Wiederherstellung nach einem Cyberangriff: Was KMU jetzt wissen müssen

Wenn ein Cyberangriff ein Unternehmen trifft, entscheidet nicht nur der Schutz davor, wie glimpflich die Sache ausgeht – sondern vor allem die Fähigkeit, danach schnell wieder auf die Beine zu kommen. Die Funktion «Wiederherstellen» im IKT-Minimalstandard ist deshalb kein nachgelagertes Thema, sondern ein zentraler Bestandteil jeder ernsthaften Sicherheitsstrategie. Für Geschäftsführer, IT-Leiter und Verwaltungsräte in KMU bedeutet das: Wer heute keinen getesteten Wiederherstellungsplan hat, geht ein Risiko ein, das sich im Ernstfall nicht mehr kontrollieren lässt.

Was ist ein Wiederherstellungsplan – und warum reicht eine Checkliste nicht?

Ein Wiederherstellungsplan legt fest, wie ein Unternehmen nach einem Vorfall seine Systeme und Daten so schnell wie möglich wieder in Betrieb nehmen kann. Er ist das Rückgrat der IKT-Resilienz – und er ist weit mehr als eine technische Checkliste.

In meiner Praxis als CISO habe ich erlebt, dass viele Unternehmen zwar Backups haben und redundante Systeme betreiben, aber im Ernstfall trotzdem ins Stocken geraten. Der Grund: Die organisatorischen Abläufe sind nicht klar genug definiert. Wer macht was, wann und in welcher Reihenfolge?

Diese vier W-Fragen müssen im Voraus beantwortet sein:

• Wer trägt die Verantwortung für welchen Schritt?

• Was genau ist zu tun – technisch und organisatorisch?

• Wann wird welche Massnahme eingeleitet?

• In welcher Reihenfolge werden Systeme wiederhergestellt?

Wenn der Ernstfall eintritt, gibt es keine Zeit mehr für Diskussionen oder Interpretationen. Klare Verantwortlichkeiten und definierte Kommunikationswege sind dann entscheidend.

Wiederherstellungspläne testen: Die «Feuertaufe» für Ihr Unternehmen

Ein Plan, der nie getestet wurde, ist kein Plan – er ist eine Hoffnung. Regelmässige Tests sind für mich als CISO unerlässlich. Nur so lässt sich sicherstellen, dass die Abläufe in einem realen Szenario tatsächlich funktionieren.

Diese Tests offenbaren oft Schwachstellen, die im normalen Betrieb unsichtbar bleiben: ein Backup, das nicht vollständig eingespielt werden kann; eine Verantwortlichkeit, die niemand wirklich übernimmt; ein Kommunikationsweg, der im Stress zusammenbricht.

Wer regelmässig testet, verbessert sich kontinuierlich. Und genau das ist der Punkt.

Aus Vorfällen lernen: Verbesserung als Dauerprozess

Informationssicherheit ist kein einmaliger Zustand, den man erreicht und dann abhakt. Sie ist ein dynamischer, kontinuierlicher Prozess – das gilt besonders für die Wiederherstellung.

Der IKT-Minimalstandard hält fest, dass Erkenntnisse aus vergangenen Vorfällen konsequent in die Verbesserung der Pläne einfliessen sollen. Ich teile diese Überzeugung vollständig.

Nach jedem Vorfall – ob gross oder klein – empfehle ich einen strukturierten «Lessons Learned»-Workshop. Dabei geht es nicht darum, Schuldige zu suchen, sondern gemeinsam zu analysieren:

• Was ist passiert, und warum?

• Was hat funktioniert, was nicht?

• Welche Prozesse oder Verantwortlichkeiten müssen angepasst werden?

Diese Workshops sind aus meiner Sicht einer der wertvollsten Beiträge zur langfristigen Resilienz eines Unternehmens. Sie schärfen nicht nur die Reaktionsfähigkeit, sondern stärken auch das Sicherheitsbewusstsein im gesamten Team.

Kommunikation im Ernstfall: Vertrauen aktiv erhalten

Ein schwerwiegender Cybervorfall ist auch eine Kommunikationskrise. Wer in diesem Moment schweigt oder zögert, verliert das Vertrauen seiner Stakeholder – Kunden, Partner, Behörden und Mitarbeitende.

