Cybervorfall: Warum die ersten 72 Stunden über alles entscheiden

Ein Cybervorfall beginnt selten spektakulär. Kein Totalausfall, keine Sirenen – oft ist es ein ungewöhnlicher Login, eine Meldung eines Mitarbeitenden oder ein System, das sich plötzlich anders verhält. Doch genau in diesen ersten Stunden entscheidet sich, ob ein Vorfall beherrschbar bleibt oder zur Krise wird. Für Geschäftsführer, IT-Leiter und Verwaltungsräte in KMU ist das keine abstrakte Gefahr, sondern eine Führungsaufgabe mit direkten Konsequenzen für den Betrieb, die Reputation und die Haftung.

Was ein Cybervorfall wirklich bedeutet

Ein Cybervorfall ist kein reines IT-Thema. Er ist eine Führungsaufgabe. Denn in den ersten 24 bis 72 Stunden müssen Entscheidungen getroffen werden, die unmittelbare Auswirkungen auf den Geschäftsbetrieb haben:

• Systeme abschalten – ja oder nein?

• Kunden informieren – wann und wie?

• Behörden einbeziehen – sofort oder später?

• Betrieb aufrechterhalten oder kontrolliert herunterfahren?

Diese Entscheidungen sind selten technisch eindeutig. Sie sind immer eine Abwägung zwischen Risiko, Zeitdruck und Geschäftsfolgen. Genau hier zeigt sich, ob ein Unternehmen wirklich vorbereitet ist.

Aus meiner Praxis weiss ich: Nicht der Angriff selbst ist das grösste Problem. Sondern die fehlende Entscheidungsfähigkeit in den ersten 24 bis 72 Stunden.

Warum gut aufgestellte Unternehmen trotzdem scheitern

In der Theorie sind viele Unternehmen gut aufgestellt. Notfallpläne existieren, Rollen sind definiert, Prozesse dokumentiert. Doch im Ernstfall zeigt sich ein anderes Bild.

Die häufigsten Muster aus der Praxis:

• Unklare Entscheidungswege: Wer darf Systeme vom Netz nehmen? Wer trägt die Verantwortung für einen Produktionsstillstand?

• Zeitverlust durch Abstimmung: Anstatt zu handeln, wird diskutiert. Wertvolle Stunden vergehen.

• Fokus auf Technik statt Wirkung: Die IT analysiert Protokolldaten, während der Geschäftsbetrieb bereits gefährdet ist.

• Kommunikationslücken: Geschäftsleitung, IT und Fachbereiche arbeiten nicht synchron.

Das Ergebnis: Nicht der Angriff eskaliert die Situation – sondern die Unsicherheit.

Die drei Phasen der ersten 72 Stunden im Cybervorfall

Phase 1: Erkennen und Einordnen (0 bis 24 Stunden)

Ziel: Orientierung schaffen

In dieser Phase geht es nicht um Perfektion, sondern um Klarheit. Die entscheidenden Fragen sind:

• Handelt es sich um einen echten Sicherheitsvorfall oder einen Fehlalarm?

• Welche Systeme sind betroffen?

• Besteht akuter Handlungsbedarf?

Viele Unternehmen verlieren hier Zeit, weil sie versuchen, den Vorfall vollständig zu verstehen. Das ist ein Fehler. In dieser Phase reicht eine fundierte Einschätzung, um erste Massnahmen einzuleiten.

Phase 2: Entscheiden und Stabilisieren (24 bis 48 Stunden)

Ziel: Kontrolle gewinnen

Jetzt wird es kritisch. Die ersten strategischen Entscheidungen stehen an: Systeme isolieren oder weiter betreiben? Zugänge sperren? Externe Unterstützung hinzuziehen?

Hier zeigt sich die grösste Schwäche vieler Organisationen: Es fehlt die Entscheidungsroutine unter Druck. Entscheidungen werden vertagt, Verantwortlichkeiten hinterfragt, Risiken unterschätzt.

Dabei gilt: Eine schnelle, pragmatische Entscheidung ist oft besser als die perfekte Entscheidung zu spät.

Phase 3: Steuern und Kommunizieren (48 bis 72 Stunden)

Ziel: Stabilität und Vertrauen sichern

Sobald die Situation unter Kontrolle ist, rückt ein anderer Faktor in den Vordergrund: Kommunikation.

• Intern: Mitarbeitende informieren und Handlungsfähigkeit sicherstellen

• Extern: Kunden, Partner und Behörden situativ einbinden

• Strategisch: Vertrauen schützen

Viele Unternehmen unterschätzen die Wirkung von Kommunikation. Ein Vorfall wird nicht nur technisch bewertet, sondern auch daran, wie transparent und souverän damit umgegangen wird.

Was erfolgreiche Unternehmen anders machen

Unternehmen, die Vorfälle gut bewältigen, haben nicht zwingend bessere Technik. Sie haben bessere Vorbereitung. Aus der Praxis lassen sich vier klare Muster erkennen:

1. Klare Entscheidungsstruktur
Wer entscheidet was? Wer trägt welches Risiko? Diese Fragen sind vorab geklärt – nicht erst im Ernstfall.

