufen.

• Den Einstieg finden und schließen, sonst kommen die Täter wieder.
• Rechner sauber neu aufsetzen statt „bereinigen“.
• Daten nur aus einer geprüften, sauberen Sicherung zurückspielen.
• Alle Zugänge neu vergeben und die Zwei-Faktor-Anmeldung überall einschalten.
• Netze trennen, Fernzugänge nur per VPN, Updates einplanen.

Das ist genau das, was unser Monatspaket laufend leistet: ein eigenes Schutzgerät vor dem Netz, getrennte Netze, geprüfte Datensicherung und monatliche Pflege. Ganz ausschließen kann einen Angriff niemand. Aber man kann es den Tätern deutlich schwerer machen und im Ernstfall schneller wieder arbeiten.