Erster Tag nach einem Cyberangriff: Der 12-Stunden-Leitfaden für Mittelständler

Wenn die IT stillsteht: Die ersten 12 Stunden entscheidend

Ein Ransomware-Angriff wurde entdeckt. Oder Daten exfiltriert. Der Server liefert keine Antwort mehr, Mitarbeiter melden sich nicht im Active Directory. In diesem Moment zählt jede Minute — aber falsche Entscheidungen können den Schaden massiv vergrößern.

Dieser Leitfaden richtet sich an Geschäftsführer und IT-Verantwortliche im deutschen Mittelstand (50–500 MA). Er erklärt, was in den ersten 12 Stunden nach Entdeckung eines Cybervorfalls zu tun ist — ohne Panikmache, allein mit handfesten Schritten, die sich an BSI-Empfehlungen und NIS2-Vorgaben orientieren.

Wichtiger Hinweis: Bei gravierenden Vorfällen ist sofortige professionelle Unterstützung unerlässlich. Die folgenden Schritte sind Erstreaktionen, ersetzen aber keine gezielte Incident-Response-Maßnahme durch Forensik-Spezialisten. Für eine verbindliche Einschätzung empfehlen wir, einen Fachanwalt für IT-Recht und zertifizierte IR-Dienstleister hinzuzuziehen.

Stunde 0–3: Sofortmaßnahmen zur Schadenbegrenzung

1. Systeme isolieren — nicht abschalten (5 Minuten)

Der häufigste Fehler im Ernstfall: IT-Administratoren ziehen sofort den Stecker. Das klingt kontraintuitiv, ist aber fatal. Laufende Systeme enthalten forensisch wertvolle Daten (RAM-Inhalte, offene Netzwerkverbindungen, aktive Prozesse). Ein harte Abschaltung zerstört diese Spuren unwiederbringlich.

Richtig ist:

• Netzwerk isolieren: Betroffene Geräte physisch vom Netzwerk trennen (LAN-Kabel ziehen, WLAN deaktivieren). Nicht ausschalten!
• Verbreitungsstopp: Kompromittierte Benutzerkonten sofort in Active Directory/Entra ID deaktivieren.
• Admin-Rechte sperren: Temporäre Einschränkung aller privilegierten Zugriffe bis zur Klärung des Befallsrads.

Praxis-Tipp: Halten Sie einen physischen “Notfall-Bereitsteller” bereit, der bei Eskalation sofort Netzwerk-Switches für betroffene VLANs abschalten kann — ohne die Server vom Strom zu trennen.

2. Das IR-Team aktivieren (15 Minuten)

Jedes Unternehmen ab mittlerer Größe sollte vor einem Angriff einen Incident-Response-Plan geschrieben und mit Schlüsselpersonen abgestimmt haben. Wenn dieser Plan existiert: jetzt umsetzen.

Minimales IR-Team besteht aus:

• Geschäftsführer oder bevollmächtigte Vertretung (Entscheidungsbefugnis)
• IT-Leitung / CISO (technische Koordination)
• Rechtsberatung mit IT-Rechts-Fokus (Meldetermine, Haftung, Kommunikation)
• Externer IR-Dienstleister je nach Vertrag aktiviert

Falls noch kein Plan existiert: Jetzt ein minimaler Notfall-Raum per Microsoft Teams oder Signal (außerhalb kompromittierter Systeme!) initiieren. Festhalten, wer wann welche Entscheidung getroffen hat — das ist später forensisch und rechtsrelevant.

3. Dokumentations-Kette starten (30 Minuten)

Jede Handlung im Ernstfall wird protokolliert: wer, was, wann, warum. Diese Protokollierung dient zwei Zwecken:

1. Forensische Rekonstruktion des Angriffsverlaufs
2. Nachweis der Sorgfaltspflicht (besonders wichtig für NIS2-Meldepflicht und Haftungsfragen)

Praktisches Mittel: Ein geteilter Ordner oder OneNote/SharePoint (von außen erreichbar, nicht kompromittiert), in dem alle IR-Teilnehmer ihre Handlungen zeitgestempelt eintragen. Jede Änderung am Netzwerk, jedes Gespräch mit Behörden, jeder Kontakt zu Versicherungen wird festgehalten.

Stunde 3–6: Bestandsaufnahme und ersten Erkenntnisse gewinnen

4. Erster Scope der Infektion definieren (1–2 Stunden)

Bevor man weiter gegenreagiert, muss klar sein, wie weit der Schaden reicht. Hier arbeiten forensisch geschulte Ir-Spezialisten mit dem BSI-Leitfaden “Erste Schritte nach einem Cyberangriff” ¹.

