Checkliste: Der richtige Umgang mit einem IT-Sicherheitsvorfall im KMU

Kein Unternehmen wünscht sich einen IT-Sicherheitsvorfall. Ganz vermeiden lässt er sich trotz aller Vorsorge nicht immer. Umso wichtiger ist es, für den Ernstfall vorbereitet zu sein. Denn wie groß der Schaden am Ende ausfällt, hängt oft weniger vom Vorfall selbst ab als vom Vorgehen in den ersten Stunden.

Phishing-Mails, kompromittierte Zugänge oder ein verschlüsseltes System gehören zu den Situationen, mit denen auch mittelständische Unternehmen konfrontiert sein können. Wer strukturiert reagiert, begrenzt den Schaden. Wer hingegen zögert oder Fehlentscheidungen trifft, macht aus einem überschaubaren Problem schnell einen größeren Vorfall.

Dieser Beitrag zeigt, welche Arten von Vorfällen typischerweise auftreten, wie Sie im Ernstfall Schritt für Schritt vorgehen und wie sich die Wahrscheinlichkeit eines Vorfalls durch einfache Vorkehrungen senken lässt.

Typische IT-Sicherheitsvorfälle bei KMUs

In der Praxis treten vor allem vier Arten von Sicherheitsvorfällen auf:

• Ransomware-Angriffe sind inzwischen eine der ernstesten Bedrohungen. Angreifer verschaffen sich Zugang zum Unternehmensnetzwerk, verschlüsseln die Daten und fordern Lösegeld für die Freigabe. Oft werden vorher Daten abgezogen, um den Druck durch eine drohende Veröffentlichung zu erhöhen. Der Einstieg gelingt häufig über unscheinbare E-Mail-Anhänge oder ungepatchte Systeme.
• Phishing zielt auf den Menschen vor dem Bildschirm. Mitarbeitende erhalten täuschend echt wirkende Mails, etwa von vermeintlichen Lieferdiensten, Banken oder internen Absendern. Ein Klick auf den falschen Link, die Eingabe von Zugangsdaten auf einer gefälschten Seite, und der Angreifer hat seinen Fuß in der Tür.
• Datenverlust muss nicht immer das Ergebnis eines Angriffs sein. Auch technische Defekte, versehentliches Löschen oder fehlgeschlagene Updates können dazu führen, dass wichtige Informationen plötzlich nicht mehr verfügbar sind. Ohne funktionierendes Backup wird aus einem Zwischenfall schnell ein existenzielles Problem.
• Kompromittierte Konten entstehen oft im Stillen. Ein gestohlenes Passwort, ein erfolgreicher Phishing-Angriff, und Unbefugte haben Zugang zu Mailkonten, Cloud-Diensten oder internen Systemen. Besonders heikel wird es, wenn der Angriff längere Zeit unbemerkt bleibt und Angreifer in Ruhe mitlesen oder sich weiter im Netzwerk ausbreiten können.

Checkliste: Das richtige Vorgehen im Ernstfall

Wenn ein Vorfall eintritt, zählt jede Minute. Die folgende Reihenfolge hat sich in der Praxis bewährt. Zuerst geht es darum, den unmittelbaren Schaden einzugrenzen, dann die Ursache zu verstehen und erst zum Schluss die rechtlichen und organisatorischen Nacharbeiten zu erledigen.

1. Sofortmaßnahmen (erste Minuten)

Das Ziel der ersten Minuten ist, die Ausbreitung zu stoppen, ohne Spuren zu vernichten.

• Betroffene Systeme vom Netzwerk trennen. Kabel ziehen, WLAN deaktivieren. Geräte aber möglichst nicht herunterfahren, sonst gehen Informationen für die spätere Analyse verloren und im schlimmsten Fall werden noch Dateien überschrieben.
• Kompromittierte oder möglicherweise kompromittierte Passwörter sofort ändern, besonders bei Admin-Konten und geteilten Zugängen.
• Nichts löschen, verschieben oder verändern. Das BSI empfiehlt dieses zurückhaltende Vorgehen ausdrücklich.

2. Intern melden und koordinieren

Wichtig ist, dass eine Person die Koordination übernimmt und nicht jeder parallel auf eigene Faust reagiert.

• Zuständige Person benennen und Geschäftsführung, IT-Verantwortlichen sowie gegebenenfalls den Datenschutzbeauftragten informieren. In kleineren Unternehmen gehört der externe IT-Dienstleister von Anfang an dazu.
• Betroffene Systeme und Daten identifizieren: Was ist verschlüsselt, was ist ausgespäht, was ist noch sauber?
• Interne Kommunikation bewusst steuern: Überlegen Sie, wer wann was erfährt. Unkoordinierte Informationen in der Belegschaft oder nach außen können den Schaden vergrößern.

3. Vorfall dokumentieren

Die Dokumentation beginnt idealerweise sofort und läuft parallel zu allen anderen Schritten.

