Ein Cyberangriff kann innerhalb weniger Minuten den Zugriff auf Systeme blockieren, Daten verändern oder vertrauliche Informationen offenlegen. Wenn Sie sich fragen: „Cyberangriff, was tun?“, entscheidet ein klarer Ablauf in den ersten 24 Stunden über Schadensbegrenzung, Beweissicherung und eine korrekte Meldung.
Was ist bei einem Cyberangriff zuerst zu tun?
Bei einem Cyberangriff sollten Sie zuerst den Vorfall bestätigen, die Ausbreitung begrenzen und die Entscheidungswege festlegen. Vermeiden Sie unkoordinierte Neustarts, Löschungen oder Verhandlungen durch einzelne Mitarbeitende.
Starten Sie mit einer kurzen Lagebeurteilung:
- Welche Systeme, Benutzerkonten und Standorte sind betroffen?
- Gibt es Hinweise auf Ransomware, Phishing, Datendiebstahl oder unbefugten Zugriff?
- Sind kritische Prozesse wie Zahlungsverkehr, Produktion oder medizinische Leistungen beeinträchtigt?
- Besteht weiterhin Zugriff des Angreifers?
- Könnten besonders schützenswerte Personendaten betroffen sein?
Benennen Sie eine Person als Einsatzleitung. Diese koordiniert IT, Geschäftsleitung, Datenschutz, Kommunikation und gegebenenfalls externe Incident-Response-Spezialisten. Eine zentrale Dokumentation hält Zeitpunkt, Beobachtung, Entscheidung, Verantwortliche und Ergebnis fest.
Welche Incident Response erste Schritte sind in der ersten Stunde wichtig?
Die wichtigsten Incident Response erste Schritte sind die kontrollierte Eindämmung, die Beweissicherung und die Aktivierung der richtigen internen und externen Stellen.
1. Betroffene Systeme isolieren
Trennen Sie kompromittierte Geräte vom Netzwerk, wenn dadurch die weitere Ausbreitung begrenzt wird. Entfernen Sie bei Bedarf Netzwerkkabel oder deaktivieren Sie WLAN. Schalten Sie Systeme nicht automatisch aus, wenn flüchtige Informationen wie aktive Verbindungen, Prozesse oder Schlüssel für die Analyse wichtig sein könnten.
Bei einer Ransomware-Infektion kann es sinnvoll sein, Netzwerksegmente oder Server kontrolliert zu isolieren. Die Massnahme muss mit der Einsatzleitung und, falls vorhanden, einem Forensik-Team abgestimmt werden.
2. Konten und Zugänge absichern
Deaktivieren Sie nach einer ersten Bewertung kompromittierte Konten. Ändern Sie privilegierte Passwörter über ein sauberes Administrationssystem und widerrufen Sie aktive Sitzungen, Tokens und API-Schlüssel. Aktivieren oder erzwingen Sie Mehrfaktor-Authentisierung, sofern dies gefahrlos möglich ist.
Ändern Sie nicht blind sämtliche Passwörter auf einem möglicherweise kompromittierten Gerät. Nutzen Sie dafür ein nachweislich vertrauenswürdiges System.
3. Beweise und Informationen sichern
Sichern Sie relevante Logdaten aus Identitätsdiensten, Firewalls, Endpunkten, E-Mail-Systemen, Cloud-Plattformen und Backups. Notieren Sie die Uhrzeit in einer einheitlichen Zeitzone und bewahren Sie Originaldaten unverändert auf.
Hilfreich sind insbesondere:
- Screenshots von Fehlermeldungen und Erpressernotizen
- E-Mail-Header verdächtiger Nachrichten
- Firewall-, VPN- und Authentisierungsprotokolle
- Informationen zu betroffenen Geräten und Benutzerkonten
- Hinweise auf Datenabfluss oder ungewöhnliche Cloud-Aktivitäten
Wie unterscheiden sich Eindämmung und Wiederherstellung?
