🚨 🚨 Der Tag danach: Was dein KMU in den ersten 24 Stunden nach einem Hack tun muss
Warum die ersten 24 Stunden zählen
Ein Ransomware-Angriff läuft nicht in Echtzeit ab. Angreifer verschaffen sich Zugang, bewegen sich wochenlang unbemerkt durch dein Netzwerk, exfiltrieren Daten und verschlüsseln dann alles auf einmal. Der Moment, in dem du den Angriff bemerkst, ist nicht der Beginn. Aber er ist der Punkt, an dem du die Kontrolle zurückgewinnen kannst. Die ersten 24 Stunden entscheiden über drei Dinge: Wie weit sich der Schaden ausbreitet, ob du rechtlich sauber handelst und wie deine Kunden und Partner die Situation wahrnehmen. Ein KMU in Zürich verlor 2025 nicht durch die Verschlüsselung selbst den grössten Schaden, sondern weil die Geschäftsleitung drei Tage brauchte, um die EDÖB zu informieren. Die Busse war höher als die Wiederherstellungskosten.
Stunde 0-1: Sofortmassnahmen und Schadensbegrenzung
In der ersten Stunde geht es um Eindämmung, nicht um Analyse. Dein Ziel: Verhindern, dass sich der Angriff weiter ausbreitet. Die Geschäftsleitung muss jetzt eine Person bestimmen, die den Vorfall koordiniert. Das ist nicht zwingend der IT-Leiter, sondern jemand mit Entscheidungskompetenz und Überblick. Diese Person aktiviert das Incident-Response-Team und dokumentiert ab sofort jeden Schritt. Parallel dazu: Betroffene Systeme vom Netzwerk trennen. Nicht herunterfahren, sondern Netzwerkkabel ziehen oder WLAN deaktivieren. Ein Herunterfahren kann Beweise vernichten, die später für die Forensik nötig sind. Wenn unklar ist, welche Systeme betroffen sind: Im Zweifel alle Server und Workstations trennen, die nicht für den Notbetrieb zwingend nötig sind. Remote-Zugänge (VPN, RDP, Cloud-Zugänge) sofort deaktivieren. Angreifer nutzen oft dieselben Einfallstore für Nachschläge.
Stunde 1-3: Lagebeurteilung und Verantwortlichkeiten klären
Jetzt brauchst du einen Überblick. Der Incident-Koordinator beruft eine Krisenrunde ein: Geschäftsleitung, IT-Verantwortliche, Datenschutzbeauftragte falls vorhanden, Kommunikationsverantwortliche. Ziel dieser Runde: Verstehen, was passiert ist, welche Systeme betroffen sind und welche Daten kompromittiert sein könnten. Dokumentiere die Antworten. Diese erste Einschätzung ist die Grundlage für alle nächsten Schritte. Kläre die Verantwortlichkeiten: Wer kommuniziert mit Kunden, wer mit Behörden, wer mit Versicherung und externen Dienstleistern. Eine Person führt das zentrale Logbuch, in dem jede Massnahme, jede Beobachtung und jede Entscheidung festgehalten wird. Dieses Logbuch ist später dein Nachweis gegenüber Behörden und Versicherung. Zeitstempel, Namen, konkrete Massnahmen. Ein Schweizer KMU konnte 2024 eine Klage abwehren, weil das Logbuch lückenlos dokumentierte, dass alle erforderlichen Schritte innerhalb der gesetzlichen Fristen eingeleitet wurden.
Stunde 3-6: Externe Expertise einbinden
Die meisten KMU haben keine eigene Forensik-Abteilung. Das ist normal. Jetzt ist der Zeitpunkt, externe Spezialisten zu holen. Nicht morgen, nicht nächste Woche. Ein Incident-Response-Dienstleister hilft dir, den Angriff zu analysieren, Beweise zu sichern und die Wiederherstellung zu planen. Achte darauf, dass der Dienstleister Erfahrung mit Schweizer KMU hat und die rechtlichen Anforderungen kennt. Parallel dazu: Kontakt zur Cyberversicherung aufnehmen, falls vorhanden. Viele Policen decken die Kosten für externe Forensik und Kommunikationsberatung ab. Aber nur, wenn du die Versicherung rechtzeitig informierst. Warte nicht auf die vollständige Analyse. Melde den Vorfall, sobald du weisst, dass es sich um einen Angriff handelt. Die IT-Forensiker sichern jetzt die Logs, analysieren Malware-Samples und rekonstruieren den Angriffsverlauf. Dein internes IT-Team unterstützt, aber führt diese Arbeit nicht selbst durch. Die Gefahr: Beweise zu überschreiben oder falsche Schlüsse zu ziehen.
Stunde 6-12: Meldepflichten und rechtliche Schritte
Jetzt wird es rechtlich konkret. Wenn Personendaten betroffen sind und ein hohes Risiko für die Betroffenen besteht, musst du den Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden. Die Frist: So schnell wie möglich, spätestens aber innerhalb von 72 Stunden nach Kenntnisnahme. Kenntnisnahme bedeutet: Der Zeitpunkt, an dem du den Angriff entdeckt hast, nicht der Zeitpunkt, an dem du alle Details kennst. Warte nicht auf die vollständige Forensik. Melde mit den Informationen, die du hast, und reiche Details nach. Die Meldung muss Angaben zum Vorfall, zu den betroffenen Daten und zu den ergriffenen Massnahmen enthalten. Der EDÖB stellt ein Meldeformular auf seiner Website zur Verfügung. Parallel dazu: Prüfen, ob betroffene Personen direkt informiert werden müssen. Das ist der Fall, wenn das Risiko für ihre Rechte und Freiheiten hoch ist. Beispiel: Gesundheitsdaten, Finanzdaten, Zugangsdaten wurden kompromittiert. Die Benachrichtigung muss klar, verständlich und zeitnah erfolgen. Nutze keine Floskeln, sondern benenne konkret, was passiert ist und was die Betroffenen tun sollen.
