Warum die ersten Minuten nach dem Angriff entscheidend sind
Ein Hackerangriff kann sich durch verschlüsselte Dateien, ungewöhnliche Kontobewegungen, fremde Nachrichten, gesperrte Benutzerkonten oder Warnungen von Sicherheitsprogrammen bemerkbar machen. Auch eine scheinbar harmlose Meldung, dass ein Passwort geändert wurde, kann auf einen unbefugten Zugriff hindeuten. In dieser Situation kommt es darauf an, nicht unüberlegt zu handeln. Jede weitere Anmeldung, Änderung oder Löschung kann Spuren beseitigen, Schadsoftware auslösen oder einem Angreifer zusätzliche Möglichkeiten eröffnen.
Das wichtigste Ziel besteht zunächst darin, den Vorfall einzugrenzen und weitere Schäden zu verhindern. Danach folgen die Sicherung von Beweisen, die Wiederherstellung vertrauenswürdiger Systeme und die Prüfung, ob persönliche oder geschäftliche Daten betroffen sind. Die Reihenfolge ist wichtig: Wer einen infizierten Rechner sofort neu installiert, verliert möglicherweise wertvolle Hinweise. Wer dagegen zu lange mit einem kompromittierten Gerät weiterarbeitet, kann den Angriff ausweiten.
Die folgenden Schritte sind als allgemeine Notfallorientierung gedacht. Bei Erpressung, einem laufenden Angriff, einem Verdacht auf Datenabfluss oder einem betroffenen Unternehmensnetzwerk sollte zusätzlich qualifizierte IT-Forensik oder eine fachkundige IT-Sicherheitsstelle eingeschaltet werden.
1. Verdächtige Aktivitäten erkennen und den Vorfall dokumentieren
Zuerst sollte festgehalten werden, was wann aufgefallen ist. Diese Dokumentation muss nicht technisch perfekt sein. Wichtig sind nachvollziehbare Beobachtungen und die genaue Uhrzeit, sofern sie bekannt ist.
- Welche Geräte oder Konten zeigen auffälliges Verhalten?
- Welche Fehlermeldungen, E-Mails oder Warnungen sind erschienen?
- Wurden Dateien umbenannt, verschlüsselt, gelöscht oder verschoben?
- Gibt es unbekannte Anmeldungen, neue Benutzerkonten oder Passwortänderungen?
- Wurden Nachrichten, Bestellungen, Überweisungen oder andere Aktionen ausgelöst, die niemand veranlasst hat?
- Wann wurde der Vorfall entdeckt und wer hatte das Gerät zuletzt verwendet?
Notieren Sie Dateinamen, Absender, Uhrzeiten und betroffene Systeme. Verdächtige E-Mails sollten, sofern möglich, im Originalformat aufbewahrt werden. Screenshots können hilfreich sein, besonders wenn eine Lösegeldforderung oder eine ungewöhnliche Anmeldeseite angezeigt wird. Die Beweissicherung sollte vor dem Löschen von Nachrichten, dem Zurücksetzen von Geräten oder einer Neuinstallation erfolgen.
Bei finanziellen Schäden oder Identitätsmissbrauch ist eine zeitnahe Anzeige bei der Polizei möglich. Eine klare Chronologie unterstützt dabei die spätere Bewertung. Für die eigene Dokumentation eignen sich getrennte Notizen, damit Informationen nicht ausschließlich auf dem möglicherweise kompromittierten Gerät gespeichert sind.
2. Betroffene Geräte vom Netzwerk trennen
Wenn ein Rechner oder Smartphone wahrscheinlich kompromittiert wurde, sollte die Netzwerkverbindung unterbrochen werden. Bei einem Netzwerkkabel wird das Kabel am Gerät oder am Netzwerkanschluss entfernt. Bei WLAN kann die Verbindung über das Betriebssystem getrennt werden. Ein betroffenes Smartphone kann in den Flugmodus versetzt werden; zusätzlich sollte geprüft werden, ob WLAN und Bluetooth tatsächlich deaktiviert sind.