Eindämmung stoppt möglichst die weitere Ausbreitung, während die Wiederherstellung den sicheren Betrieb nach der Analyse ermöglicht. Beides sollte getrennt geplant werden.
| Phase | Ziel | Typische Massnahmen | Häufiger Fehler |
|---|---|---|---|
| Eindämmung | Angriff begrenzen | Systeme segmentieren, Konten sperren, Fernzugriffe prüfen | Zu früh alle Geräte abschalten |
| Analyse | Ursache und Umfang verstehen | Logs sichern, Forensik durchführen, Angriffsweg rekonstruieren | Nur den sichtbaren Rechner untersuchen |
| Wiederherstellung | Betrieb sicher aufnehmen | Saubere Backups prüfen, Systeme neu aufsetzen, Zugang absichern | Backups ungeprüft zurückspielen |
| Nachbereitung | Widerstandsfähigkeit erhöhen | Ursachen beheben, Kontrollen verbessern, Bericht erstellen | Vorfall ohne Lessons Learned abschliessen |
Bevor Sie Backups zurückspielen, müssen Sie deren Integrität und den Zeitpunkt der Kompromittierung prüfen. Ein Backup kann bereits infiziert oder mit manipulierten Zugangsdaten verknüpft sein. Wiederherstellung erfolgt idealerweise in einer isolierten Umgebung und mit neuen, geprüften Administrationszugängen.
Welche Datenpanne Sofortmassnahmen sind in der Schweiz erforderlich?
Bei einer möglichen Datenpanne Sofortmassnahmen nach dem revDSG müssen Sie zunächst den Umfang, die betroffenen Personen und das Risiko für deren Persönlichkeit und Grundrechte beurteilen. Eine Verletzung der Datensicherheit liegt beispielsweise vor, wenn Personendaten verloren gehen, unbefugt offengelegt oder verändert werden.
Das Schweizer Datenschutzgesetz verlangt eine Meldung an den EDÖB, wenn eine Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Die Meldung sollte möglichst rasch erfolgen und die verfügbaren Informationen zu Art des Vorfalls, betroffenen Daten, Folgen und ergriffenen Massnahmen enthalten. Wenn noch nicht alle Fakten bekannt sind, können Sie Informationen nachreichen.
Prüfen Sie ausserdem, ob betroffene Personen informiert werden müssen. Das hängt unter anderem vom Risiko und von den getroffenen Schutzmassnahmen ab. Dokumentieren Sie auch, weshalb Sie eine Meldung oder Benachrichtigung nicht vorgenommen haben.
Für Banken, Versicherungen und andere FINMA-beaufsichtigte Institute gelten zusätzliche Anforderungen. Je nach Vorfall können Melde- oder Informationspflichten gegenüber der FINMA und weitere Vorgaben zur operationellen Resilienz relevant sein. Der interne Datenschutzberater oder eine spezialisierte Rechtsberatung sollte früh einbezogen werden.
Wann sollten Sie das NCSC, die Polizei oder externe Spezialisten einbeziehen?
Sie sollten das NCSC, die Polizei oder externe Spezialisten früh einbeziehen, wenn der Angreifer noch aktiv sein könnte, grosse Datenmengen betroffen sind oder die eigene Analysekapazität nicht ausreicht.
Das Nationale Zentrum für Cybersicherheit, NCSC, stellt Informationen und Meldewege für Cybervorfälle bereit. Bei Erpressung, Betrug, Datendiebstahl oder gezielter Kompromittierung kann zusätzlich eine Anzeige bei der zuständigen kantonalen Polizei sinnvoll sein. Bewahren Sie Erpressernachrichten, Zahlungsforderungen, Wallet-Adressen, E-Mail-Adressen und technische Indikatoren auf.
Ein externes Incident-Response-Team ist besonders wertvoll, wenn:
- der Angriffsweg unklar ist,
- Domain-Administrator- oder Cloud-Konten betroffen sind,
- eine Ransomware-Gruppe Daten entwendet haben könnte,
- forensische Beweise gesichert werden müssen,
- die interne IT gleichzeitig den Notbetrieb aufrechterhalten muss.
Wie kommunizieren Sie während der ersten 24 Stunden?
Kommunizieren Sie sachlich, zentral und nur mit bestätigten Informationen. Mitarbeitende sollten wissen, welche Systeme sie nicht verwenden dürfen, an wen sie verdächtige Beobachtungen melden und wo aktuelle Anweisungen veröffentlicht werden.
Die Geschäftsleitung sollte eine Kommunikationsverantwortung bestimmen. Externe Aussagen müssen Datenschutz, Haftung, Strafverfolgung und laufende technische Untersuchungen berücksichtigen. Vermeiden Sie Spekulationen über Täter, Schadenshöhe oder Datenabfluss.
