Die erste Stunde nach dem Vorfall

Der Anruf kommt fast immer gleich: Dateien lassen sich nicht mehr öffnen, auf einem Bildschirm steht eine Forderung, und irgendjemand hat schon angefangen, Rechner auszuschalten. Genau dieser letzte Reflex ist der teuerste.

Reihenfolge statt Reflex

1. Trennen, nicht ausschalten. Netzwerkkabel ziehen, WLAN aus. Ein laufendes System behält seinen Arbeitsspeicher — und damit oft die Spuren, die später erklären, was passiert ist. Ein ausgeschaltetes System verliert sie.

2. Reichweite feststellen. Welche Systeme sind betroffen, welche nicht? Welche Konten wurden zuletzt benutzt? Bevor irgendetwas wiederhergestellt wird, muss klar sein, wie weit der Zugriff reicht.

3. Backups schützen. Die Sicherung sofort vom Netz nehmen, bevor sie mitverschlüsselt wird. In dieser Reihenfolge, nicht danach.

4. Dokumentieren. Uhrzeit, Beobachtung, Massnahme. Das klingt bürokratisch und ist später gegenüber Versicherung und Datenschutzbehörde das Einzige, was zählt.

5. Erst dann wiederherstellen. Ein System, das zurückgespielt wird, bevor die Einbruchstelle bekannt ist, wird in aller Regel ein zweites Mal verschlüsselt.

Was nicht hilft

Zahlen ist keine Wiederherstellungsstrategie. Eigene Löschversuche auch nicht. Und der Versuch, den Vorfall intern klein zu halten, kostet in der Schweiz spätestens dann, wenn die Meldepflicht greift.

Vorher statt nachher

Die Firmen, bei denen so ein Fall glimpflich ausgeht, haben selten die bessere Software. Sie haben eine Liste: wer wird angerufen, wo liegen die Zugangsdaten, welches System darf wie lange stillstehen. Eine Seite Papier, ausgedruckt — weil das Intranet im Ernstfall auch verschlüsselt ist.