Ein Mitarbeiter meldet: „Mein Rechner macht komische Sachen, alle Dateien haben plötzlich eine andere Endung." Oder: „Ich kann mich nicht mehr in mein Konto einloggen." Oder: „Ich habe gerade auf einen Link geklickt, der seltsam aussah." Was passiert in den nächsten 30 Minuten, entscheidet oft über das Ausmaß des Schadens. Diese Checkliste hilft Ihnen, ruhig und strukturiert zu handeln – auch ohne eigene IT-Abteilung.
Phase 1: Die ersten 30 Minuten – Schaden begrenzen
Betroffenes Gerät vom Netzwerk trennen
Ziehen Sie das Netzwerkkabel oder schalten Sie WLAN aus – am einfachsten durch physisches Trennen, nicht durch Software. Schalten Sie das Gerät nicht aus. Im laufenden Speicher befinden sich möglicherweise Informationen, die für die Untersuchung entscheidend sind. Trennen Sie auch alle angesteckten externen Laufwerke und USB-Sticks.
IT-Dienstleister anrufen
Rufen Sie Ihren IT-Dienstleister an – nicht per E-Mail, denn das E-Mail-Konto könnte kompromittiert sein. Wenn Sie keinen festen IT-Partner haben, ist jetzt der falsche Zeitpunkt, das zu recherchieren. Halten Sie daher die Notfallnummer Ihres IT-Dienstleisters gedruckt griffbereit.
Prüfen: Sind weitere Geräte betroffen?
Gehen Sie kurz durch das Büro und prüfen Sie, ob weitere Rechner ähnliche Symptome zeigen – ungewöhnliche Fehlermeldungen, verschlüsselte Dateien, blockierte Anmeldungen. Wenn ja: auch diese vom Netzwerk trennen. Je schneller sich Ransomware im Netzwerk ausbreitet, desto mehr Systeme werden befallen.
Passwörter für kritische Konten ändern
Falls ein Konto kompromittiert wurde oder der Verdacht besteht: Ändern Sie die Passwörter für kritische Zugänge von einem nicht betroffenen Gerät aus – idealerweise vom Smartphone über mobiles Netz. Das betrifft in erster Linie M365/E-Mail-Admin-Konten, Banking, Buchhaltungs- und ERP-Systeme.
Phase 2: Situation einschätzen – welcher Notfall liegt vor?
Nicht jeder IT-Vorfall ist gleich schwerwiegend. Hier sind die drei häufigsten Szenarien und was sie voneinander unterscheidet:
Szenario A: Ransomware – Dateien werden verschlüsselt
Symptome: Dateien haben plötzlich unbekannte Dateiendungen (z. B. .locked, .encrypted), Desktop zeigt eine Erpressernachricht, Dokumente lassen sich nicht mehr öffnen.
Sofortmaßnahmen bei Ransomware
- Betroffenes Gerät sofort vom Netzwerk trennen (Netzwerkkabel raus, WLAN aus)
- Gerät nicht ausschalten und nicht neu starten
- Alle anderen Netzwerkgeräte auf Symptome prüfen
- Backup-Systeme vom Netzwerk trennen, um sie zu schützen
- IT-Dienstleister kontaktieren – kein Lösegeld zahlen, bevor nicht alle Optionen geprüft wurden
- Screenshot oder Foto der Erpressernachricht machen (für Strafanzeige)
- Strafanzeige bei der Polizei erstatten (kann auch online erfolgen)
- Versicherung informieren, falls eine Cyber-Versicherung besteht
Szenario B: Konto-Übernahme – jemand hat Zugriff auf Ihr E-Mail-Konto
Symptome: Login schlägt fehl obwohl Passwort korrekt ist, Kollegen erhalten seltsame E-Mails von Ihrer Adresse, MFA-Codes treffen ein ohne dass Sie sich angemeldet haben, im Postfach finden sich gesendete E-Mails, die Sie nicht geschrieben haben.
Sofortmaßnahmen bei Konto-Übernahme
- Passwort des betroffenen Kontos sofort ändern – von einem anderen Gerät aus
- Alle aktiven Sitzungen widerrufen (in M365: Entra Admin Center → Benutzer → Sitzungen widerrufen)
- MFA prüfen: Wurde eine fremde Authenticator-App hinzugefügt? Entfernen.
- Postfach auf unbekannte Weiterleitungsregeln prüfen und löschen
- Gesendete E-Mails der letzten 48 Stunden prüfen: Was wurde in Ihrem Namen verschickt?
