Cyberangriff: was tun? Die ersten 24 Stunden im Betrieb

Nach einem Cyberangriff trennst du zuerst die betroffenen Geräte vom Netz, ohne sie auszuschalten, und änderst dann von einem sauberen Gerät aus die Zugänge, an denen Geld und Daten hängen: Postfach, Onlinebanking, Hoster, Domainverwaltung. Danach kommen Beweise, Hilfe und Meldungen. In dieser Reihenfolge, weil jeder Schritt den nächsten erst möglich macht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beginnt seine Erste Hilfe bei einem schweren IT-Sicherheitsvorfall mit einem Satz, der für den kleinen Betrieb genauso gilt wie für den Konzern: „Bewahren Sie Ruhe und handeln Sie nicht übereilt.“

Der häufigste Fehler in der ersten Stunde ist nicht Untätigkeit, sondern Aufräumen. Wer verdächtige Mails löscht, den Rechner neu aufsetzt oder eine Sicherung zurückspielt, bevor klar ist, wie der Angreifer hineinkam, vernichtet die Spuren und lässt die Tür offen. Erst sichern, dann eingreifen.

Welcher Angriff ist es?#

„Cyberangriff“ ist ein Sammelwort. Für einen Betrieb ohne IT-Abteilung laufen fast alle Fälle auf vier Bilder hinaus, und jedes hat einen eigenen ersten Handgriff:

Mehrere Bilder gleichzeitig sind kein Zufall. Ein übernommenes Postfach ist häufig der Weg zur gefälschten Rechnung, und eine gehackte Website verschickt oft Spam unter deiner Domain. Wer eines davon sieht, prüft die anderen drei mit.

Die ersten 24 Stunden, Schritt für Schritt#

1. Trennen, nicht ausschalten (erste Minuten). Netzwerkkabel ziehen, WLAN abschalten. Das BSI schreibt ausdrücklich: „Gerät nicht herunterfahren oder ausschalten.“ Im Arbeitsspeicher liegen Spuren, die beim Neustart weg sind. Auf einem verdächtigen Gerät meldest du dich nicht mit einem Administratorkonto an, solange es noch am Netz hängt; das ist die „oberste Regel“ des BSI. Ein Hinweis zur Einordnung: onlinesicherheit.gv.at rät bei einem einzelnen Privatrechner, ihn bei laufender Verschlüsselung sofort stromlos zu machen. Im Betrieb, wo es um Spuren, Versicherung und Anzeige geht, ist die Trennung vom Netz der bessere erste Griff.

1. Ein sauberes Gerät nehmen (erste Stunde). Alles Weitere passiert von einem Gerät, das nicht betroffen ist: ein anderer Laptop, ein Handy. Das BSI empfiehlt, alle Zugangsdaten als kompromittiert zu betrachten, die auf einem betroffenen System gespeichert oder dort nach dem Befall eingegeben wurden, also auch die im Browser und im Mailprogramm gespeicherten.

1. Zugänge ändern, die wichtigsten zuerst (erste Stunde). Die Reihenfolge folgt dem Schaden: Onlinebanking, E-Mail-Postfach, Domainverwaltung und Hoster, dann alles andere. Wer die Domainverwaltung übernimmt, kann jeden anderen Schritt rückgängig machen, deshalb steht sie so weit oben. Bei einem Microsoft-365-Postfach reicht ein neues Passwort nicht, weil bestehende Sitzungen und Weiterleitungsregeln weiterlaufen; die Reihenfolge dafür steht in Microsoft-365-Konto gehackt. Wo es noch fehlt, schaltest du dabei die Zwei-Faktor-Anmeldung ein.

1. Bei Geldabfluss: die Bank (sofort, vor allem anderen). Ging eine Überweisung an ein falsches Konto, verlangst du telefonisch einen Stopp oder Rückruf. Das Bundeskriminalamt nennt das als ersten Schritt, noch vor der Anzeige. Geld, das noch auf dem ersten Empfängerkonto liegt, lässt sich aufhalten. Wie die Masche läuft und welche Unterlagen die Bank braucht, steht in CEO-Fraud.

1. Beweise sichern (erste Stunden). Fotos vom Bildschirm mit der Erpressernachricht, die verdächtige Mail mit vollständigem Nachrichtenkopf, Kontoauszüge, eine Liste mit Uhrzeiten: wer hat was wann bemerkt, was wurde getan. Nichts löschen. Diese Notizen brauchst du für Anzeige, Versicherung, Datenschutzbehörde und für jeden, der dir hilft.

1. Hilfe holen (erste Stunden). Die WKO Cyber-Security-Hotline unter 0800 888 133 ist Montag bis Sonntag von 0 bis 24 Uhr erreichbar. Für Mitglieder der Wirtschaftskammer sind die telefonische Erstberatung und ein erstes Gespräch mit einem IT-Sicherheitsunternehmen kostenlos. Hast du einen IT-Dienstleister oder eine Agentur für die Website, informierst du sie parallel.

1. Melden (bis 72 Stunden). Anzeige bei jeder Polizeidienststelle, Hinweise an die Meldestelle für Internetkriminalität unter against-cybercrime@bmi.gv.at. CERT.at nimmt Meldungen über Sicherheitsvorfälle unter reports@cert.at an, auch freiwillige. Und wenn der Angreifer Zugriff auf personenbezogene Daten hatte, auf Kundenlisten, Postfächer, Bewerbungen, gilt Art. 33 DSGVO: Meldung an die Datenschutzbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt ist, außer sie führt voraussichtlich zu keinem Risiko. Dokumentiert wird jeder Fall, auch der nicht meldepflichtige. Ob ein konkreter Vorfall gemeldet werden muss, ist eine Einzelfallfrage für jemanden mit rechtlicher Zulassung, und zwar innerhalb der Frist.

1. Erst dann wiederherstellen (ab Tag 2). Das BSI empfiehlt, infizierte Rechner als vollständig kompromittiert zu betrachten und neu aufzusetzen, und die Daten aus Sicherungen in ein sauberes Netz zurückzuspielen. Vorher muss klar sein, ob die Sicherung selbst sauber ist und wie der Angreifer hineinkam, sonst steht er nach der Wiederherstellung wieder drin.

Bei einer gehackten Website verschiebt sich das Gewicht: Dort heißt der erste Schritt „Seite vom Netz und Hoster informieren“, und die Bereinigung ist eine eigene Arbeit in neun Schritten, die in WordPress gehackt – was tun beschrieben ist.

Lösegeld zahlen?#

Nein, so raten die Behörden. Das BSI schreibt, man solle „grundsätzlich nicht auf die Erpressung eingehen und kein Lösegeld bezahlen“, sondern die Daten aus Sicherungen zurückspielen. Die österreichische Plattform onlinesicherheit.gv.at begründet es nüchtern: Eine Überweisung an Kriminelle sei „niemals eine Garantie dafür“, dass die Dateien wieder freigegeben werden. Dazu kommt, was das BSI ebenfalls festhält: Mit einem Abfluss von Daten ist zu rechnen. Wer zahlt, hat damit nicht gekauft, dass die Daten nicht trotzdem irgendwo auftauchen.

Die ehrliche Ergänzung: Diese Empfehlung trägt nur, wenn es eine Sicherung gibt, die der Angriff nicht erreicht hat. Ob das so ist, entscheidet sich vor dem Angriff, nicht danach.

Betrifft mich das NISG 2026?#

Als kleiner Betrieb meist nicht direkt. Das Netz- und Informationssystemsicherheitsgesetz 2026 (BGBl. I Nr. 94/2025) gilt seit 1. Oktober 2026 für wesentliche und wichtige Einrichtungen, in ihren Sektoren grundsätzlich ab mittlerer Unternehmensgröße. Wer erfasst ist, hat eigene Meldepflichten mit kurzen Fristen; die NIS-2-Richtlinie, die das Gesetz umsetzt, verlangt in Art. 23 eine Frühwarnung binnen 24 Stunden. Gemeldet wird dann über die Meldeplattform, die CERT.at auf seiner Seite Vorfall melden verlinkt. Ob dein Betrieb erfasst ist, klärt die Wirtschaftskammer verbindlich.

