Die erste Stunde: was bei einem Ransomware-Verdacht zuerst passieren muss

Wenn eine Lösegeldforderung am Bildschirm steht, ist der häufigste Fehler hektisches Handeln: Rechner ausschalten, Backups sofort einspielen, Festplatten formatieren. Damit verschwinden genau die Spuren, die später für Versicherung, Meldepflichten und die Frage nach dem Einfallstor gebraucht werden.

Die Reihenfolge, die wir einhalten

1. Lagebild: Welche Systeme sind betroffen, welche laufen noch, seit wann bestehen Auffälligkeiten, welche Backups existieren und wann wurden sie zuletzt erfolgreich zurückgespielt. Dieser Schritt passiert bereits am Telefon.
2. Eindämmung: Netzwerktrennung statt Abschaltung. Ein laufendes System behält seinen Arbeitsspeicher — und darin stecken offene Verbindungen, entschlüsselte Zugangsdaten und aktive Prozesse.
3. Beweissicherung: Protokolle, Abbilder und eine Zeitachse der Ereignisse.
4. Wiederanlauf: In geplanter Reihenfolge, nicht nach Dringlichkeit der Zurufe.

Netzwerktrennung statt Abschaltung — das ist der wichtigste Satz der ersten Stunde.

Warum die Zeitachse rechtlich zählt

Bei einer Verletzung des Schutzes personenbezogener Daten sieht die DSGVO eine Meldung an die Datenschutzbehörde binnen 72 Stunden vor. Ohne belastbare Zeitachse lässt sich weder beurteilen, ob eine Meldepflicht besteht, noch was konkret gemeldet werden muss. Die rechtliche Bewertung nehmen wir nicht vor — wir liefern die technische Grundlage dafür.

Was wir ausdrücklich nicht sind

Wir sind Erstreaktion, kein 24/7-SOC. Was wir leisten, ist die kontrollierte erste Stunde, damit die Entscheidungen danach auf einer belastbaren Grundlage getroffen werden. Verhandlungen mit Angreifern und Rechtsberatung gehören nicht dazu — dafür verweisen wir an spezialisierte Stellen.