Die erste Stunde nach dem Ransomware-Hit: Was tun – und vor allem, was lassen?

Die ersten 60 Minuten nach Entdeckung eines Ransomware-Vorfalls entscheiden mehr über die finale Schadenshöhe als die nächsten 6 Wochen Forensik. Aus über 200 begleiteten DACH-Incidents diese sechs Regeln:

1. NICHT herunterfahren

Beim Power-Off verlieren Sie flüchtigen Arbeitsspeicher. Ohne RAM-Dump ist die Forensik halb blind. Stattdessen: Netzwerkkabel ziehen oder VLAN isolieren.

2. NICHT mit den Tätern reden

Ad-hoc-Chat im "Victim Portal" der Gruppe ist die zweithäufigste Ursache für überhöhte Lösegelder. Verhandlung gehört zu Spezialisten. Kontakt: [Ransomware-Hilfe](/ransomware-hilfe).

3. NICHT zahlen, bevor Sanktionsprüfung durch ist

Zahlungen an sanktionierte Gruppen (Hive, Conti-Nachfolger) sind in der EU strafbar – auch bei zwingender Geschäftslage. Eine Sanktionslisten-Prüfung dauert 20 Minuten. Sie zu überspringen kostet potenziell Jahre.

4. JA: Forensik startet sofort parallel

Während die IT eindämmt, beginnt die Forensik mit Disk-Imaging und Memory-Dumps. Beweissicherung ist die Grundlage für jede spätere Versicherungs- und DSGVO-Position.

5. JA: Lieferanten- und Kundeninformation vorbereiten

Bei kritischen Vendoren und Großkunden wird eine vorbereitete Sprachregelung benötigt – noch bevor die Presse anruft. Mehr zur strukturierten Krisenkommunikation in unserem [Pressebereich](/presse).

6. JA: Meldepflichten parallel laufen lassen

NIS2: 24h. DSGVO: 72h. Beide Fristen laufen gleichzeitig, nicht nacheinander. Wer eine Frist verpasst, weil er auf die andere wartet, riskiert Doppel-Bußgeld.

Vorbereitung schlägt Reaktion

Wenn der Vorfall da ist, ist der Spielraum klein. Vorher den Spielraum schaffen:

• Externe Angriffsfläche reduzieren mit der [Tools-Suite](/tools).
• Zulieferer im Blick mit [Lieferantenmonitoring](/lieferantenmonitoring).
• Frühwarnung mit [Darknet Monitoring](/darknet-monitoring).
• 24/7-Notfallkontakt definiert: [Ransomware-Hilfe](/ransomware-hilfe).