Soll ein mit Ransomware betroffenes Gerät neu gestartet werden?

Nicht vorschnell. Ein Neustart kann sichtbare Zustände und flüchtige Informationen verändern. Dokumentieren Sie die Lage und stimmen Sie den nächsten Schritt mit der verantwortlichen IT ab.

Soll ein KMU nach einem Ransomware-Verdacht sofort Backups zurückspielen?

Nicht ohne eine abgestimmte Lagebeurteilung. Zuerst sollten betroffene Systeme, mögliche Ausbreitung und die Integrität der Backups geklärt werden.

Ransomware-Notfallcheckliste für KMU

Aktualisiert am 5. Oktober 2026 · Checkliste ohne Speicherung

GrundsatzErst dokumentieren, dann entscheiden. Voreilige Neustarts, Löschungen, Neuinstallationen oder unkoordinierte Passwortänderungen können die Lage und wichtige Hinweise verändern.

In den ersten 15 Minuten

Zeitpunkt, sichtbare Symptome, betroffene Geräte, Konten und Freigaben notieren.Eine verantwortliche Kontaktperson für die erste Lage bestimmen.Keine betroffenen Systeme neu starten, zurücksetzen, löschen oder neu installieren.Bei sichtbarer Ausbreitung die verantwortliche IT einbeziehen und eine kontrollierte Isolation beurteilen.Erpressungsnotiz, Fehlermeldung und verdächtige E-Mail nicht löschen; Beobachtungen sichern.

In den ersten 1–4 Stunden

Krisenorganisation aktivieren: Geschäftsleitung, IT, Kommunikation und bei Bedarf Datenschutz sowie Versicherung einbinden.Betroffene Systeme, Benutzerkonten, Netzwerkfreigaben und Cloud-Dienste in einer Zeitlinie erfassen.Zugriffe und privilegierte Konten koordiniert absichern; Servicekonten und Betriebsabhängigkeiten mitdenken.Backups schützen und deren Zustand prüfen, aber noch keinen unkoordinierten Rücksicherungsversuch starten.Technische Quellen, Kommunikationsentscheide und bisherige Massnahmen dokumentieren.Mit zuständigen Fachstellen klären, ob Melde-, Informations- oder Versicherungsprozesse ausgelöst werden müssen.

Vor dem Wiederanlauf

Umfang und wahrscheinlichen Eintrittsweg so weit wie möglich eingrenzen.Prioritäten für kritische Geschäftsprozesse und Abhängigkeiten festlegen.Integrität und Wiederherstellbarkeit der gewählten Backups prüfen.Massnahmen für Passwortwechsel, Mehrfaktorauthentisierung, Patches und Monitoring abgestimmt planen.Wiederanlauf, Beobachtung und Nachbereitung als nachvollziehbaren Ablauf dokumentieren.

Kommunikation und Nachbereitung

Kommunizieren Sie intern nach einem klaren Rollenmodell. Für Kundinnen, Partner und Behörden sollten Aussagen abgestimmt, sachlich und nachvollziehbar sein. Nach der Stabilisierung gehören Ursachenanalyse, Verbesserungsmassnahmen und eine kurze Übung des aktualisierten Notfallkonzepts dazu.

Das BACS stellt ein auf Schweizer KMU ausgerichtetes Notfallkonzept mit Hilfsmitteln bereit. Quelle: BACS: Sicher durch die Krise – Notfallkonzept für KMU.

Diese Checkliste ersetzt keine Einzelfallberatung.Bei einem konkreten Fall klären wir vertraulich, welche technischen, organisatorischen und allenfalls rechtlichen Schritte passend sind. Vorfall besprechen.

Ransomware: Notfallcheckliste für Schweizer KMU.

In den ersten 15 Minuten

In den ersten 1–4 Stunden

Vor dem Wiederanlauf

Kommunikation und Nachbereitung