cyberangriff im unternehmen: was sie tun und was sie lassen sollten

Ein Rechner zeigt eine Lösegeldforderung, Dateien lassen sich nicht öffnen, das Postfach verschickt Spam: Jetzt zählen ruhiges Handeln und die richtige Reihenfolge. Dieser Ratgeber fasst Empfehlungen des BSI zusammen und zeigt, was Sie vorab regeln sollten.

aktualisiert: 1. Oktober 2026 · 7 Min. lesezeit

die ersten schritte

Ruhe bewahren und den Vorfall melden. Das BSI rät: lieber einmal mehr als einmal zu wenig. Legen Sie vorab eine IT-Notfallrufnummer fest.
Betroffene Geräte vom Netz trennen. Netzwerkkabel ziehen, WLAN ausschalten. Das Gerät nicht herunterfahren und nicht ausschalten.
Nicht mit Admin-Konten auf infizierten Geräten anmelden. Sonst können Angreifer die Zugangsdaten abgreifen.
Beobachtungen dokumentieren: Wer hat was gesehen, an welchem System, wann und wo? Ein Foto vom Bildschirm hilft.
Backups schützen. Sicherungsläufe stoppen und Backups vom Netz trennen, damit sie nicht überschrieben oder verschlüsselt werden.
Maßnahmen abstimmen. Die BSI-Notfallkarte empfiehlt, Maßnahmen nur nach Anweisung einzuleiten. Wer Geräte auf eigene Faust neu aufsetzt, riskiert, Spuren zu verlieren.
Kein Lösegeld zahlen. Das BSI rät grundsätzlich davon ab, auf die Erpressung einzugehen.

wen sie informieren müssen

polizei

Das BSI empfiehlt, jeden Cyberangriff bei der Polizei anzuzeigen. In Niedersachsen berät die Zentrale Ansprechstelle Cybercrime (ZAC) des LKA Niedersachsen Unternehmen bei Cyberstraftaten. Kontaktdaten stehen auf der Seite des LKA.

datenschutz-aufsichtsbehörde

Sind personenbezogene Daten betroffen, müssen Sie die Verletzung möglichst binnen 72 Stunden nach Kenntnis der Aufsichtsbehörde melden (Art. 33 DSGVO), es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Bei einem hohen Risiko sind auch die Betroffenen zu informieren (Art. 34 DSGVO). In Niedersachsen gibt es dafür ein Online-Formular der LfD Niedersachsen.

bsi

Gehört Ihr Unternehmen zu den NIS2-Einrichtungen, gelten die Meldefristen nach § 32 BSIG (24 Stunden, 72 Stunden, ein Monat), die Meldung läuft über das BSI-Portal. Mehr dazu im Ratgeber NIS2 für KMU. Alle anderen können Vorfälle freiwillig an die Meldestelle der Allianz für Cyber-Sicherheit melden. Sie ermittelt nicht gegen Täter.

versicherung

Haben Sie eine Cyberversicherung, prüfen Sie in der Police, ob und wann der Versicherer zu informieren ist.

der weg zurück

Nach der Eindämmung rät das BSI: infizierte Systeme neu aufsetzen, Passwörter ändern, Zugänge prüfen, saubere Backups prüfen und erst dann Daten zurückspielen. Entscheidend ist ein Backup, das ein Angreifer im Firmennetz nicht erreicht hat, und eine Wiederherstellung, die vorher getestet wurde.

was sie vorab regeln sollten

Notfallplan: Notfallrufnummer, Zuständigkeiten und Kontakte (IT-Dienstleister, Polizei, Datenschutz, Versicherung), gedruckt und nicht nur im Firmennetz gespeichert.
Backup: Daten außerhalb des angreifbaren Systems sichern, mit getesteter Wiederherstellung.
Updates und Zugänge: Patches einspielen, Fernzugänge nur über VPN mit Zwei-Faktor-Authentifizierung.
Netz trennen: Das Netzwerk segmentieren, damit sich Schadsoftware nicht überall ausbreitet.
Notfall üben: Den schlimmsten Fall durchspielen und kritische Systeme vorab festlegen.
Mitarbeitende schulen: Phishing erkennen und Auffälligkeiten melden.

so unterstützen wir sie

Vorbeugend bündeln wir Firewall, Backup, Monitoring und Awareness für Ihre Mitarbeitenden in Cybersecurity as a Service. Bei einem Vorfall unterstützen wir bei der Wiederherstellung aus dem Backup. Das rechnen wir nach Aufwand ab, mit 115 € pro Stunde netto in angefangenen 15 Minuten. Wie gut Sie heute aufgestellt sind, sehen wir im kostenlosen IT-Check.

Die Empfehlungen stammen aus Veröffentlichungen des BSI und der Allianz für Cyber-Sicherheit, die teils aus den Jahren 2019 und 2022 sind und noch das frühere BSI-Gesetz nennen. Der Text ersetzt keine Rechtsberatung.