IT-Notfallplan: Vorlage auf einer Seite#

Ein Notfallplan für einen Betrieb mit fünf bis dreißig Leuten muss nicht mehr sein als eine Seite, ausgedruckt, an einem Ort, den auch jemand findet, wenn die Rechner verschlüsselt sind. Die meisten Vorlagen im Netz sind für Konzerne mit Krisenstab geschrieben. Diese hier ist zum Abschreiben gedacht; jede leere Zelle ist eine Frage, die du heute in zehn Minuten beantworten kannst und während eines Angriffs nicht mehr.

Ein Plan, den nie jemand gelesen hat, hilft im Ernstfall so wenig wie eine Sicherung, die nie zurückgespielt wurde. Einmal im Jahr durchgehen, Telefonnummern prüfen, die Sicherung einmal testweise zurückspielen. Für WordPress-Seiten steht, wie das mit Updates und Sicherungen zusammengeht, in WordPress-Updates.

Was nicht hilft#

Den Rechner neu starten und hoffen. Der Neustart löscht den Arbeitsspeicher und damit Spuren, und er beseitigt keine Schadsoftware, die sich eingenistet hat.

Nur das Passwort ändern. Bei Postfächern laufen bestehende Sitzungen und versteckte Weiterleitungen weiter, bei Rechnern bleiben gespeicherte Zugangsdaten im Browser abgreifbar. Zugänge ändern heißt: alle, von einem sauberen Gerät, mit Zwei-Faktor.

Die Sicherung sofort zurückspielen. Ohne zu wissen, wie der Angreifer hereinkam, stellst du den Zustand vor dem Angriff wieder her, inklusive der Lücke.

Kunden aus dem betroffenen Postfach warnen. Der Angreifer liest mit. Warnungen an Geschäftspartner gehen telefonisch oder von einer anderen Adresse.

Abwarten, ob es wirklich ein Angriff war. Die 72 Stunden der DSGVO laufen ab dem Zeitpunkt, an dem die Verletzung hinreichend sicher bekannt ist, nicht ab dem Abschlussbericht. Fehlende Angaben dürfen nachgereicht werden.

Wenn du es nicht selbst machen willst#

In eigener Sache: cyberscale bin ich, Stefan Haun aus Tirol, und ich bin kein Bereitschaftsdienst. Gerichtsfeste Forensik, Penetrationstests mit aktiven Angriffen und Erreichbarkeit rund um die Uhr mache ich nicht; für den akuten Fall ist die Hotline der richtige erste Anruf, und wer mehr braucht, bekommt von mir eine Empfehlung, wer es kann. Was ich übernehme: Ist eine WordPress-Seite befallen, bereinige ich sie als WordPress-Soforthilfe ab 290 €, Preis nach kostenloser Ersteinschätzung und vorab fix. Und vor dem nächsten Vorfall zeigt der Sicherheits-Check für 290 €, was ein Angreifer von außen sieht: Website, Header, Plugin-Stand, offene Zugänge, SPF, DKIM und DMARC, als Bericht nach Dringlichkeit in drei Werktagen. Ob deine Domain gefälschte Absender durchlässt, zeigt kostenlos der E-Mail-Check. Alle Anlaufstellen in Österreich mit Verweisen stehen unter Cybersecurity.

Der ehrliche Schluss#

Die ersten 24 Stunden nach einem Angriff entscheiden selten über Technik, sondern über Reihenfolge: trennen, sauberes Gerät, Zugänge, Bank, Beweise, Hilfe, Meldung, und erst dann aufräumen. Wer das einmal auf eine Seite geschrieben hat, muss es im Ernstfall nicht erfinden. Die Vorlage oben ist der kleinste Notfallplan, der funktioniert, und die halbe Stunde, die er kostet, ist die billigste Sicherheitsmaßnahme in diesem Beitrag.

Häufige Fragen#

Stand 13.10.2026. WKO, CERT.at, onlinesicherheit.gv.at, Bundeskriminalamt und BSI-Arbeitspapier an diesem Tag gelesen. Keine Rechtsberatung.