Das Ausschalten ist nicht in jeder Situation der beste erste Schritt. Bei einer laufenden Verschlüsselung oder einem offensichtlichen Fernzugriff kann die Trennung vom Netzwerk die weitere Kommunikation unterbinden. Ein hartes Ausschalten kann dagegen flüchtige Informationen aus dem Arbeitsspeicher verlieren. In einem privaten Notfall ohne forensische Unterstützung steht der Schutz vor weiterer Ausbreitung meist im Vordergrund. In einem Betrieb mit sensiblen Daten sollte vor dem Ausschalten möglichst eine fachkundige IT-Sicherheitsstelle kontaktiert werden.
Ein infiziertes Gerät darf nicht wieder mit dem Netzwerk verbunden werden, nur um Dateien zu kopieren oder ein vermeintliches Sicherheitsprogramm herunterzuladen. Auch USB-Sticks und externe Festplatten sollten nicht an das verdächtige Gerät angeschlossen werden. Eine Schadsoftware kann sich über Wechseldatenträger oder freigegebene Ordner weiterverbreiten. Andere Geräte im selben Netzwerk müssen beobachtet und gegebenenfalls ebenfalls vom Netz getrennt werden.
3. Konten von einem vertrauenswürdigen Gerät aus absichern
Passwortänderungen sollten nicht auf dem möglicherweise infizierten Gerät erfolgen. Verwenden Sie dafür ein anderes, nach Möglichkeit aktualisiertes und nicht auffälliges Gerät. Beginnen Sie mit dem E-Mail-Konto, weil es häufig als Rücksetzweg für weitere Konten dient. Danach folgen wichtige Konten wie Onlinebanking, Zahlungsdienste, Cloud-Speicher, soziale Netzwerke, Shops und berufliche Anwendungen.
Für jedes Konto sollte ein eigenes, langes Passwort verwendet werden. Wiederverwendete Zugangsdaten sind besonders kritisch: Wird ein Passwort aus einem kompromittierten Dienst auch an anderer Stelle verwendet, können Angreifer dort sogenannte Kontoübernahmen versuchen. Ein Passwortmanager kann dabei helfen, für jeden Dienst ein separates Zugangstoken zu erzeugen und zu verwalten.
Aktivieren Sie, wenn verfügbar, eine Mehrfaktor-Authentifizierung. Eine App zur Erzeugung zeitbasierter Codes oder ein Sicherheitsschlüssel bietet in vielen Fällen mehr Schutz als ein Code per SMS. Die Wiederherstellungsoptionen sollten ebenfalls geprüft werden. Entfernen Sie unbekannte E-Mail-Adressen, Telefonnummern, Geräte, Sitzungen und Authentifizierungsanwendungen. Beenden Sie aktive Sitzungen auf allen Geräten, sofern der jeweilige Dienst diese Funktion anbietet.
Bei einem kompromittierten E-Mail-Konto müssen auch Weiterleitungsregeln, automatische Antworten, Signaturen und Delegierungen kontrolliert werden. Angreifer richten mitunter eine unsichtbare Weiterleitung ein, um neue Nachrichten und Passwort-Reset-Codes mitzulesen. Die Wiederherstellungsadresse selbst sollte unabhängig und geschützt sein.
4. Finanzielle Schäden und Identitätsmissbrauch begrenzen
Sobald ein Zahlungs-, Bank- oder Einkaufskonto betroffen sein könnte, sollte die zuständige Bank oder der Zahlungsdienst über einen vertrauenswürdigen Kontaktweg informiert werden. Verwenden Sie dafür nicht die Telefonnummer aus einer verdächtigen Nachricht. Prüfen Sie Kontobewegungen, neue Zahlungsempfänger, gespeicherte Zahlungsmittel und offene Bestellungen. Unbekannte Transaktionen müssen unverzüglich gemeldet werden, weil die weitere Bearbeitung von den Bedingungen des jeweiligen Zahlungsdienstes abhängt.
