IT-Notfallkoffer

IT-Notfall: Erste Schritte im Unternehmen

Verdächtige Anmeldungen, verschlüsselte Dateien oder eine Erpressungsnachricht: Bei einem IT-Sicherheitsvorfall kommt es auf schnelles, abgestimmtes Handeln an. Diese Schritte helfen Ihnen, den Schaden zu begrenzen und Unterstützung zu organisieren. Nutzen Sie Ihren betrieblichen Notfallplan. Mehrere Maßnahmen müssen parallel erfolgen.

1. Ruhe bewahren und Vorfall melden

Informieren Sie unverzüglich Ihre IT-Verantwortlichen oder Ihren IT-Dienstleister. Melden Sie auch einen begründeten Verdacht. Beschreiben Sie kurz, was Ihnen wann und an welchem Gerät aufgefallen ist. Bei größeren Vorfällen muss die Geschäftsleitung frühzeitig eingebunden werden.

2. Ausbreitung begrenzen

Nutzen Sie Geräte mit Verdacht auf Schadsoftware nicht weiter. Trennen Sie diese nach Ihrem Notfallplan vom Netzwerk, beispielsweise durch Ziehen des Netzwerkkabels und Deaktivieren der WLAN-Verbindung. Bei Produktionsanlagen sind die betrieblichen Sicherheitsvorgaben zu beachten.
Starten Sie betroffene Geräte nicht eigenmächtig neu und führen Sie keine Bereinigungen durch. Stimmen Sie weitere Eingriffe und die Frage des Ausschaltens mit Ihren IT-Fachleuten ab.

3. Unterstützung und Zuständigkeiten klären

Holen Sie bei Bedarf Fachleute für die Bewältigung von Cyberangriffen hinzu. Legen Sie fest, wer den Vorfall koordiniert, Entscheidungen trifft und Informationen weitergibt. Nutzen Sie für die Abstimmung einen sicheren Kommunikationsweg, falls das betriebliche E-Mail-System betroffen sein könnte.

4. Backups schützen und Spuren erhalten

Schließen Sie Sicherungsmedien nicht an möglicherweise infizierte Geräte an und spielen Sie Backups nicht vorschnell zurück. Lassen Sie vorhandene Sicherungen durch Ihre IT vor weiteren Zugriffen schützen.
Löschen Sie keine verdächtigen Dateien oder Nachrichten. Die fachgerechte Sicherung von Protokollen und anderen digitalen Spuren sollten qualifizierte Fachleute übernehmen.

5. Betroffene Zugänge absichern

Lassen Sie möglicherweise übernommene Benutzerkonten und Fernzugänge prüfen und bei Bedarf sperren. Passwortänderungen sollten über ein vertrauenswürdiges Gerät erfolgen. Auch aktive Sitzungen, hinterlegte Wiederherstellungsdaten und automatische E-Mail-Weiterleitungen müssen überprüft werden.

6. Dokumentieren und Meldepflichten prüfen

Halten Sie Beobachtungen, Zeitpunkte, betroffene Systeme und durchgeführte Maßnahmen fest. Fotos von Fehlermeldungen können hilfreich sein.
Lassen Sie gleichzeitig prüfen, ob Datenschutzverletzungen oder andere meldepflichtige Sicherheitsvorfälle vorliegen. Beziehen Sie Datenschutzverantwortliche und bei Bedarf rechtliche Beratung ein. Warten Sie damit nicht auf den Abschluss der technischen Untersuchung. Berücksichtigen Sie auch vertragliche Pflichten, etwa gegenüber Ihrer Cyberversicherung.

7. Betrieb kontrolliert wiederherstellen

Nehmen Sie Systeme erst nach Prüfung und Freigabe durch die zuständigen IT-Fachleute wieder in Betrieb. Angriffswege müssen geschlossen und Sicherungen vor der Wiederherstellung geprüft sein. Werten Sie den Vorfall anschließend aus und passen Sie Ihren Notfallplan an.
Weiterführende Informationen: