Ein Montagmorgen, 07:15 Uhr. Die Mitarbeitenden kommen ins Büro, schalten ihre Rechner ein – und nichts geht mehr. Dateien sind verschlüsselt, Systeme reagieren nicht, auf dem Bildschirm erscheint eine Lösegeldforderung. Was jetzt?
Genau in diesem Moment entscheidet sich, ob ein Unternehmen den Vorfall kontrolliert bewältigt oder ob er ausser Kontrolle gerät. Für viele KMUs ist dieser Moment der erste echte Test ihrer Sicherheitsorganisation und häufig der Moment, in dem sie merken, dass sie keine klare Antwort haben.
Cyberangriffe auf Schweizer KMUs nehmen zu. Ransomware, Phishing, Datenverlust – die Bedrohungen sind real und treffen Unternehmen jeder Grösse. Wer heute keinen Cyberangriff Notfallplan hat, zahlt morgen doppelt: in Zeit, Geld und Vertrauen.
Was in der ersten Stunde zählt und was nicht
Die erste Stunde nach der Entdeckung eines Angriffs ist die kritischste. Hier werden Fehler gemacht, die den Schaden massiv vergrössern – oft aus gutem Willen heraus.
Was jetzt richtig ist:
Betroffene Systeme vom Netzwerk trennen, ohne sie auszuschalten. So bleibt der Speicherinhalt erhalten, der für die spätere Analyse wichtig ist. Gleichzeitig sollten alle Beobachtungen sofort dokumentiert werden: Was wurde wann entdeckt? Welche Systeme sind betroffen? Wer hat was gesehen?
Was jetzt falsch ist:
Systeme sofort neu starten oder Dateien löschen, um «aufzuräumen». Das vernichtet Spuren, die für die Ursachenanalyse und für Behördenmeldungen unerlässlich sind. Ebenso problematisch: intern alles selbst lösen wollen, ohne externe Unterstützung beizuziehen.
Die erste Stunde ist keine Zeit für Heldentum. Sie ist eine Zeit für klare Köpfe und vordefinierte Abläufe.
Wer muss informiert werden – und wann?
Ein Cyberangriff ist kein rein technisches Problem. Er ist ein Unternehmensvorfall, der Führung, Kommunikation und rechtliche Klarheit erfordert.
Intern muss die Geschäftsleitung sofort informiert werden und nicht erst, wenn alles geklärt ist. Auch der Verwaltungsrat sollte frühzeitig einbezogen werden, da er eine Aufsichtspflicht trägt. Die Kommunikation an Mitarbeitende muss koordiniert erfolgen, um Gerüchte und Panik zu vermeiden.
Extern sind je nach Situation folgende Stellen relevant:
- Das Nationale Zentrum für Cybersicherheit (NCSC) – in der Schweiz die erste Anlaufstelle bei Cybervorfällen
- Die Kantonspolizei oder Bundespolizei, wenn ein Straftatbestand vorliegt
- Der Datenschutzbeauftragte, wenn personenbezogene Daten betroffen sind
- Kunden und Partner, wenn deren Daten kompromittiert wurden
Für Unternehmen der kritischen Infrastruktur gilt seit 2025 zudem eine gesetzliche Meldepflicht bei erheblichen Cybervorfällen. Wer diese Pflicht nicht kennt oder ignoriert, riskiert zusätzliche rechtliche Konsequenzen.
Warum fehlende Vorbereitung die Kosten verdoppelt
Studien zeigen es immer wieder: Unternehmen ohne Incident-Response-Plan zahlen im Ernstfall deutlich mehr – nicht nur finanziell, sondern auch in Ausfallzeit und Reputationsschaden.
Der Grund ist einfach: Wer im Moment des Angriffs zum ersten Mal überlegt, wen er anrufen soll, verliert wertvolle Stunden. Wer keine Backups hat oder nicht weiss, wo sie liegen, verliert Tage. Wer keine Kommunikationsstrategie hat, verliert das Vertrauen von Kunden und Partnern.
Konkret entstehen Mehrkosten durch:
- Längere Ausfallzeiten, weil Abläufe erst improvisiert werden müssen
- Höhere Wiederherstellungskosten, weil Systeme ohne Vorbereitung schwerer zu rekonstruieren sind
- Rechtliche Risiken, weil Meldepflichten nicht eingehalten wurden
- Reputationsschäden, weil die Kommunikation nach aussen unkontrolliert verläuft
Ein einfacher, gut vorbereiteter Incident-Response-Plan kann diese Kosten erheblich reduzieren und das, bevor ein einziger Angriff stattgefunden hat.
Wie ein einfacher Incident-Response-Plan für KMUs aussieht
Ein Incident-Response-Plan muss nicht hundert Seiten umfassen. Für KMUs reicht ein klares, praxistaugliches Dokument, das folgende Punkte abdeckt:
1. Erkennung und Erstreaktion: Wer meldet einen Vorfall? An wen? Über welchen Kanal (auch wenn E-Mail und Telefon nicht funktionieren)?
2. Sofortmassnahmen: Welche Systeme werden isoliert? Wer hat die Befugnis, Systeme zu isolieren?
3. Kommunikation: Wer informiert intern wen? Wer spricht nach aussen – gegenüber Kunden, Medien, Behörden?
4. Externe Unterstützung: Welche Dienstleister, Forensiker oder Berater werden kontaktiert? Sind deren Kontaktdaten offline verfügbar?
5. Dokumentation: Wie wird der Vorfall protokolliert? Wer ist verantwortlich?
6. Wiederherstellung: In welcher Reihenfolge werden Systeme wieder hochgefahren? Welche Systeme haben Priorität?
Dieser Plan sollte mindestens einmal jährlich überprüft und idealerweise in einer Übung getestet werden.
Praxisbeispiel: Ein Produktionsbetrieb im Ernstfall
Ein mittelgrosser Industriebetrieb bemerkt an einem Dienstagmorgen, dass seine Produktionssteuerung nicht mehr reagiert. Der IT-Verantwortliche vermutet einen Ransomware-Angriff. Weil das Unternehmen sechs Monate zuvor einen einfachen Incident-Response-Plan erarbeitet hatte, läuft die Reaktion strukturiert ab:
Die betroffenen Systeme werden innerhalb von 20 Minuten isoliert. Die Geschäftsleitung wird informiert, ein externer Sicherheitsberater wird kontaktiert. Die Produktion wird auf manuelle Prozesse umgestellt, die im Plan als Notfallbetrieb definiert waren. Nach 36 Stunden sind die kritischen Systeme wiederhergestellt – ohne Lösegeldzahlung, ohne Datenverlust.
Ohne diesen Plan wäre der Betrieb tagelang ausgefallen. Der Unterschied: nicht Technik, sondern Vorbereitung.
Mein Experten-Tipp
Ein Cyberangriff ist kein «Ob», sondern ein «Wann». Die entscheidende Frage ist, ob Ihr Unternehmen dann weiss, was zu tun ist. Ein einfacher Incident-Response-Plan, der intern bekannt und regelmässig geprüft wird, ist die wirksamste Massnahme, die Sie heute ergreifen können, noch vor jeder technischen Lösung.
Bereit für den nächsten Schritt?
Möchten Sie wissen, ob Ihr Unternehmen für den Ernstfall vorbereitet ist? Vereinbaren Sie jetzt ein unverbindliches Erstgespräch mit Marcel Kühni und erhalten Sie eine klare Einschätzung Ihrer Situation.
