Notfall

Unternehmen gehackt: was in der ersten Stunde zu tun ist.

Trennen Sie die betroffenen Geräte vom Netzwerk, ohne sie auszuschalten. Informieren Sie Ihren IT-Dienstleister und die Geschäftsleitung. Zahlen Sie nichts. Bei akuter Gefahr rufen Sie die Polizei, danach melden Sie den Angriff der Cyberbehörde Ihres Landes: Die Anlaufstellen für Deutschland, Österreich, die Schweiz, Frankreich und Belgien stehen weiter unten. Sichern Sie alle Spuren: Polizei, Versicherer und Wiederherstellung brauchen sie. Die Einzelheiten, in der richtigen Reihenfolge, folgen hier.

Ryze Cyber ist kein Notdienst. Diese Seite fasst die Anweisungen der Behörden zusammen. Bei einem laufenden Angriff sind Ihr IT-Dienstleister, die Polizei und die Cyberbehörde Ihres Landes die ersten Ansprechpartner.

Das Vorgehen, Schritt für Schritt

Betroffene Geräte isolieren. Das Schweizer Bundesamt für Cybersicherheit (BACS) verlangt, infizierte Systeme sofort vom Netz zu trennen: Netzwerkkabel ziehen und das WLAN des Geräts ausschalten.
Nicht ausschalten und nicht neu starten. Laut BACS macht ein Neustart oder ein Reparaturversuch die anschließenden Analysen fast unmöglich. In Frankreich rät Cybermalveillance.gouv.fr, betroffene Geräte nicht auszuschalten, damit die Spuren im Arbeitsspeicher erhalten bleiben. Eine Ausnahme: Läuft die Verschlüsselung noch und lässt sie sich unterbrechen, kommt der Ruhezustand in Betracht.
Die richtigen Personen informieren. Ihren IT-Dienstleister, die Geschäftsleitung und die im Notfallplan benannte Person, falls Sie einen haben. Nutzen Sie das Telefon: Das E-Mail-System des Unternehmens ist möglicherweise kompromittiert.
Spuren sichern. Notieren Sie die Uhrzeit, was Sie gesehen haben und welche Meldungen angezeigt wurden. Lassen Sie die Logdateien sichern. Sind auch Ihre Backups verschlüsselt, empfiehlt das BACS, sie aufzubewahren: Eine Entschlüsselungslösung kann später auftauchen.
Nicht zahlen. Siehe die offizielle Position weiter unten.
Die Polizei rufen. Sofort bei akuter Gefahr, danach für die Strafanzeige. Nummern und Stellen nach Land stehen in den Tabellen unten.
Der Cyberbehörde Ihres Landes melden. Dem BSI in Deutschland, dem Bundesamt für Cybersicherheit in Österreich, dem BACS in der Schweiz, 17Cyber und Cybermalveillance.gouv.fr in Frankreich, dem CCB in Belgien.
Prüfen, ob personenbezogene Daten betroffen sind. Wenn ja, kann eine Meldung an die Datenschutzbehörde Pflicht sein (siehe unten).
Den Versicherer informieren, wenn Sie eine Cyberversicherung haben, bevor Kosten entstehen. Ihre Bedingungen können eine sofortige Anzeige verlangen.
Passwörter von einem sauberen Gerät aus ändern, zuerst für E-Mail und Administratorkonten.

Wen informieren in Deutschland?

Wer	Wann	Wie
Polizei (ZAC)	Sofort bei einem akuten Fall, danach für die Strafanzeige.	Die Polizeien der Länder betreiben Zentrale Ansprechstellen Cybercrime (ZAC), die nur für Unternehmen und Behörden gedacht sind. Zuständig ist die ZAC am Firmensitz oder am Ort des Vorfalls. Liste mit Telefonnummern auf polizei.de. Der Euro-Notruf 112 gilt in allen EU-Staaten.
BSI (Bundesamt für Sicherheit in der Informationstechnik)	So bald wie möglich. Freiwillig für die meisten KMU, Pflicht für Einrichtungen nach dem BSI-Gesetz (frühe Erstmeldung innerhalb von 24 Stunden).	Über das Melde- und Informationsportal des BSI, auf Wunsch anonym. Das BSI stellt dort auch Checklisten für die ersten Schritte bereit. Für meldepflichtige Einrichtungen gilt ein eigener Meldeweg.
Datenschutzbehörde des Bundeslandes	Unverzüglich und möglichst binnen 72 Stunden, wenn die Verletzung voraussichtlich zu einem Risiko für die betroffenen Personen führt (DSGVO, Art. 33).	Liste der Landesbehörden beim BfDI.
Ihre Kunden	Wenn Sie Daten in ihrem Auftrag verarbeiten: unverzüglich.	Über den im Vertrag vorgesehenen Kontakt.

Das BSI empfiehlt bei Ransomware außerdem, IT-Sicherheitsdienstleister früh hinzuzuziehen und Anzeige beim Landeskriminalamt zu erstatten.

Wen informieren in Österreich?

Wer	Wann	Wie
Polizei	Sofort bei akuter Gefahr, danach für die Anzeige.	Notruf 133, Euro-Notruf 112. Die Anzeige ist in jeder Polizeidienststelle möglich. Die Meldestelle für Internetkriminalität des Bundeskriminalamts gibt rund um die Uhr per E-Mail Auskunft (against-cybercrime@bmi.gv.at). Eine Anzeige über die Meldestelle ist nicht möglich.
Bundesamt für Cybersicherheit	Wesentliche und wichtige Einrichtungen: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden. Alle anderen: freiwillig.	Über die Anwendung «NIS2-Services» im Unternehmensserviceportal. Meldepflicht und Fristen.
Datenschutzbehörde (DSB)	Unverzüglich und möglichst binnen 72 Stunden, außer die Verletzung führt voraussichtlich zu keinem Risiko.	Onlineformular «Data Breach Meldung».