Checkliste für die ersten Erkenntnisse:

• [ ] Welches System war der Initialzugang? (Phishing-Mail, kompromittiertes RDP, unsicheres VPN)
• [ ] Wie viele Systeme sind betroffen? (Eine Arbeitsgruppe? Ein ganzer Standort?)
• [ ] Wurden Daten exfiltriert? (Prüfung von Firewall-Logs auf unübliche ausgehende Verbindungen in den 72 Stunden vor Entdeckung)
• [ ] Liegt Ransomware vor? Welche Variante? (Die Verschlüsselung zeigt oft bereits die Angreiferfraktion — entscheidend für Verhandlungen, aber auch für forensische Werkzeuge)

Wichtig: Bei Verdacht auf Datendiebstahl nicht versuchen, “selber alles zu reparieren”. Forensik-Werkzeuge (wie THOR von Nextron oder OSSEM-basierte Lösungen ²) brauchen saubere Systeme, um den Angriffspfad rekonstruieren zu können.

5. Kritische Geschäftprozesse priorisieren (1 Stunde)

Nicht alle Systeme sind gleich wichtig. In den ersten Stunden entscheidet sich, ob das Unternehmen weiter operativ arbeitsfähig bleibt. Stellen Sie sich folgende Fragen zur Priorisierung:

Was muss heute noch funktionieren?

• E-Mail für die Verwaltung?
• Buchhaltung/Rechnungsstellung?
• Produktionsanlage (falls OT betroffen)?
• Kundensupport (Hotline)?

Entsprechend priorisiert:

1. Temporäre Workflows aktivieren (z.B. Manuelle Rechnungsstellung, Telefonie auf Mobilgeräte umschalten)
2. Nicht-kritische Systeme weiter isolieren (keine Zeit für Deep-Dive in weniger relevante Bereiche)
3. Mit Geschäftsführer die Entscheidung treffen, welche Prozesse vorübergehend pausiert werden

Dies ist oft der moment, an dem das Unternehmen merkt: Eine aktuelle Dokumentationsliste aller kritischen Geschäftsprozesse und deren IT-Abhängigkeit existierte vorher nicht — oder war veraltet. Für den nächsten Malfall (ja, es wird einen zweiten geben) gehört diese Liste in den IR-Plan.

Stunde 6–12: Meldepflichten prüfen und externe Hilfe holen

6. NIS2-Meldepflicht prüfen (1 Stunde)

Seit der Umsetzung der NIS2-Richtlinie ins deutsche Recht (NIS2UmsuCG, in Kraft getreten am 6. Dezember 2025 ³) gibt es für viele Unternehmen verbindliche Meldefristen:

• Frühwarnung innerhalb von 24 Stunden nach einem schwerwiegenden Incident
• Weitergehende Berichtspflicht innerhalb einer Woche mit technischem Abschlussbericht

Wer ist betroffen? Unternehmen in 18 definierten Sektoren (Energie, Verkehr, Gesundheit, Finanzen, digitale Infrastruktur u.a.) mit mindestens 50 MA oder 10 Mio. € Umsatz müssen sich beim BSI registrieren und Vorfälle melden ³.

Meldepflichtiger Vorfall: Nicht jede Phishing-Mail zwingt zur Meldung. Kritisch sind:

• Datenexfiltration mit geschützten Daten (Personaldaten, Kundendaten, Betriebsgeheimnisse)
• Ransomware-Angriffe mit Funktionsausfall über 24 Stunden
• Kompromittierung kritischer Infrastruktur

Praxis-Tipp: Für alle anderen Unternehmen gilt dennoch: Bei Verdacht auf Datendiebstahl muss die DSGVO-Meldepflicht (72-Stunden-Frist an Aufsichtsbehörden und betroffene Personen) geprüft werden. Im Zweifel immer DSB oder IT-Rechtsanwalt hinzuziehen — die Haftung für unterlassene Meldung ist persönlich für Geschäftsführer relevant.

7. Externe IR-Dienstleister aktivieren (1–2 Stunden)

Die meisten Unternehmen im Mittelstand haben keines eigenen Certified Incident-Responder im Haus. Das ist völlig in Ordnung — aber es bedeutet: Im Ernstfall muss ein vertrauenswürdiges externes Team innerhalb weniger Stunden vor Ort sein können.

Was macht eine gute IR-Firma aus?

