0–15 Minuten: Lage sichtbar machen
Notieren Sie, wer wann was festgestellt hat: betroffene Konten, Geräte, Freigaben, Dateiendungen, Erpressungsnotizen und Fehlermeldungen. Erstellen Sie nur dann Screenshots, wenn dies gefahrlos möglich ist. Das Ziel ist eine gemeinsame Zeitlinie, nicht die sofortige Ursachenanalyse.
Fragen Sie auch nach bereits unternommenen Schritten. Wurden Systeme neu gestartet, Passwörter geändert oder Backups zurückgespielt? Diese Informationen helfen bei der späteren Einordnung.
15–30 Minuten: Ausbreitung begrenzen
Wenn eine laufende Verschlüsselung oder ein aktiver Missbrauch wahrscheinlich ist, kann eine kontrollierte Trennung betroffener Geräte oder Freigaben nötig sein. Stimmen Sie dies mit der verantwortlichen IT ab. Berücksichtigen Sie kritische Betriebsprozesse, Fernzugriffe und Abhängigkeiten zu Cloud-Diensten.
Vermeiden Sie pauschale Eingriffe. Ein breitflächiges Abschalten kann wichtige Betriebsfunktionen beeinträchtigen und zugleich verwertbare Hinweise verändern.
30–45 Minuten: Entscheidungen organisieren
Bestimmen Sie eine kleine Entscheidungsgruppe aus Geschäftsleitung, IT und bei Bedarf Datenschutz, Versicherung oder externen Fachpersonen. Legen Sie einen Kommunikationsweg fest: Wer dokumentiert den Stand, wer informiert Mitarbeitende, wer spricht mit Dienstleistern?
Je nach Fall können Melde- und Informationspflichten relevant werden. Die technische Einschätzung ersetzt keine rechtliche Beratung. Klären Sie diese Aspekte mit den zuständigen Fachstellen.
45–60 Minuten: Nächsten Schritt vereinbaren
Definieren Sie, welche Systeme und Quellen im nächsten Schritt betrachtet werden sollen. Dazu können Sicherheitsmeldungen, Anmeldeprotokolle, Endgeräte, Mailbox-Regeln oder Backup-Metadaten gehören. Übermitteln Sie keine Passwörter, Tokens oder vollständigen Log-Exporte über ungesicherte Kanäle.
Was Sie vermeiden sollten
- Betroffene Systeme ohne Abstimmung neu installieren oder zurücksetzen.
- Erpressungsnotizen, verdächtige E-Mails oder Protokolldateien löschen.
- Unkoordinierte Passwortänderungen durchführen, ohne kritische Servicekonten mitzudenken.
- Ungeprüfte Informationen intern oder extern weitergeben.