Bei einem gestohlenen Mobiltelefon oder einer missbräuchlich verwendeten Mobilfunknummer sollte der Mobilfunkzugang gesperrt und der Anbieter informiert werden. Das ist besonders relevant, wenn SMS-Codes für die Anmeldung genutzt werden. Bei einem Verlust von Ausweisdaten oder anderen Identitätsmerkmalen kann eine Beratung durch die zuständige Behörde und eine Anzeige sinnvoll sein.
Unternehmen sollten zusätzlich ihre Buchhaltung, Zahlungsfreigaben und Lieferantenkommunikation prüfen. Ein häufiges Angriffsmuster besteht darin, Rechnungen oder Kontoverbindungen in laufenden E-Mail-Verläufen zu verändern. Eine Bankverbindung sollte deshalb über einen bereits bekannten, unabhängigen Kommunikationsweg bestätigt werden. Rückfragen ausschließlich per Antwort auf die verdächtige E-Mail reichen dafür nicht aus.
5. Lösegeldforderungen richtig einordnen
Bei Ransomware werden Dateien oder ganze Systeme verschlüsselt und anschließend Forderungen gestellt. Die Nachricht kann glaubwürdig wirken und gestohlene Dateinamen, interne Informationen oder Fristen enthalten. Eine Zahlung garantiert jedoch weder die Entschlüsselung noch die Löschung kopierter Daten. Außerdem kann eine Zahlung weitere kriminelle Aktivitäten finanzieren. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, empfiehlt bei IT-Sicherheitsvorfällen eine strukturierte Reaktion und die Einbindung zuständiger Fachstellen.
Eine Lösegeldforderung sollte nicht gelöscht werden. Sichern Sie den Text, die verwendeten Kontaktadressen, Wallet-Informationen und alle angehängten Dateien als Beweismittel. Nehmen Sie keine eigenständige Kommunikation mit den Angreifern auf, wenn dadurch zusätzliche Risiken entstehen könnten. Lassen Sie zuerst klären, welche Systeme betroffen sind, ob Backups vorhanden und sauber sind und ob Daten abgeflossen sein könnten.
Auch wenn ein Entschlüsselungsprogramm angeboten wird, darf es nicht ungeprüft auf produktiven Systemen ausgeführt werden. Eine forensische Sicherung und eine technische Analyse können notwendig sein. Bei einem geschäftlichen Vorfall müssen zudem interne Meldewege, vertragliche Pflichten und gegebenenfalls datenschutzrechtliche Bewertungen berücksichtigt werden.
6. Beweise sichern, ohne die Untersuchung zu behindern
Eine gute Beweissicherung bewahrt Informationen über den Angriff. Dazu gehören Systemmeldungen, Protokolle, verdächtige Dateien, E-Mail-Header, Screenshots und eine Liste der betroffenen Geräte. Originale sollten nicht bearbeitet oder überschrieben werden. Kopien können für die Analyse erstellt werden, während das Original unverändert bleibt.
Wenn eine professionelle Untersuchung vorgesehen ist, sollten keine Bereinigungsprogramme, Registry-Cleaner oder zufällig ausgewählten Entschlüsselungswerkzeuge eingesetzt werden. Auch das Löschen von temporären Dateien kann Spuren entfernen. Bei geschäftlich genutzten Geräten sollte dokumentiert werden, wer welches Gerät zu welchem Zeitpunkt übernommen, getrennt oder verändert hat. Eine solche Übergabedokumentation wird häufig als Chain of Custody bezeichnet und unterstützt die Nachvollziehbarkeit.
Protokolldaten liegen je nach Umgebung etwa auf dem betroffenen Gerät, in einer Firewall, einem Cloud-Dienst, einem E-Mail-System oder einem zentralen Identitätsdienst. Die Aufbewahrung kann begrenzt sein. Deshalb sollte zeitnah geprüft werden, welche Protokolle exportiert werden können. Die Sicherung sensibler Logs muss dabei gegen unbefugten Zugriff geschützt werden. Für Privatanwender reicht häufig eine nachvollziehbare Sammlung der sichtbaren Hinweise; bei Unternehmen ist eine forensisch geeignete Sicherung ratsam.
