Incident Response
Incident Response: Hilfe im IT-Notfall
Incident Response heißt: bei einem Cyberangriff den Schaden begrenzen, Spuren sichern und den Betrieb sicher wieder aufnehmen. Wir helfen im Ernstfall und davor.
Die ersten Stunden entscheiden
Ein Cyberangriff kündigt sich nicht an. Plötzlich sind alle Dateien verschlüsselt, und auf dem Bildschirm steht eine Lösegeldforderung. Fachleute nennen solche Schadsoftware Ransomware. Oder ein Postfach verschickt Rechnungen, die niemand im Betrieb geschrieben hat. Was in den ersten Stunden geschieht, entscheidet über den Schaden.
- Im ersten Schreck werden Rechner ausgeschaltet und neu aufgesetzt. Damit verschwinden die Spuren, die zeigen, wie der Angreifer hereinkam.
- Niemand weiß, wer entscheiden darf, ob ein System vom Netz geht, und wen man zuerst anruft.
- Die Meldefristen an BSI und Datenschutzaufsicht laufen schon, während intern noch gerätselt wird, was eigentlich passiert ist.
- Ob die Datensicherung im Ernstfall funktioniert und wie lange die Wiederherstellung dauert, hat nie jemand ausprobiert.
Was wir für Sie umsetzen
Lageeinschätzung und Eindämmung
Im ersten Gespräch klären wir, welche Systeme betroffen sind, ob der Angriff noch läuft und welche Daten in Gefahr sind. Danach folgt die Eindämmung. Das heißt: Wir begrenzen den Schaden, damit sich der Angreifer nicht weiter ausbreitet. Wir trennen Netzbereiche voneinander, sperren übernommene Konten, schützen die Datensicherung und schalten die Protokollierung ein.
IT-Forensik und Beweissicherung
Forensik heißt: die Spuren eines Angriffs so sichern und auswerten, dass sie als Beweis taugen. Wir sichern Abbilder von Arbeitsspeicher und Festplatten sowie die Protokolle, bevor jemand aufräumt. Daraus rekonstruieren wir, wie der Angreifer hereinkam, wohin er sich im Netz bewegte, welche Konten er übernahm, welche Daten abflossen und wo er sich eingenistet hat. Wir sichern beweissicher, damit Versicherung und Strafverfolgung mit den Spuren arbeiten können.
Sicherer Wiederanlauf
Bevor Ihre Systeme zurückkommen, entfernen wir die Hintertüren, die der Angreifer hinterlassen hat, und schließen das Einfallstor. Sonst steht er kurz darauf wieder im Netz. Wir prüfen, ob Ihre Datensicherungen sauber und nutzbar sind, und helfen bei der Wiederherstellung in einer sinnvollen Reihenfolge. Wo keine brauchbare Sicherung mehr existiert, rekonstruieren wir Daten, soweit das möglich ist.
Meldungen, Versicherer und Kommunikation
Fällt Ihr Betrieb unter das BSI-Gesetz, bereiten wir die Meldungen an das BSI vor, stimmen die Texte mit Ihnen ab und stehen für Rückfragen bereit. Sind personenbezogene Daten betroffen, liefern wir die Angaben für die Meldung an die Datenschutzaufsicht. Besteht eine Cyberversicherung, melden Sie den Schaden mit unserer Hilfe sofort, und wir dokumentieren die Maßnahmen so, wie der Versicherer es verlangt. Geschäftsleitung und Betroffene informieren wir gemeinsam mit Ihnen. Wenn nötig, sprechen wir für Sie.
IT-Notfallplan und Übung
Ohne akuten Vorfall erstellen wir mit Ihnen einen IT-Notfallplan auf wenigen Seiten. Er legt fest, wer entscheidet, wer wen anruft, welche Systeme zuerst zurückkommen und welche Meldung wann fällig ist. Ein Plan hilft aber erst, wenn er geübt ist. Deshalb spielen wir mit Ihrer Leitung einen Angriff als Planspiel am Tisch durch und testen, ob sich ein System aus der Datensicherung wirklich wiederherstellen lässt.