Der IKT-Minimalstandard fordert die Koordination der Wiederherstellungsaktivitäten mit allen internen und externen Partnern. Das ist richtig und wichtig. Aus meiner Sicht geht es aber noch einen Schritt weiter: Proaktive Kommunikation ist kein «Nice-to-have», sondern eine Führungsaufgabe.

Eine transparente und zeitnahe Kommunikation hilft dabei:

• Spekulationen und Fehlinformationen zu verhindern

• Die öffentliche Wahrnehmung aktiv zu steuern

• Das Unternehmen nach dem Vorfall wieder positiv zu positionieren

Das ist eine grosse Verantwortung – und sie beginnt nicht erst, wenn der Vorfall eingetreten ist. Kommunikationswege und Zuständigkeiten müssen im Voraus definiert sein, damit im Ernstfall niemand improvisieren muss.

Praxisbeispiel: Ein Energieversorger im Ernstfall

Ein mittelgrosser Energieversorger wird Opfer eines Ransomware-Angriffs. Teile der IT-Infrastruktur sind verschlüsselt, der Betrieb läuft noch – aber wie lange?

Dank eines getesteten Wiederherstellungsplans weiss das Team sofort, wer was zu tun hat. Die IT stellt priorisierte Systeme aus einem sauberen Backup wieder her. Die Geschäftsleitung informiert gleichzeitig die zuständige Behörde und kommuniziert intern klar und ruhig. Kunden und Partner erhalten eine erste Einschätzung innerhalb von Stunden – nicht Tagen.

Das Ergebnis: Der Betrieb wird in deutlich kürzerer Zeit stabilisiert als ohne Plan. Und das Vertrauen der Stakeholder bleibt weitgehend intakt, weil das Unternehmen souverän und transparent gehandelt hat.

Ohne vorbereiteten Plan wäre genau das nicht möglich gewesen.

Resilienz beginnt vor dem Vorfall

Die Funktion «Wiederherstellen» wird in vielen KMU unterschätzt. Dabei ist sie das letzte Bollwerk der digitalen Verteidigung. Kein Unternehmen ist vollständig vor einem Angriff geschützt – ein Restrisiko bleibt immer. Die entscheidende Frage ist deshalb nicht nur «Wie schützen wir uns?», sondern auch: «Wie kommen wir danach wieder auf die Beine?»

Mein Tipp für heute: Prüfen Sie, ob Ihr Unternehmen einen aktuellen, getesteten Wiederherstellungsplan hat. Wenn nicht – starten Sie dort. Es ist der konkreteste Schritt, den Sie jetzt tun können.

Bereit, Ihre Wiederherstellungsfähigkeit zu stärken?

Ich unterstütze KMU in der Deutschschweiz dabei, praxistaugliche Wiederherstellungspläne zu entwickeln, zu testen und kontinuierlich zu verbessern – abgestimmt auf den IKT-Minimalstandard und Ihre betriebliche Realität. Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo Sie heute stehen.

Häufige Fragen zur Wiederherstellung nach einem Cyberangriff

Was ist der Unterschied zwischen einem Backup und einem Wiederherstellungsplan?
Ein Backup sichert Ihre Daten. Ein Wiederherstellungsplan legt fest, wie, wann und durch wen diese Daten im Ernstfall wieder in Betrieb genommen werden. Beides ist nötig – aber erst zusammen ergibt es echte Resilienz.

Wie oft sollte ein Wiederherstellungsplan getestet werden?
Mindestens einmal pro Jahr – besser nach jedem grösseren Systemwechsel oder Vorfall. Tests decken Lücken auf, die im Alltag unsichtbar bleiben.

Was gehört in einen Wiederherstellungsplan?
Klare Verantwortlichkeiten, priorisierte Systemliste, Kommunikationswege intern und extern, Eskalationspfade sowie definierte Wiederherstellungsschritte mit Zeitvorgaben.

Warum ist Kommunikation im Ernstfall so wichtig?
Weil ein Cybervorfall immer auch eine Vertrauenskrise ist. Wer proaktiv und transparent kommuniziert, schützt die Reputation des Unternehmens und verhindert, dass Spekulationen die Kontrolle übernehmen.