Stunde 12-18: Notbetrieb organisieren
Während die Forensik läuft und die rechtlichen Meldungen raus sind, musst du den Betrieb aufrechterhalten. Welche Systeme sind für den Minimalbetrieb zwingend nötig? E-Mail, Buchhaltung, Kundenverwaltung? Richte isolierte Notfall-Umgebungen ein, die nicht mit dem kompromittierten Netzwerk verbunden sind. Ein Schweizer Handwerksbetrieb richtete 2025 nach einem Angriff eine separate Cloud-Umgebung ein, um die Auftragsabwicklung weiterzuführen. Damit konnte das Unternehmen trotz verschlüsselter Server die wichtigsten Kunden bedienen. Kommuniziere intern klar, welche Systeme sicher sind und welche nicht. Mitarbeitende dürfen keine privaten Geräte ins Firmennetz bringen oder kompromittierte Zugänge nutzen. Stelle sicher, dass alle neuen Passwörter verwendet werden und keine alten Credentials im Umlauf sind. Die Angreifer haben vermutlich Zugang zu alten Passwort-Hashes. Erstelle eine Liste der geschäftskritischen Prozesse und priorisiere deren Wiederherstellung. Nicht alles muss sofort laufen, aber du musst wissen, was zuerst kommt.
Stunde 18-24: Kommunikation nach aussen
Jetzt geht es um deine Reputation. Kunden, Partner und Lieferanten wollen wissen, was los ist. Schweigen ist keine Option. Ein KMU, das nach einem Angriff drei Tage nicht kommunizierte, verlor 2024 zwei Grosskunden. Nicht wegen des Hacks, sondern wegen der Intransparenz. Bereite eine kurze, sachliche Stellungnahme vor. Keine Schuldzuweisungen, keine Bagatellisierung. Sage, was passiert ist, welche Massnahmen du ergriffen hast und wie du die Betroffenen schützt. Veröffentliche diese Stellungnahme auf deiner Website und verschicke sie an betroffene Kunden. Nutze die Kanäle, die du normalerweise verwendest. Wenn du eine Presseanfrage erhältst: Antworte. Ein Schweizer KMU ignorierte 2025 Medienanfragen und stand am nächsten Tag mit Spekulationen in der Zeitung. Die echten Fakten kamen zu spät. Bereite dein Team auf Kundenfragen vor. Die Telefonzentrale, der Support, der Verkauf: Alle müssen dieselbe Information haben. Widersprüche zerstören Vertrauen. Intern: Halte deine Mitarbeitenden auf dem Laufenden. Sie sind deine ersten Botschafter. Wenn sie nicht wissen, was läuft, verbreiten sich Gerüchte.
Nach 24 Stunden: Die nächsten Schritte vorbereiten
Die ersten 24 Stunden sind vorbei. Jetzt geht die eigentliche Arbeit los: Systeme wiederherstellen, Schwachstellen schliessen, Prozesse anpassen. Aber diese Arbeit baut auf dem auf, was du in den ersten Stunden getan hast. Wenn du hier sauber gearbeitet hast, hast du die Grundlage für eine kontrollierte Wiederherstellung. Wenn nicht, beginnt jetzt das Chaos. Plane ein Debrief mit allen Beteiligten. Was hat funktioniert, was nicht? Wo waren die Lücken in der Reaktion? Diese Erkenntnisse fliessen in deinen Incident-Response-Plan ein. Ja, den solltest du haben. Wenn nicht: Jetzt ist der beste Zeitpunkt, einen zu erstellen. Dokumentiere die Kosten. Forensik, externe Berater, Anwaltskosten, Ausfallzeiten. Diese Zahlen brauchst du für die Versicherung und für interne Budgetentscheidungen. Und sie zeigen der Geschäftsleitung, was Prävention kostet und was ein Vorfall kostet.
Was du jetzt mitnehmen kannst
Ein Cyberangriff ist kein Weltuntergang, aber er erfordert klare Prozesse und schnelle Entscheidungen. Die ersten 24 Stunden sind keine Panik-Phase, sondern strukturierte Schadensbegrenzung. Drei Dinge, die du sofort umsetzen kannst: Erstens, bestimme heute eine Person, die im Ernstfall den Vorfall koordiniert. Schreibe den Namen auf, kommuniziere die Rolle intern. Zweitens, lege eine Liste der geschäftskritischen Systeme und Daten an. Was muss im Notfall zuerst wieder laufen? Drittens, teste einmal im Jahr, ob deine Backups funktionieren. Nicht ob sie existieren, sondern ob du damit Systeme wiederherstellen kannst. Ein Backup, das du nicht einspielen kannst, ist kein Backup. Wenn du mehr Struktur brauchst: Hol dir externes Know-how. Ein eintägiger Workshop mit einem Incident-Response-Spezialisten kostet weniger als eine Stunde Stillstand nach einem Angriff.
Kostenlose Vorlagen für dein Unternehmen
Druckfertige Cybersecurity-Checklisten und Notfallpläne: gratis, sofort verwendbar.
Vorlagen herunterladen →