Bereitschaftsvertrag
Ein Bereitschaftsvertrag ist eine Vereinbarung für den Ernstfall, die Sie vorab schließen. Wir prüfen Ihre Infrastruktur und Ihre Notfallunterlagen im Voraus und kennen Ihre Systeme, bevor etwas passiert. Sie erhalten vereinbarte, erweiterte Erreichbarkeitszeiten und eine kürzere Reaktionszeit. Ein Kontingent an Notfallstunden ist im monatlichen Betrag enthalten.
Was Ihr Betrieb davon hat
Der Schaden bleibt begrenzt
Wer früh eindämmt, verhindert, dass der Angreifer weitere Systeme erreicht oder mehr Daten abzieht. Ihr Betrieb läuft eher wieder, und das Einfallstor ist dann geschlossen.
Beweise für Versicherung und Ermittler
Gesicherte Spuren und eine lückenlose Dokumentation sind regelmäßig Voraussetzung dafür, dass eine Cyberversicherung den Schaden reguliert. Sie stützen auch eine Strafanzeige.
Fristen im Blick
Die Meldefristen laufen ab der ersten Kenntnis im Betrieb. Wir behalten sie im Blick und bereiten die Meldungen vor, während Ihr Team mit dem Vorfall beschäftigt ist.
Ein Plan, den alle kennen
Mit einem geübten Notfallplan weiß jede Person, was zu tun ist. Entscheidungen fallen schneller, und niemand sucht nachts nach Telefonnummern oder Zuständigkeiten.
So kann das bei Ihnen aussehen
- Arztpraxis
Praxisrechner am Montagmorgen verschlüsselt
Eine Arztpraxis stellt am Montagmorgen fest, dass sich keine Patientenakte mehr öffnen lässt. Auf jedem Bildschirm steht eine Lösegeldforderung. Die Praxis trennt die Rechner vom Netz, lässt sie aber eingeschaltet, und meldet sich bei uns. Wir sichern die Spuren, prüfen, ob die Datensicherung unberührt ist, und bereiten mit der Praxis die Meldung an die Datenschutzaufsicht vor.
- Handel
Gefälschte Rechnung aus dem eigenen Postfach
Ein Großhändler erfährt von einem Kunden, dass dieser eine Rechnung mit neuer Bankverbindung erhalten hat, scheinbar aus dem Postfach der Buchhaltung. Jemand hat das E-Mail-Konto übernommen. Wir sperren den Zugang, suchen nach Weiterleitungsregeln, die der Angreifer eingerichtet hat, und klären, welche Nachrichten er lesen konnte. Bis das Postfach wieder sicher ist, laufen alle Absprachen über das Telefon.
- Produktion
Den Ernstfall am Tisch geübt
Ein Zulieferer mit eigener Fertigung will wissen, was passiert, wenn an einem Morgen Warenwirtschaft und Auftragsplanung verschlüsselt sind. Wir erstellen mit der Geschäftsführung einen Notfallplan auf wenigen Seiten und spielen das Szenario einige Stunden lang am Tisch durch. Solche Übungen decken typische Lücken auf: fehlende Telefonnummern, unklare Entscheidungswege, nie getestete Datensicherungen.
Ablauf
In vier Etappen aus dem Notfall
Melden und Lage klären
Sie melden sich, sobald Sie einen Angriff vermuten. Werktags antworten wir spätestens nach 24 Stunden, während der Bereitschaft montags bis freitags von 7 bis 22 Uhr meist innerhalb von 1 bis 4 Stunden. Im ersten Gespräch klären wir, was betroffen ist und was Sie sofort tun sollten.
Eindämmen und Spuren sichern
Wir stoppen die Ausbreitung, sperren übernommene Konten und sichern die Spuren, bevor jemand aufräumt. Parallel behalten wir die Meldefristen im Blick und bereiten die Meldungen mit Ihnen vor.
Bereinigen und wieder anlaufen
Wir finden heraus, wie der Angreifer hereinkam, entfernen seine Hintertüren und schließen die Lücke. Danach helfen wir, Ihre Systeme aus sauberen Datensicherungen wiederherzustellen.