2. Geübte Abläufe
Notfallpläne existieren nicht nur auf Papier. Sie werden getestet: durch Übungen mit realistischen Szenarien, durch Entscheidungs-Simulationen, durch regelmässige Trainings.

3. Gemeinsames Verständnis zwischen Management und IT
Technik und Geschäftsführung sprechen dieselbe Sprache. Das ist entscheidend. Denn ein Cybervorfall ist immer beides: ein technisches Ereignis und ein geschäftliches Risiko.

4. Fokus auf Wirkung statt Perfektion
Es geht nicht darum, alles sofort zu lösen. Sondern darum, Schaden zu begrenzen, den Betrieb zu stabilisieren und Zeit zu gewinnen.

Praxisbeispiel: Ein Industrieunternehmen unter Druck

Ein produzierendes KMU mit rund 80 Mitarbeitenden bemerkt an einem Montagmorgen, dass einzelne Systeme in der Produktion ungewöhnlich reagieren. Der IT-Leiter vermutet einen Sicherheitsvorfall, ist aber unsicher. Es gibt einen Notfallplan – doch wer jetzt entscheidet, ist unklar.

Zwei Stunden vergehen mit internen Abklärungen. Dann erst wird die Geschäftsleitung informiert. Weitere Stunden gehen verloren, weil niemand weiss, ob die Produktion gestoppt werden soll.

Unternehmen, die solche Situationen gut meistern, haben eines gemeinsam: Sie haben diesen Moment vorher gedanklich durchgespielt. Sie wissen, wer anruft, wer entscheidet und was als Erstes zu tun ist – ohne lange zu diskutieren.

Leitfaden für die ersten 72 Stunden im Cybervorfall

Ein pragmatischer Überblick für die Praxis:

Innerhalb der ersten 24 Stunden

• Vorfall identifizieren und grob einordnen

• Incident-Team aktivieren

• Erste Schutzmassnahmen einleiten

Innerhalb von 48 Stunden

• Betroffene Systeme stabilisieren

• Entscheidungsstruktur aktiv leben

• Externe Unterstützung prüfen

Innerhalb von 72 Stunden

• Kommunikationsstrategie umsetzen

• Auswirkungen bewerten

• Nächste Schritte definieren

Vorbereitung ist keine Option, sondern Voraussetzung

Ein Cybervorfall ist keine Frage des «Ob», sondern des «Wann». Die entscheidende Frage lautet: Wie handlungsfähig ist Ihr Unternehmen in den ersten 72 Stunden?

Resilienz entsteht nicht in Konzepten und nicht in Tools. Sie entsteht in der Fähigkeit, unter Druck die richtigen Entscheidungen zu treffen. Und diese Fähigkeit lässt sich trainieren – bevor der Ernstfall eintritt.

Stellen Sie sich jetzt drei Fragen:

• Wer trifft in Ihrem Unternehmen im Ernstfall die ersten Entscheidungen?

• Wie schnell wären Sie handlungsfähig?

• Wann haben Sie das zuletzt getestet?

Bereit für den Ernstfall?

Ich unterstütze KMU dabei, Entscheidungsstrukturen und Notfallabläufe aufzubauen, die im Ernstfall wirklich funktionieren – pragmatisch, verständlich und auf Ihre Ressourcen abgestimmt. Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo Ihr Unternehmen heute steht.

Häufig gestellte Fragen zum Thema Cybervorfall

Was ist in den ersten Stunden eines Cybervorfalls am wichtigsten?
Am wichtigsten ist Orientierung: Handelt es sich um einen echten Vorfall? Welche Systeme sind betroffen? Wer ist zuständig? Wer entscheidet? Diese Fragen müssen schnell beantwortet werden – nicht perfekt, aber fundiert genug, um erste Massnahmen einzuleiten.

Wer muss bei einem Cybervorfall entscheiden?
Ein Cybervorfall ist eine Führungsaufgabe. Die Geschäftsleitung muss eingebunden sein, weil die Entscheidungen – etwa ob Systeme abgeschaltet werden – direkte Auswirkungen auf den Betrieb haben. Technische Fachleute liefern die Grundlagen, die Entscheidung liegt beim Management.

Muss ich bei einem Cybervorfall die Behörden informieren?
Das hängt von der Art des Vorfalls und der Branche ab. Für Unternehmen der kritischen Infrastruktur in der Schweiz gilt eine Meldepflicht bei Cybervorfällen. Auch datenschutzrechtliche Meldepflichten können greifen. Im Zweifel sollte frühzeitig rechtliche Unterstützung beigezogen werden.

Wie kann ich mein Unternehmen auf einen Cybervorfall vorbereiten?
Der wirksamste Schritt ist, Entscheidungsstrukturen und Abläufe vorab zu klären und regelmässig zu üben. Tabletop-Übungen – also das gemeinsame Durchspielen von Szenarien – helfen dabei, Lücken zu erkennen, bevor der Ernstfall eintritt.