Notfallplan Cyberangriff: Was in den ersten 72 Stunden entscheidet

Ein Montagmorgen, 07:15 Uhr. Die Mitarbeitenden kommen ins Büro, schalten ihre Rechner ein – und nichts geht mehr. Dateien sind verschlüsselt, Systeme reagieren nicht, auf dem Bildschirm erscheint eine Lösegeldforderung. Genau in diesem Moment entscheidet sich, ob ein Unternehmen den Vorfall kontrolliert bewältigt oder ob er ausser Kontrolle gerät. Für viele KMUs ist das der erste echte Test ihrer Sicherheitsorganisation – und häufig der Moment, in dem sie merken, dass sie keinen klaren Notfallplan Cyberangriff haben. Wer heute nicht vorbereitet ist, zahlt morgen doppelt: in Zeit, Geld und Vertrauen.

Was in der ersten Stunde zählt – und was nicht

Die erste Stunde nach der Entdeckung eines Angriffs ist die kritischste. Hier werden Fehler gemacht, die den Schaden massiv vergrössern – oft aus gutem Willen heraus.

Was jetzt richtig ist:

• Betroffene Systeme sofort vom Netzwerk trennen, aber nicht ausschalten. Der Speicherinhalt bleibt so erhalten und ist für die spätere Analyse unerlässlich.

• Alle Beobachtungen sofort dokumentieren: Was wurde wann entdeckt? Welche Systeme sind betroffen? Wer hat was gesehen?

Was jetzt falsch ist:

• Systeme neu starten oder Dateien löschen, um «aufzuräumen». Das vernichtet Spuren, die für die Ursachenanalyse und für Behördenmeldungen zwingend gebraucht werden.

• Alles intern selbst lösen wollen, ohne externe Unterstützung beizuziehen.

Die erste Stunde ist keine Zeit für Heldentum. Sie ist eine Zeit für klare Köpfe und vordefinierte Abläufe. Wer in diesem Moment auf einen Notfallplan Cyberangriff zurückgreifen kann, handelt strukturiert statt reaktiv.

Wer muss informiert werden – und wann?

Ein Cyberangriff ist kein rein technisches Problem. Er ist ein Unternehmensvorfall, der Führung, Kommunikation und rechtliche Klarheit erfordert.

Intern muss die Geschäftsleitung sofort informiert werden – nicht erst, wenn alles geklärt ist. Auch der Verwaltungsrat sollte frühzeitig einbezogen werden, da er eine Aufsichtspflicht trägt. Die Kommunikation an Mitarbeitende muss koordiniert erfolgen, um Gerüchte und Panik zu vermeiden.

Extern sind je nach Situation folgende Stellen relevant:

• NCSC (Nationales Zentrum für Cybersicherheit) – in der Schweiz die erste Anlaufstelle bei Cybervorfällen

• Kantonspolizei oder Bundespolizei, wenn ein Straftatbestand vorliegt

• Datenschutzbeauftragter, wenn personenbezogene Daten betroffen sind

• Kunden und Partner, wenn deren Daten kompromittiert wurden

Für Unternehmen der kritischen Infrastruktur gilt seit 2025 zudem eine gesetzliche Meldepflicht bei erheblichen Cybervorfällen. Wer diese Pflicht nicht kennt oder ignoriert, riskiert zusätzliche rechtliche Konsequenzen.

Warum fehlende Vorbereitung die Kosten verdoppelt

Unternehmen ohne Incident-Response-Plan zahlen im Ernstfall deutlich mehr – nicht nur finanziell, sondern auch in Ausfallzeit und Reputationsschaden.

Der Grund ist einfach: Wer im Moment des Angriffs zum ersten Mal überlegt, wen er anrufen soll, verliert wertvolle Stunden. Wer keine Backups hat oder nicht weiss, wo sie liegen, verliert Tage. Wer keine Kommunikationsstrategie hat, verliert das Vertrauen von Kunden und Partnern.

Konkret entstehen Mehrkosten durch:

• Längere Ausfallzeiten, weil Abläufe erst improvisiert werden müssen

• Höhere Wiederherstellungskosten, weil Systeme ohne Vorbereitung schwerer zu rekonstruieren sind

• Rechtliche Risiken, weil Meldepflichten nicht eingehalten wurden

• Reputationsschäden, weil die Kommunikation nach aussen unkontrolliert verläuft

Ein einfacher, gut vorbereiteter Notfallplan Cyberangriff kann diese Kosten erheblich reduzieren – und das, bevor ein einziger Angriff stattgefunden hat.

Wie ein einfacher Notfallplan Cyberangriff für KMUs aussieht

Ein Incident-Response-Plan muss nicht hundert Seiten umfassen. Für KMUs reicht ein klares, praxistaugliches Dokument, das folgende Punkte abdeckt:

1. Erkennung und Erstreaktion: Wer meldet einen Vorfall? An wen? Über welchen Kanal – auch wenn E-Mail und Telefon nicht funktionieren?

2. Sofortmassnahmen: Welche Systeme werden isoliert? Wer hat die Befugnis dazu?

3. Kommunikation: Wer informiert intern wen? Wer spricht nach aussen – gegenüber Kunden, Medien, Behörden?

4. Externe Unterstützung: Welche Dienstleister, Forensiker oder Berater werden kontaktiert? Sind deren Kontaktdaten offline verfügbar?

5. Dokumentation: Wie wird der Vorfall protokolliert? Wer ist verantwortlich?

6. Wiederherstellung: In welcher Reihenfolge werden Systeme wieder hochgefahren? Welche haben Priorität?

Dieser Plan sollte mindestens einmal jährlich überprüft und idealerweise in einer Übung getestet werden. Wer ihn kennt, bevor er ihn braucht, hat im Ernstfall einen entscheidenden Vorsprung.

Praxisbeispiel: Ein Produktionsbetrieb im Ernstfall

Ein mittelgrosser Industriebetrieb bemerkt an einem Dienstagmorgen, dass seine Produktionssteuerung nicht mehr reagiert. Der IT-Verantwortliche vermutet einen Ransomware-Angriff. Weil das Unternehmen sechs Monate zuvor einen einfachen Incident-Response-Plan erarbeitet hatte, läuft die Reaktion strukturiert ab:

Die betroffenen Systeme werden innerhalb von 20 Minuten isoliert. Die Geschäftsleitung wird informiert, ein externer Sicherheitsberater wird kontaktiert. Die Produktion wird auf manuelle Prozesse umgestellt, die im Plan als Notfallbetrieb definiert waren. Nach 36 Stunden sind die kritischen Systeme wiederhergestellt – ohne Lösegeldzahlung, ohne Datenverlust.

Ohne diesen Plan wäre der Betrieb tagelang ausgefallen. Der Unterschied: nicht Technik, sondern Vorbereitung.

Jetzt handeln, bevor es zu spät ist

Ein Cyberangriff ist kein «Ob», sondern ein «Wann». Die entscheidende Frage ist, ob Ihr Unternehmen dann weiss, was zu tun ist. Mein Rat: Erstellen Sie noch diese Woche einen einfachen Notfallplan Cyberangriff – oder überprüfen Sie, ob der bestehende noch aktuell ist. Das ist die wirksamste Massnahme, die Sie heute ergreifen können, noch vor jeder technischen Lösung.

Bereit für den nächsten Schritt?

Möchten Sie wissen, ob Ihr Unternehmen für den Ernstfall vorbereitet ist? Vereinbaren Sie jetzt ein unverbindliches Erstgespräch mit Marcel Kühni und erhalten Sie eine klare Einschätzung Ihrer Situation.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was ist ein Incident-Response-Plan und wozu brauche ich ihn?
Ein Incident-Response-Plan ist ein vorbereitetes Dokument, das festlegt, wie Ihr Unternehmen im Fall eines Cyberangriffs reagiert. Er definiert Verantwortlichkeiten, Abläufe und Kommunikationswege – damit im Ernstfall niemand improvisieren muss.

Muss ich einen Cyberangriff in der Schweiz melden?
Ja, für Unternehmen der kritischen Infrastruktur gilt seit 2025 eine gesetzliche Meldepflicht bei erheblichen Cybervorfällen. Zusätzlich empfiehlt das NCSC allen betroffenen Unternehmen, Vorfälle freiwillig zu melden. Bei Datenschutzverletzungen besteht je nach Schwere ebenfalls eine Meldepflicht.

Was kostet ein Cyberangriff ein KMU durchschnittlich?
Die Kosten variieren stark, umfassen aber typischerweise Ausfallzeiten, Wiederherstellungsaufwand, rechtliche Risiken und Reputationsschäden. Unternehmen ohne Notfallplan zahlen im Schnitt deutlich mehr als jene mit einer klaren Vorbereitung.

Wie oft sollte ein Notfallplan überprüft werden?
Mindestens einmal jährlich. Idealerweise wird er zusätzlich nach grösseren Veränderungen in der IT-Infrastruktur oder nach einem Sicherheitsvorfall aktualisiert und in einer Übung getestet.