Ransomware-Angriff: Was tun? Soforthilfe-Leitfaden für Unternehmen
Wenn plötzlich Dateien verschlüsselt sind und eine Lösegeldforderung auf dem Bildschirm steht, zählt jede Minute – und genau dann werden die folgenschwersten Fehler gemacht. Panik, vorschnelles Herunterfahren, Löschen vermeintlich infizierter Dateien: All das kann Spuren vernichten, die für die Wiederherstellung und die spätere Aufarbeitung entscheidend sind. Dieser Leitfaden zeigt, was im Ernstfall in welcher Reihenfolge zu tun ist – und was man unbedingt unterlassen sollte.
Wichtig vorab: Dieser Artikel ersetzt keinen Incident-Response-Plan. Er hilft, die ersten Stunden zu überstehen, bis professionelle Unterstützung greift.
Sofort tun: Eindämmen, nicht zerstören
Betroffene Systeme isolieren, nicht ausschalten. Trennen Sie infizierte Geräte vom Netzwerk (Kabel ziehen, WLAN deaktivieren), aber fahren Sie sie möglichst nicht herunter – im Arbeitsspeicher können forensisch wichtige Informationen liegen. Das verhindert die weitere Ausbreitung, ohne Beweise zu vernichten.
Reichweite feststellen. Welche Systeme, Server und Backups sind betroffen? Sind Cloud-Dienste oder Domänencontroller erreicht? Diese Einschätzung steuert alle weiteren Schritte.
Backups schützen. Trennen Sie Sicherungssysteme sofort vom Netz, bevor die Schadsoftware sie ebenfalls verschlüsselt. Funktionierende, unangetastete Backups sind die wichtigste Voraussetzung für eine Wiederherstellung ohne Lösegeldzahlung.
Vorfall dokumentieren. Halten Sie ab der ersten Minute fest, was wann beobachtet und unternommen wurde – das brauchen Sie für Versicherung, Behörden und die NIS2-Meldung.
Unbedingt unterlassen
Zahlen Sie nicht vorschnell – eine Zahlung garantiert keine Wiederherstellung und finanziert die Täter. Löschen Sie keine Dateien und "säubern" Sie keine Systeme im Alleingang, bevor eine forensische Sicherung erfolgt ist. Und kommunizieren Sie nicht unkoordiniert nach außen: unabgestimmte Aussagen können rechtliche und reputative Folgen haben.
Wer informiert werden muss
Je nach Lage sind mehrere Stellen einzubinden: die Geschäftsführung, der Datenschutzbeauftragte (bei Betroffenheit personenbezogener Daten droht zusätzlich eine DSGVO-Meldepflicht innerhalb von 72 Stunden), die Cyberversicherung sowie – bei NIS2-Betroffenheit – das BSI mit der 24-Stunden-Frühwarnung. Bei strafbaren Handlungen kann zudem eine Anzeige bei der zentralen Ansprechstelle Cybercrime sinnvoll sein.
Der entscheidende Unterschied: Vorbereitung
Unternehmen, die einen Angriff gut überstehen, haben drei Dinge vorher geregelt: getestete, vom Netz trennbare Backups, einen schriftlichen Incident-Response-Plan mit klaren Rollen und eine Erkennung, die den Angriff früh sichtbar macht. Denn Ransomware schlägt selten ohne Vorlauf zu – oft sind Angreifer Tage oder Wochen im Netz, bevor sie verschlüsseln. Wer diese Phase überwacht, kann den Angriff stoppen, bevor er eskaliert.
Valyros erkennt die Vorbereitungsphase eines Ransomware-Angriffs über das 24/7-SOC und stoppt ihn, bevor verschlüsselt wird. Managed Detection & Response liefert die Echtzeit-Erkennung, Business Continuity den strukturierten Notfallplan. Akuter Verdacht auf einen Angriff? Soforthilfe anfordern.
Häufige Fragen
Soll man das Lösegeld zahlen?
Behörden raten grundsätzlich ab. Eine Zahlung garantiert keine Entschlüsselung und macht das Unternehmen zum erneuten Ziel.
Soll man betroffene Rechner sofort ausschalten?
Besser vom Netz trennen statt herunterfahren – Ausschalten kann forensisch wichtige Daten im Arbeitsspeicher löschen.
Muss ein Ransomware-Angriff gemeldet werden?
Häufig ja: bei personenbezogenen Daten nach DSGVO, bei NIS2-Betroffenheit zusätzlich an das BSI.
Wie lange dauert die Wiederherstellung?
Ohne saubere Backups und Planung Wochen bis Monate. Mit getesteten Backups und vorbereitetem Incident Response oft Tage.
Kann man einen Angriff vorher erkennen?
Ja. Die meisten Ransomware-Angriffe haben eine Vorlaufphase mit verdächtigen Aktivitäten. Ein 24/7-SOC erkennt diese Anzeichen früh.
MDR mit 24/7-SOC aus Deutschland
Valyros betreibt ein 24/7-SOC und schützt KMU, Arztpraxen, Kanzleien und den Mittelstand – DSGVO-konform mit Datenhaltung in Deutschland.
Weitere Artikel
NIS2 Vorfall melden: 24h-, 72h- und Monatsfrist richtig einhalten
NIS2 sieht ein gestuftes Meldeverfahren vor: 24 Stunden Frühwarnung, 72 Stunden Vorfallsmeldung, ein Monat Abschlussbericht. Was meldepflichtig ist und wie KMU die Fristen einhalten.
Ransomware-Schutz für den Mittelstand: Der vollständige Leitfaden 2026
9 von 10 Ransomware-Angriffe lassen sich verhindern – wenn die richtigen Maßnahmen greifen. Der vollständige Leitfaden für den Mittelstand mit konkreter Schritt-für-Schritt-Anleitung.
Ransomware im Mittelstand: Qilin-Welle 2026
Neue Qilin-Angriffswelle trifft auch deutsche Firmen. Warum der Mittelstand im Visier steht und welche Schutzmaßnahmen jetzt wirken.
Ransomware 2026: Deutschland auf Platz 3 weltweit
Deutschland ist weltweit Nr. 3 bei Ransomware-Angriffen. Warum KMU besonders betroffen sind und welche Schutzmaßnahmen jetzt Priorität haben.
IT-Sicherheit für Kanzleien: DSGVO, Berufsrecht & NIS2 in der Praxis
Anwalts- und Steuerkanzleien verwalten hochsensible Mandantendaten – und sind deshalb ein bevorzugtes Angriffsziel. Welche Pflichten aus DSGVO, Berufsrecht und NIS2 gelten und was konkret umgesetzt werden muss.
Ransomware Report 2026: Die Zahlen für den Mittelstand
Sinkende Lösegelder, aber steigende Wiederherstellungskosten von 1,7 Mio. $ und ein neues Einfallstor Nr. 1: E-Mail und Identität lösen die Schwachstelle ab. Die wichtigsten Zahlen des Sophos State of Ransomware 2026 — eingeordnet für den deutschen Mittelstand.