7. Schadsoftware beseitigen und Systeme vertrauenswürdig wiederherstellen
Nach der Eingrenzung folgt die technische Bereinigung. Ein einzelner Virenscan liefert keine Garantie, dass ein System wieder vertrauenswürdig ist. Moderne Schadsoftware kann sich verstecken, Sicherheitsprogramme deaktivieren oder zusätzliche Zugänge anlegen. Bei einem begrenzten Verdacht kann ein aktuelles Sicherheitsprogramm von einem vertrauenswürdigen Medium aus eingesetzt werden. Bei einem bestätigten Befall ist eine vollständige Neuinstallation oder Wiederherstellung aus einem geprüften, unveränderten Backup häufig belastbarer.
Vor einer Wiederherstellung müssen die Ursachen betrachtet werden. Ein Backup kann ebenfalls manipuliert oder verschlüsselt worden sein. Prüfen Sie daher das Alter, die Herkunft und die Integrität der Sicherung. Das wiederhergestellte System sollte vor der Rückkehr in das Netzwerk aktualisiert, mit einem neuen Administratorkonto versehen und mit aktuellen Schutzmechanismen ausgestattet werden. Alte Zugangsdaten dürfen nicht ungeprüft weiterverwendet werden.
Für die Wiederherstellung empfiehlt sich eine abgestufte Reihenfolge:
- Angriffsweg und betroffene Systeme feststellen.
- Saubere Sicherungen und wichtige Daten identifizieren.
- Betriebssysteme, Anwendungen und Firmware aktualisieren.
- Passwörter und Zugangsschlüssel aus einer vertrauenswürdigen Umgebung ändern.
- Systeme einzeln wieder in Betrieb nehmen und überwachen.
- Backups erst nach einer Prüfung wieder in den regulären Ablauf aufnehmen.
Wenn ein Unternehmen keine sichere Wiederherstellung durchführen kann, sollte es nicht auf improvisierte Reparaturen vertrauen. Ein unabhängiger IT-Sicherheitsdienst kann beurteilen, ob eine Neuinstallation, eine forensische Analyse oder eine vollständige Neuaufsetzung der Umgebung erforderlich ist.
8. Datenschutz, Meldewege und betriebliche Verantwortung
Ein Hackerangriff ist nicht nur ein technisches Problem. Wenn personenbezogene Daten betroffen sein könnten, müssen Unternehmen prüfen, ob datenschutzrechtliche Pflichten ausgelöst werden. Maßgeblich sind unter anderem die Art der Daten, das Risiko für betroffene Personen und die Wahrscheinlichkeit eines Datenabflusses. Die Datenschutz-Grundverordnung enthält für bestimmte Verletzungen des Schutzes personenbezogener Daten eine Meldefrist von 72 Stunden an die zuständige Aufsichtsbehörde, sofern eine Meldepflicht besteht. Diese Frist und ihre Voraussetzungen sollten anhand der offiziellen Vorgaben der zuständigen Datenschutzaufsicht bewertet werden.
Die Prüfung sollte dokumentieren, welche Datenkategorien, Systeme und Personengruppen betroffen sein könnten. Auch ein zunächst unklarer Vorfall sollte intern mit Zeitpunkt, Erkenntnisstand und getroffenen Maßnahmen festgehalten werden. Mitarbeitende müssen wissen, an wen sie verdächtige Nachrichten oder ungewöhnliche Systemaktivitäten melden. Ein klarer Eskalationsweg verhindert, dass Hinweise in privaten Postfächern oder einzelnen Chats verloren gehen.