Aufarbeiten und vorbeugen
Sie erhalten einen Bericht mit Zeitleiste, Ursache und ergriffenen Maßnahmen. Daraus entsteht Ihr Notfallplan oder seine überarbeitete Fassung, und wir üben ihn mit Ihnen, bevor der nächste Ernstfall kommt.
Was Incident Response im Ernstfall bedeutet
Incident Response ist die geordnete Reaktion auf einen Sicherheitsvorfall: eindämmen, Spuren sichern, bereinigen, wieder anlaufen. Bei einem IT-Notfall ist der häufigste Fehler der Griff zum Ausschalter. Damit gehen Spuren im Arbeitsspeicher verloren, die später zeigen, wie der Angriff ablief. Besser ist es, betroffene Rechner vom Netz zu trennen und laufen zu lassen. Der zweite Fehler ist voreiliges Aufräumen. Wer Server neu aufsetzt, bevor die Spuren gesichert sind, verliert Beweise. Ob Sie Hilfe bei Ransomware oder bei einem übernommenen Postfach brauchen: Holen Sie sie früh. Ist das E-Mail-System betroffen, liest der Angreifer womöglich mit, und Absprachen laufen besser über das Telefon.
Für Betriebe, die unter das BSI-Gesetz fallen, gilt seit dem 6. Dezember 2025 eine gestufte Meldepflicht nach § 32 BSIG. Bei einem erheblichen Sicherheitsvorfall ist unverzüglich eine erste Meldung fällig, spätestens nach 24 Stunden. Spätestens nach 72 Stunden folgt eine Meldung mit erster Bewertung, spätestens einen Monat nach dieser Meldung die Abschlussmeldung. Die Frist beginnt laut BSI, sobald eine Mitarbeiterin oder ein Mitarbeiter während der Arbeitszeit von dem Vorfall erfährt, nicht erst mit der Information der Geschäftsleitung. Sind personenbezogene Daten betroffen, kommt die Meldung an die Datenschutzaufsicht nach Artikel 33 DSGVO hinzu, unverzüglich und möglichst binnen 72 Stunden.
Wer einen IT-Notfallplan erstellen will, braucht kein dickes Handbuch. Für einen kleinen oder mittleren Betrieb genügen wenige Seiten, die jemand im Ernstfall unter Stress lesen kann. Sie beantworten drei Fragen: Wer entscheidet? Wer handelt? Wer informiert wen und wann? Für die drei oder vier Szenarien, die Ihren Betrieb realistisch lahmlegen, steht das Vorgehen auf je einer Seite. Üben Sie den Plan mindestens einmal im Jahr, zuerst als Planspiel am Tisch, dann mit einer echten Wiederherstellung aus der Datensicherung. Erst dann wissen Sie, ob sie funktioniert und wie lange sie dauert.
Vertraulich und nachvollziehbar
Bei einem Vorfall sehen wir tief in Ihre Systeme und Daten. Den Einsatz übernimmt Deniz Ceylan persönlich, Software- und Security-Engineer und Cyber Security Advisor (IHK). Für den Umgang mit Ihren Daten gelten feste Regeln.
- Eingriffe nur mit Ihrer Freigabe: Wir arbeiten in Ihren Systemen nur so weit, wie Sie es erlauben, und halten jeden Eingriff mit Uhrzeit fest.
- Beweise bleiben unverändert: Gesicherte Abbilder und Protokolle bewahren wir nachvollziehbar auf, mit Übergabeprotokoll und Zeitstempel.
- Daten bleiben vertraulich: Gesicherte Daten gehen nur an die Stellen, die Sie bestimmen, und bleiben in der EU. Auf Wunsch schließen wir vorab eine Verschwiegenheitsvereinbarung.
- Sichere Absprachen: Ist Ihr E-Mail-System betroffen, besprechen wir das Vorgehen über einen Weg außerhalb der betroffenen Systeme.
Häufige Fragen
Was sollen wir als Erstes tun, wenn wir einen Angriff vermuten?