- Kollegen und ggf. Kunden informieren, falls betrügerische E-Mails von Ihrem Konto kamen
- IT-Dienstleister einschalten für forensische Analyse (wann, wie, wie lange?)
Szenario C: Datenverlust – Dateien verschwunden oder gelöscht
Symptome: Dateien oder ganze Ordner fehlen, versehentliches Löschen durch Mitarbeiter, defekte Festplatte oder ausgefallener Server.
Sofortmaßnahmen bei Datenverlust
- Papierkorb prüfen – bei versehentlichem Löschen oft noch vorhanden
- In OneDrive/SharePoint: Versionsverlauf und Papierkorb prüfen (Wiederherstellung innerhalb von 93 Tagen möglich)
- Backup-System prüfen: Wann war das letzte Backup, und was deckt es ab?
- Gerät nicht weiter beschreiben – bei defekter Festplatte jede weitere Schreiboperation verringert die Chancen auf Datenwiederherstellung
- IT-Dienstleister kontaktieren für professionelle Datenwiederherstellung
Die häufigsten Fehler in IT-Notfällen
✓ Das hilft
- Ruhig bleiben und strukturiert vorgehen
- Gerät vom Netz trennen, aber anlassen
- IT-Dienstleister sofort anrufen
- Alles dokumentieren: Zeitpunkte, Symptome, eigene Schritte
- Backup-Integrität prüfen bevor man es einsetzt
- Strafanzeige erstatten
✗ Das macht es schlimmer
- Gerät sofort ausschalten oder neu starten
- Festplatte selbst formatieren oder überschreiben
- Lösegeld zahlen ohne Rücksprache
- Betroffene Systeme weiter nutzen
- Vorfall intern halten und keine Strafanzeige stellen
- Auf E-Mail-Kommunikation vertrauen, wenn das E-Mail-Konto betroffen sein könnte
Phase 3: Meldepflichten und Versicherung
Viele KMU wissen nicht, dass bei bestimmten Vorfällen gesetzliche Meldepflichten gelten. Werden personenbezogene Daten kompromittiert – also z. B. Kundendaten, Mitarbeiterdaten, Kontonummern – muss dies gemäß DSGVO innerhalb von 72 Stunden der zuständigen Datenschutzbehörde gemeldet werden. Das gilt unabhängig von der Unternehmensgröße.
Meldepflicht-Checkliste
- Wurden personenbezogene Daten kompromittiert oder könnten sie es sein?
- Falls ja: Datenschutzbehörde innerhalb von 72 Stunden informieren (in Berlin: Berliner Beauftragte für Datenschutz)
- Betroffene Personen informieren, wenn ein hohes Risiko für sie besteht
- Cyber-Versicherung kontaktieren – Versicherungsschutz kann erlöschen, wenn Meldungen zu spät kommen
- Vorfall intern dokumentieren (Wann bemerkt? Welche Systeme? Welche Daten? Welche Maßnahmen?)
Was Sie jetzt tun können – bevor etwas passiert
Der beste IT-Notfall ist der, auf den man vorbereitet ist. Drei Maßnahmen, die Sie heute umsetzen können:
Vorbereitung für den Ernstfall
- Notfallkontakt ausdrucken: Name und Telefonnummer Ihres IT-Dienstleisters, physisch griffbereit – nicht nur als Kontakt im Smartphone
- Backup testen: Wann haben Sie zuletzt geprüft, ob Ihr Backup auch wirklich wiederherstellbar ist? Ein ungetestetes Backup ist kein Backup.
- MFA aktivieren: Für alle Konten, besonders E-Mail und M365. Eine kompromittierte Identität ist die häufigste Ursache für Vorfälle in KMU.
- Diese Seite ausdrucken und an einem bekannten Ort aufhängen – nicht auf dem betroffenen Rechner speichern
Fazit
IT-Notfälle passieren – auch in kleinen Unternehmen ohne prominentes Angriffsprofil. Die meisten Angreifer suchen nicht gezielt nach Opfern, sondern nutzen automatisiert Schwachstellen aus. Wer in den ersten 30 Minuten richtig handelt, begrenzt den Schaden erheblich. Wer einen IT-Dienstleister an seiner Seite hat, der das Umfeld kennt, hat noch einmal einen entscheidenden Vorteil: kürzere Reaktionszeiten, bekannte Systeme, und keinen Erklärungsaufwand im Ausnahmezustand.
Sie wollen nicht erst im Ernstfall an IT denken?
Wir helfen Ihnen, einen einfachen IT-Notfallplan für Ihr Unternehmen aufzusetzen – und sorgen dafür, dass er im Fall der Fälle auch wirklich funktioniert.
Unverbindlich anfragen