Bei strafrechtlich relevanten Angriffen kommt eine Anzeige bei der Polizei in Betracht. Für bestimmte Branchen können zusätzliche Meldepflichten gelten. Entscheidend ist, nicht vorschnell öffentlich über einen Vorfall zu spekulieren, aber auch keine relevanten Hinweise zurückzuhalten. Eine sachliche, abgestimmte Kommunikation schützt Betroffene und erleichtert die technische Aufarbeitung.
9. Was Betroffene in der ersten Stunde und am ersten Tag tun sollten
Die wichtigsten Maßnahmen lassen sich in einen zeitlichen Ablauf einordnen. Die konkrete Reihenfolge kann sich ändern, wenn ein Angriff noch aktiv ist oder Menschen, Maschinen und kritische Infrastruktur gefährdet sind.
| Zeitraum | Prioritäten |
|---|
| Erste Minuten | Verdächtige Geräte und Konten identifizieren, Netzwerkverbindung trennen, keine verdächtigen Anhänge öffnen, Beobachtungen dokumentieren. |
| Erste Stunde | Vertrauenswürdige Kontaktwege nutzen, E-Mail- und Finanzkonten absichern, betriebliche Verantwortliche oder fachkundige Unterstützung einschalten, Beweismittel bewahren. |
| Erster Tag | Betroffene Systeme erfassen, Backups prüfen, Protokolle sichern, mögliche Datenabflüsse bewerten, Wiederherstellung planen und erforderliche Stellen informieren. |
| Nach der Stabilisierung | Ursache analysieren, Sicherheitslücken schließen, Zugangskonzepte überarbeiten, Mitarbeitende sensibilisieren und den Notfallplan aktualisieren. |
Für Privathaushalte: Trennen Sie das betroffene Gerät, sichern Sie wichtige Hinweise, ändern Sie Zugangsdaten von einem sauberen Gerät und kontaktieren Sie bei finanziellen Schäden sofort die zuständige Bank oder den Zahlungsdienst.
Für Kleinbetriebe: Bestimmen Sie eine verantwortliche Person für die Koordination. Vermeiden Sie parallele Einzelaktionen, bei denen Systeme ohne Dokumentation gelöscht oder wieder angeschlossen werden. Prüfen Sie neben Computern auch Cloud-Konten, Router, Drucker, Fernzugänge, Smartphones und externe Dienstleister.
10. Häufige Fehler nach einem Hackerangriff vermeiden
In der Hektik entstehen Maßnahmen, die den Schaden vergrößern können. Ein häufiger Fehler ist die Anmeldung am E-Mail-Konto über den betroffenen Rechner. Wenn dort ein sogenannter Infostealer aktiv ist, können neue Passwörter erneut abgegriffen werden. Deshalb ist die Wahl eines vertrauenswürdigen Geräts entscheidend.
Problematisch ist auch das ungeprüfte Zurückspielen eines Backups. Eine Sicherung, die bereits infizierte Dateien oder kompromittierte Zugangsdaten enthält, kann den Angriff wiederholen. Ebenso riskant ist das Verbinden eines alten Geräts mit dem frisch eingerichteten Netzwerk, bevor Updates, Kontrollen und ein neues Berechtigungskonzept umgesetzt wurden.
Weitere Fehler sind das Bezahlen unter Zeitdruck, das Löschen der Erpressernachricht, das öffentliche Beschuldigen einzelner Personen und die Annahme, dass ein einzelner Virenscan alle Fragen beantwortet. Eine technische Bereinigung ohne Untersuchung des ursprünglichen Angriffswegs lässt die eigentliche Schwachstelle möglicherweise bestehen. Auch ein Router-Reset allein schützt nicht, wenn E-Mail-Konten, Fernzugänge oder Cloud-Dienste weiterhin kompromittiert sind.