Trennen Sie betroffene Rechner vom Netz: Netzwerkkabel ziehen, WLAN und VPN ausschalten. Schalten Sie die Geräte aber nicht aus, denn im Arbeitsspeicher liegen Spuren, die beim Herunterfahren verloren gehen. Notieren Sie, wann Sie den Vorfall bemerkt haben und was Sie sehen, und informieren Sie sofort die Geschäftsleitung. Dann melden Sie sich bei uns, am besten über einen Weg außerhalb der betroffenen Systeme, etwa per Telefon.
Wie schnell sind Sie im Notfall erreichbar?
Werktags antworten wir spätestens nach 24 Stunden. Während unserer Bereitschaft, montags bis freitags von 7 bis 22 Uhr, reagieren wir im Akutfall meist innerhalb von 1 bis 4 Stunden. Außerhalb dieser Zeiten melden wir uns am nächsten Werktag. Eine Notrufzentrale rund um die Uhr betreiben wir nicht. Mit einem Bereitschaftsvertrag vereinbaren wir erweiterte Erreichbarkeitszeiten und eine kürzere Reaktionszeit.
Sollen wir bei Ransomware das Lösegeld zahlen?
In der Regel raten wir davon ab. Eine Zahlung garantiert nicht, dass Sie Ihre Daten vollständig zurückbekommen, und wer einmal gezahlt hat, wird leichter erneut zum Ziel. Wir helfen stattdessen bei der Wiederherstellung aus Ihren Datensicherungen und rekonstruieren Daten, wo das möglich ist. Trennen Sie im Ernstfall deshalb früh die Datensicherung vom übrigen Netz, bevor auch sie verschlüsselt wird.
Was kostet die Notfallhilfe?
Ohne Bereitschaftsvertrag berechnen wir für Lageeinschätzung und erste Eindämmung eine feste Pauschale, die die ersten Einsatzstunden abdeckt. Weitere Stunden rechnen wir nach Aufwand ab. Mit Bereitschaftsvertrag zahlen Sie einen monatlichen Betrag, in dem ein Kontingent an Notfallstunden enthalten ist. Zusätzliche Stunden kosten dann weniger. Die aktuellen Sätze nennen wir Ihnen auf Anfrage.
Müssen wir einen Cyberangriff melden?
Das hängt von Ihrem Betrieb und vom Vorfall ab. Fällt Ihr Betrieb unter das BSI-Gesetz, ist bei einem erheblichen Sicherheitsvorfall eine erste Meldung spätestens 24 Stunden nach Kenntnis fällig, eine Meldung mit erster Bewertung nach 72 Stunden und die Abschlussmeldung spätestens einen Monat danach. Sind personenbezogene Daten betroffen, melden Sie zusätzlich an die Datenschutzaufsicht, möglichst binnen 72 Stunden. Wir bereiten die Meldungen mit Ihnen vor.
Helfen Sie auch, wenn noch nichts passiert ist?
Ja, und das ist der bessere Zeitpunkt. Wir erstellen mit Ihnen einen IT-Notfallplan, prüfen Ihre Infrastruktur und üben den Ernstfall mit Ihrer Leitung als Planspiel am Tisch. Mit einem Bereitschaftsvertrag kennen wir Ihre Systeme schon, bevor etwas passiert, und Sie haben vereinbarte Zeiten, in denen wir erweitert erreichbar sind.
Passt gut dazu
NIS2-Beratung
Prüft, ob NIS2 für Ihren Betrieb gilt, und setzt die Pflichten aus dem BSIG um.
Penetration Testing
Greift Ihre Systeme mit Ihrer Erlaubnis an und zeigt, wie Sie gefundene Lücken schließen.
ISO 27001
Baut mit Ihnen ein Sicherheitsmanagement nach ISO 27001 auf und bereitet die Zertifizierung vor.
Lassen Sie uns über Ihre Abläufe sprechen.
30 Minuten, kostenlos und unverbindlich. Sie schildern, wo Zeit verloren geht. Wir sagen Ihnen offen, was Software und KI dort leisten können und was nicht.