• Zeitlicher Ablauf: Wer hat wann was entdeckt? Wer hat wann welche Maßnahme ergriffen?
• Betroffene Systeme und Daten
• Alle ergriffenen Maßnahmen lückenlos festhalten

Artikel 33 DSGVO verlangt diese Dokumentation ausdrücklich, selbst wenn am Ende keine Meldung an die Aufsichtsbehörde nötig sein sollte. Sie ist außerdem die Grundlage für Gespräche mit Versicherungen, Anwälten und Behörden.

4. Rechtliche Pflichten prüfen

• DSGVO-Meldepflicht prüfen: Sobald personenbezogene Daten betroffen sind oder sein könnten, muss der Vorfall innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden. Die Frist läuft ab dem Moment der Kenntnis, nicht ab dem Zeitpunkt des Vorfalls. Bei hohem Risiko für die Betroffenen kommt eine Benachrichtigungspflicht nach Artikel 34 DSGVO hinzu.
• Strafanzeige erstatten: Die Landeskriminalämter haben eigene zentrale Ansprechstellen Cybercrime (ZAC), die speziell für solche Fälle zuständig sind.
• Cyber-Versicherung informieren, falls vorhanden. Viele Policen haben eigene Meldefristen, deren Verletzung den Versicherungsschutz gefährden kann.

Im Zweifel empfiehlt sich ein kurzer Anruf beim Datenschutzbeauftragten oder einem Anwalt. Eine verspätete oder unterlassene Meldung kann teurer werden als der Vorfall selbst.

5. Kontrollierter Neustart

Der Impuls, möglichst rasch weiterarbeiten zu wollen, ist verständlich. Er führt aber oft dazu, dass der eigentliche Einstiegspunkt unentdeckt bleibt und der Angreifer ein paar Tage später zurückkommt.

• Systeme erst nach Freigabe durch die IT wieder hochfahren
• Rückkehr zum Normalbetrieb schrittweise und geprüft

Bevor Systeme wieder in Betrieb gehen, muss klar sein: Wie ist der Angreifer reingekommen? Ist die Lücke geschlossen? Sind die Backups sauber?

6. Nachbereitung

Wenn der akute Vorfall überstanden ist, wird dieser Schritt häufig übersprungen. Dabei ist er die Grundlage für echte Verbesserungen.

• Wie ist der Angreifer reingekommen?
• Welche Prozesse, Schulungen oder technischen Maßnahmen müssen angepasst werden?
• Was wird künftig anders gemacht?

Eine ehrliche Nachbereitung ist unbequem, aber sie verhindert, dass der nächste Vorfall auf die gleiche Weise passiert.

Vorsorge: Was Sie jetzt tun sollten

Die meisten erfolgreichen Angriffe auf mittelständische Unternehmen nutzen keine ausgefeilten Methoden, sondern ganz banale Lücken. Das ist die schlechte Nachricht. Die gute: Genau diese Lücken lassen sich mit überschaubarem Aufwand schließen.

Awareness-Trainings für Mitarbeitende sind der wirksamste Hebel überhaupt. Studien zeigen, dass Phishing und Schadsoftware zusammen den Großteil aller Cyberangriffe ausmachen, und in beiden Fällen ist der Mensch das erste Einfallstor. Regelmäßige Schulungen, idealerweise kombiniert mit simulierten Phishing-Kampagnen, sensibilisieren spürbar und nachhaltig.

Updates und Patches konsequent einspielen klingt selbstverständlich, wird in der Praxis aber oft vernachlässigt. Jedes nicht aktualisierte System ist eine offene Einladung. Ein automatisiertes Patch-Management sorgt dafür, dass diese Aufgabe nicht in Vergessenheit gerät.

Zugriffsrechte nach dem Prinzip der minimalen Berechtigung vergeben. Nicht jeder Mitarbeitende braucht Zugriff auf alle Daten. Je klarer die Rechte strukturiert sind, desto begrenzter ist der Schaden, wenn ein Konto kompromittiert wird.

Multi-Faktor-Authentifizierung überall dort aktivieren, wo es möglich ist. Ein gestohlenes Passwort reicht dann nicht mehr aus, um Zugang zu bekommen. Diese einzelne Maßnahme verhindert einen Großteil der Angriffe auf Konten.

Einen IT-Notfallplan schriftlich festhalten. Wer im Ernstfall erst überlegt, wen er anrufen soll, verliert wertvolle Zeit. Der Plan sollte Verantwortlichkeiten, Kommunikationswege, Kontaktdaten von Dienstleistern und die wichtigsten Sofortmaßnahmen enthalten. Er gehört regelmäßig überprüft und geübt.

Fazit

Ein IT-Sicherheitsvorfall muss nicht zur Krise werden. Wer klare Abläufe für den Ernstfall hat und im Alltag die grundlegenden Vorsorgemaßnahmen ernst nimmt, kommt in den meisten Fällen mit einem überschaubaren Schaden davon. Entscheidend ist, das Thema nicht als reine IT-Angelegenheit zu behandeln. Es ist eine Frage der Unternehmensführung.