Question 1

Was sollte man als Erstes tun, wenn man einen Cyberangriff bemerkt?

Accepted Answer

Die betroffenen Systeme vom Netz trennen – Netzwerkkabel ziehen, WLAN deaktivieren – und die Datensicherung ebenfalls isolieren, damit sie nicht das nächste Ziel wird. Alles Weitere folgt danach. Wichtig ist, dass jede Person im Unternehmen diese Erlaubnis ausdrücklich hat, denn Zögern kostet in dieser Phase am meisten Zeit.

Question 2

Sollte man einen befallenen Rechner ausschalten?

Accepted Answer

Im Regelfall nein. Ein laufendes System hält Informationen im Arbeitsspeicher, die für die spätere Analyse gebraucht werden. Sinnvoller ist, das Gerät vom Netzwerk zu trennen und eingeschaltet zu lassen. Nur wenn erkennbar gerade aktiv verschlüsselt wird, kann das Stoppen schwerer wiegen als die Spurensicherung – diese Abwägung sollte vorher mit dem IT-Partner besprochen sein.

Question 3

Welche Meldefristen gelten nach einem Cyberangriff?

Accepted Answer

Nach Artikel 33 der Datenschutz-Grundverordnung müssen Verletzungen des Schutzes personenbezogener Daten binnen 72 Stunden ab Kenntnis an die zuständige Aufsichtsbehörde gemeldet werden. Für Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, kommt eine gestufte Meldung hinzu: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Beide Fristen laufen ab Kenntnis, nicht ab Behebung.

Question 4

Gilt NIS-2 auch für kleine Unternehmen?

Accepted Answer

Unmittelbar meist nicht. Das Gesetz gilt seit dem 6. Dezember 2025 und richtet sich in bestimmten Sektoren an Unternehmen ab 50 Beschäftigten und 10 Millionen Euro Jahresumsatz; betroffen sind rund 30.000 Unternehmen in Deutschland. Kleinere Betriebe spüren die Anforderungen aber mittelbar, weil Auftraggeber sie vertraglich an Lieferanten und Dienstleister weitergeben.

Question 5

Warum ist es wichtig, Spuren zu sichern?

Accepted Answer

Weil ohne sie drei Dinge nicht funktionieren: Die Cyberversicherung kann die Leistung verweigern, eine Strafanzeige bleibt ohne Substanz, und es lässt sich nicht klären, welche Daten tatsächlich abgeflossen sind. Ohne diese Klärung ist auch die Datenschutzmeldung nicht belastbar. Protokolle überschreiben sich nach Tagen oder Wochen selbst – wer sie nicht sofort wegkopiert, hat sie später nicht mehr.

Question 6

Wer darf im Unternehmen entscheiden, Systeme abzuschalten?

Accepted Answer

Das sollte vorher schriftlich geregelt sein. Bewährt hat sich eine Zweiteilung: Das Trennen vom Netz darf jede Person sofort und ohne Rückfrage, das vollständige Abschalten entscheidet die Geschäftsführung oder der IT-Partner. Für jede Befugnis braucht es eine benannte Vertretung, weil Angriffe bevorzugt nachts und an Wochenenden stattfinden.

Question 7

Was gehört auf eine IT-Notfallkarte?

Accepted Answer

Vier Blöcke: was sofort zu tun ist, was auf keinen Fall zu tun ist, wen man anruft – mit vollständigen Nummern auch außerhalb der Geschäftszeit – und wer welche Entscheidung treffen darf. Dazu das Datum der letzten Prüfung. Die Karte gehört ausgedruckt an mehrere Orte, weil sie im Ernstfall nicht im gesperrten Postfach liegen darf.

Question 8

Sollte man Lösegeld zahlen?

Accepted Answer

Diese Frage sollte nicht unter Druck erstmals gestellt werden. Eine Grundsatzposition gehört vorab festgelegt, gemeinsam mit Geschäftsführung, IT-Partner und gegebenenfalls Versicherung. Eine Zahlung garantiert weder die vollständige Wiederherstellung noch, dass abgeflossene Daten nicht doch veröffentlicht werden – und die Meldepflichten entfallen dadurch nicht.

IT-Notfallplan

Cyberangriff: Wer entscheidet in den ersten 60 Minuten?

Wenn der IT-Verantwortliche ausfällt: So bleibt Ihr Unternehmen handlungsfähig