Informieren Sie Kunden, Partner oder Lieferanten, wenn dies für deren Schutz oder die Aufrechterhaltung sicherer Geschäftsprozesse notwendig ist. Geben Sie keine technischen Details weiter, die einen laufenden Angriff erleichtern könnten.
Wie sieht ein sinnvoller Zeitplan für die ersten 24 Stunden aus?
Ein sinnvoller Zeitplan verbindet technische Eindämmung, rechtliche Bewertung und belastbare Kommunikation.
- 0 bis 1 Stunde: Vorfall bestätigen, Einsatzleitung bestimmen, betroffene Systeme erfassen und kritische Verbindungen kontrolliert trennen.
- 1 bis 4 Stunden: Konten und Fernzugänge prüfen, Logs und Beweise sichern, Backups schützen und externe Fachstellen aktivieren.
- 4 bis 8 Stunden: Angriffsweg und betroffene Datenbereiche bewerten, Geschäftsrisiken priorisieren und eine erste rechtliche Einschätzung einholen.
- 8 bis 24 Stunden: EDÖB- und FINMA-relevante Pflichten prüfen, Kommunikationsplan umsetzen, Wiederherstellung vorbereiten und Entscheidungen dokumentieren.
- Nach 24 Stunden: Systeme schrittweise und kontrolliert wieder in Betrieb nehmen, Ursachen beseitigen und einen Abschlussbericht erstellen.
Wie Sie am besten starten
Starten Sie mit einem kurzen, realistischen Notfallplan und testen Sie ihn regelmässig. Ein Dokument allein verhindert keinen Angriff, schafft aber in den ersten Stunden klare Verantwortlichkeiten.
- Bestimmen Sie eine Einsatzleitung und Stellvertretung.
- Erstellen Sie eine aktuelle Liste kritischer Systeme, Konten und Datenarten.
- Definieren Sie Eskalationswege für IT, Geschäftsleitung, Datenschutz und Kommunikation.
- Vereinbaren Sie mit einem externen Incident-Response-Anbieter eine erreichbare Notfallunterstützung.
- Prüfen Sie Backups, Protokollierung, Netzwerksegmentierung und Mehrfaktor-Authentisierung.
- Üben Sie ein Szenario wie Ransomware, kompromittiertes Cloud-Konto oder Datenabfluss.
Für die Vorbereitung oder den Ernstfall können Sie im Verzeichnis von Cyberprovider geprüfte Schweizer Cybersecurity-Anbieter vergleichen. Achten Sie auf nachweisbare Erfahrung mit Incident Response, Forensik, Datenschutz und den Anforderungen Ihrer Branche.
Welche häufigen Fragen gibt es?
Muss ein Unternehmen jeden Cyberangriff dem EDÖB melden?
Nein. Eine Meldung ist nach dem revDSG insbesondere dann erforderlich, wenn die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für betroffene Personen führt. Die Bewertung und ihre Begründung sollten dokumentiert werden.
Soll ich einen verschlüsselten Computer sofort ausschalten?
Nicht zwingend. Isolieren Sie das Gerät zunächst kontrolliert und sichern Sie, wenn möglich, flüchtige Informationen. Die richtige Massnahme hängt vom Angriff, der Infrastruktur und der Verfügbarkeit forensischer Unterstützung ab.
Darf ein Unternehmen Lösegeld bezahlen?
Eine Zahlung ist keine verlässliche Wiederherstellung und kann rechtliche, finanzielle und sicherheitsbezogene Folgen haben. Lassen Sie die Situation rechtlich und technisch prüfen und beziehen Sie gegebenenfalls Strafverfolgungsbehörden und die Cyberversicherung ein.
Wie lange sollen Logs und Beweise aufbewahrt werden?
Bewahren Sie relevante Daten so lange und manipulationssicher auf, wie es für Untersuchung, rechtliche Pflichten, Versicherungsfragen und mögliche Strafverfahren erforderlich ist. Datenschutz, Zweckbindung und Zugriffsschutz müssen dabei berücksichtigt werden.
Was gehört in einen Incident-Response-Plan?
Ein Plan enthält Rollen, Eskalationswege, Kontaktlisten, technische Eindämmungsmassnahmen, Beweissicherung, Kommunikationsregeln, Datenschutzprüfung, Wiederherstellung und Nachbereitung. Er sollte anhand eines Cybersecurity-Szenarios getestet werden.