• 24/7-Erreichbarkeit (Notfallservice-Rufnummer, nicht nur Bürozeiten)
• Zertifizierte Forensiker (z.B. Certified Computer Examiner, GIAC GCFE/GCFA)
• Erfahrung mit deutschen Behördenmeldepflichten (NIS2, DSGVO)
• Eigene Tools zur Malware-Analyse und Netzwerk-Forensik

Empfohlener Aufbau (vor dem Angriff!): Halten Sie zwei IR-Dienstleister im Vorfeld evaluiert — einen primären (Rahmenvertrag) und einen sekundäreren (Backup, falls der erste nicht rechtzeitig verfügbar ist). In vielen Fällen kommt es vor: Das Unternehmen meldet sich erst nach Angriff bei “der bekannten Firma” — die hat gerade drei andere Incidents gleichzeitig.

8. Kommunikation vorbereiten (1 Stunde)

Das Schweigen ist oft das größte Risiko im ersten Tag. Mitarbeiter fragen herum, Kunden rufen an, die Geschäftsführung sucht nach Worten. Eine abgestimmte Kommunikationsstrategie gehört zum IR-Plan:

Interne Kommunikation (Mitarbeiter):

• Kurzinformation über Vorfall (ohne technische Details)
• Klarer Hinweis: “Nicht auf eigene Faust versuchen, Systeme wiederherzustellen”
• Hotline / Ansprechpartner für Fragen

Externe Kommunikation (Kunden/Partner):

• Erst nur bei nachweisbarem Datenverlust oder erheblicher Funktionsstörung
• Keine voreiligen Versprechungen (“Wir haben alles unter Kontrolle”) — erst nach forensischem Bestätigen
• Datenschutzrechtliche Prüfung vor jeder öffentlichen Mitteilung über betroffene Personen

Öffentlichkeit / Presse: Diese Entscheidung liegt allein in der Geschäftsführung — aber: Ein vorbereiteter Pressespruch (vor dem Angriff) beschleunigt die Reaktion enorm. Beispiel: “Wir nehmen den Vorfall sehr ernst, arbeiten mit Spezialisten an einer umfassenden Analyse und informieren betroffene Parteien gemäß rechtlicher Vorgaben.”

Was nicht tun — die häufigsten Fehler im ersten Tag

Die folgende Tabelle fasst bewährte Fallstricke zusammen, basierend auf der Nextron-Post-Incident-Analyse ² und BSI-Leitfäden:

Fazit: Vorbereitung ist nicht optional

Die ersten 12 Stunden nach einem Cyberangriff entscheiden maßgeblich darüber, ob ein Unternehmen den Vorfall bewältigt — oder an ihm scheitert. Doch die wichtigste Erkenntnis: Man kann im ersten Moment kein gutes IR-Team bauen. Jeder Schritt muss vorbereitet sein.

Praxis-Checkliste für Ihre Vorbereitung:

• IR-Plan dokumentiert und mit Geschäftsführung abgestimmt
• Externe IR-Dienstleister evaluiert, Kontakt hinterlegt in 24/7-Schichtplan
• Kritische Geschäftsprozesse priorisiert, Notfallszenario durchgespielt
• Meldepflichten nach NIS2 und DSGVO geklärt (BSI-Registrierung? DSB kontaktiert?)
• Kommunikationsvorlagen für Mitarbeiter/Kunden/Presse im Notfallordner

Wenn Sie diese Punkte noch nicht abgehakt haben: Der beste Zeitpunkt, sie anzugehen, war vor dem ersten Angriff. Der zweitbeste ist jetzt — solange die Systeme noch laufen.

Wir prüfen gemeinsam mit Ihnen: Haben Sie einen praxistauglichen Incident-Response-Plan? Über unseren Bereich Incident Response & IT-Forensik unterstützen wir Mittelständler dabei, IR-Szenarien durchzuspielen und Meldepflichten einzuhalten. Warum ein Backup allein nicht genügt, zeigt ergänzend unser Beitrag Der Backup-Mythos im Mittelstand — kostenlose Erstberatung.

Quellenangaben

Autoren-Anmerkung

Dieser Artikel basiert auf den aktuellen Empfehlungen des BSI und forensischen Best Practices. Die beschriebenen Schritte ersetzen keine rechtsverbindliche Beratung — im Ernstfall immer Fachanwälte und zertifizierte IR-Spezialisten hinzuziehen.

Letzte Aktualisierung der Quellen: 6. Februar 2026 (Nextron), Dezember 2025 (BSI), August 2026 (dieser Artikel) draft: false