11. Nachbereitung: Aus dem Vorfall ein belastbares Schutzkonzept entwickeln
Nach der Wiederherstellung sollte der Vorfall systematisch ausgewertet werden. Dabei geht es nicht um Schuldzuweisungen, sondern um die Frage, an welcher Stelle Schutzmaßnahmen versagt haben. War ein Passwort mehrfach verwendet worden? Fehlten Sicherheitsupdates? Hatten zu viele Konten administrative Rechte? Wurden Backups dauerhaft am selben Rechner angeschlossen? Gab es keinen erreichbaren Notfallkontakt?
Ein belastbares Schutzkonzept umfasst mehrere Ebenen:
- Regelmäßige Sicherheits- und Firmware-Updates für Betriebssysteme, Anwendungen, Router und mobile Geräte.
- Individuelle Passwörter und Mehrfaktor-Authentifizierung für wichtige Konten.
- Backups nach dem Prinzip, dass mindestens eine Sicherung vom laufenden Netzwerk getrennt oder anderweitig gegen Manipulation geschützt ist.
- Geringe Benutzerrechte im Alltag und getrennte Administratorkonten.
- Aktuelle Virenschutz- und Überwachungsfunktionen.
- Schulung zu Phishing, gefälschten Rechnungen und ungewöhnlichen Anmeldeaufforderungen.
- Ein schriftlicher Notfallplan mit Kontakten, Zuständigkeiten und Wiederherstellungsschritten.
Der Plan sollte nicht nur auf Papier existieren. Eine kontrollierte Übung kann zeigen, ob Ersatzkontakte erreichbar sind, Backups tatsächlich lesbar sind und wichtige Systeme in der vorgesehenen Reihenfolge wiederhergestellt werden können. Sicherheitsmaßnahmen müssen regelmäßig überprüft werden, weil sich verwendete Geräte, Cloud-Dienste und Angriffsmethoden verändern.
FAQ: Fragen zum Verhalten nach einem Hackerangriff
Soll ein gehackter Computer sofort ausgeschaltet werden?
Das hängt von der Situation ab. Die Trennung vom Netzwerk verhindert häufig eine weitere Kommunikation und Ausbreitung. Ein sofortiges Ausschalten kann jedoch flüchtige Beweise verlieren. Bei einem privaten Notfall steht die Schadensbegrenzung im Vordergrund. In einem Unternehmen sollte vor dem Ausschalten möglichst fachkundige Unterstützung einbezogen werden.
Kann ich Passwörter auf dem betroffenen Gerät ändern?
Das ist riskant, wenn Schadsoftware vorhanden sein könnte. Nutzen Sie ein anderes, aktualisiertes und vertrauenswürdiges Gerät. Beginnen Sie mit dem E-Mail-Konto, kontrollieren Sie Wiederherstellungsoptionen und beenden Sie unbekannte Sitzungen. Anschließend sollten weitere wichtige Konten abgesichert werden.
Muss ein Hackerangriff angezeigt werden?
Bei einem möglichen Betrug, finanziellen Schaden, Identitätsmissbrauch oder Erpressung kann eine Anzeige bei der Polizei sinnvoll sein. Unternehmen sollten außerdem prüfen, ob Datenschutz- oder branchenspezifische Meldepflichten bestehen. Die Entscheidung hängt vom Sachverhalt und den geltenden Vorgaben ab.
Ist ein vorhandenes Backup automatisch sicher?
Nein. Backups können unvollständig, veraltet oder ebenfalls manipuliert sein. Vor der Wiederherstellung sollten Herkunft, Zeitpunkt und Integrität geprüft werden. Eine Sicherung darf erst wieder an ein Produktivsystem angeschlossen werden, wenn das Zielsystem vorbereitet und der Angriff bewertet wurde.
Wann ist professionelle Hilfe erforderlich?
Fachkundige Unterstützung ist besonders wichtig bei Ransomware, einem laufenden Angriff, unbekannten Administratorkonten, möglichen Datenabflüssen, mehreren betroffenen Geräten, kompromittierten Cloud-Konten oder geschäftskritischen Systemen. Auch wenn keine sichere Wiederherstellung aus Backups möglich ist, sollte die weitere Analyse nicht improvisiert werden.