Wen informieren in der Schweiz?

Wer	Wann	Wie
Polizei	Sofort bei akuter Gefahr. Danach für die Strafanzeige.	117 für den Notfall. Kantonspolizei am Firmensitz für die Anzeige. Kontakte für die Westschweizer Kantone auf der Seite Westschweiz.
BACS (Bundesamt für Cybersicherheit)	So bald wie möglich. Freiwillig für die meisten KMU, Pflicht innert 24 Stunden für kritische Infrastrukturen.	report.ncsc.admin.ch. Das BACS weist darauf hin, dass Meldungen nicht rund um die Uhr bearbeitet werden.
EDÖB (Datenschutz)	«So rasch als möglich», wenn die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt (DSG, Art. 24).	DataBreach-Formular.

Eine Meldung an das BACS ist keine Anzeige: Das BACS kann keine Strafanzeigen entgegennehmen. Fristen und Pflichtfälle stehen unter Meldepflichten nach Land.

Und wenn das Unternehmen in Frankreich sitzt?

Hilfe: Cybermalveillance.gouv.fr, die nationale Anlaufstelle für Betroffene, und 17Cyber, ein Dienst von Police nationale, Gendarmerie nationale und Cybermalveillance.gouv.fr.
Anzeige: Die CNIL rät, bei Polizei oder Gendarmerie Anzeige zu erstatten und die technischen Beweise für die Ermittler bereitzuhalten.
Personenbezogene Daten: Meldung an die CNIL unverzüglich, möglichst binnen 72 Stunden, wenn die Verletzung ein Risiko für die betroffenen Personen darstellt.

Und wenn das Unternehmen in Belgien sitzt?

Polizei: 101 für dringende Polizeihilfe, 112 für Rettungsdienst und Feuerwehr (112.be).
Cyberbehörde: Das Centre for Cybersecurity Belgium (CCB) ist das nationale CSIRT. Es antwortet per E-Mail (info@ccb.belgium.be), montags bis freitags von 9.30 bis 16.30 Uhr. Die telefonische Erreichbarkeit rund um die Uhr gilt nur für Betreiber wesentlicher Dienste und kritischer Infrastrukturen. Verdächtige Nachrichten (Phishing) leiten Sie an suspicious@safeonweb.be weiter. Einrichtungen unter dem NIS2-Gesetz melden über einen eigenen Weg (siehe Meldepflichten nach Land).
Personenbezogene Daten: Meldung an die belgische Datenschutzbehörde (GBA/APD) unverzüglich und möglichst binnen 72 Stunden, außer die Verletzung führt voraussichtlich zu keinem Risiko. Die Meldung erfolgt über das Portal der Behörde, auf Deutsch, Französisch oder Niederländisch: Per E-Mail übermittelte Meldungen werden nicht bearbeitet.

Kontakte am 7. Oktober 2026 auf den offiziellen Websites abgerufen, für Belgien am 8. Oktober 2026.

Ransomware: Soll man das Lösegeld zahlen?

Das BSI hält fest, dass die Zahlung keinerlei Garantie für die Freigabe verschlüsselter Daten oder gesperrter Systeme bietet, und empfiehlt, unverzüglich Anzeige bei der Polizei zu erstatten. Das Schweizer Bundesamt für Cybersicherheit schreibt es schwarz auf weiß:

«Das BACS rät von der Zahlung eines Lösegeldes ab. Es gibt keine Garantie, dass die Verbrecher nach der Bezahlung des Lösegelds die Daten nicht doch veröffentlichen oder anderen Profit daraus machen. Zudem motiviert jede erfolgreiche Erpressung die Angreifer zum Weitermachen, finanziert die Weiterentwicklung der Angriffe und fördert deren Verbreitung.»

Wer dennoch eine Zahlung erwägt, soll diesen Schritt laut BACS dringend mit der Polizei besprechen. In Frankreich gibt Cybermalveillance.gouv.fr dieselbe Anweisung: das geforderte Lösegeld nicht zahlen.

Prüfen Sie vor jeder Entscheidung, ob es bereits einen Schlüssel gibt: BSI und BACS verweisen auf die Initiative nomoreransom.org.

Und nach der ersten Stunde?

Ziel ist laut BACS, herauszufinden, wie der Angreifer hereingekommen ist, um eine erneute Infektion zu vermeiden. Die betroffenen Systeme müssen neu aufgesetzt werden, bevor die Daten aus den Backups wiederhergestellt werden. Hat bei Ihnen niemand diese Kenntnisse, ziehen Sie ein spezialisiertes Unternehmen hinzu.

Läuft der Betrieb wieder, bleiben zwei Fragen offen: Wo ist er hereingekommen, und ist das wieder zu? Hier ergibt das Duo Red Team und Blue Team Sinn: ein Audit, um die offenen Türen zu finden, dann eine Betreuung, damit sie geschlossen bleiben. Das Blue Team von Ryze Cyber deckt auch die Vorbereitung ab: wissen, wer wen anruft, bevor es so weit ist.

Häufige Fragen

Soll man einen infizierten Computer ausschalten?

In der Regel nein. Trennen Sie ihn vom Netzwerk (Kabel und WLAN), aber schalten Sie ihn nicht aus und starten Sie ihn nicht neu. Laut dem Schweizer BACS macht ein Neustart die anschließenden Analysen fast unmöglich. Cybermalveillance.gouv.fr nennt eine Ausnahme: Läuft die Verschlüsselung noch, kommt der Ruhezustand in Betracht.

Soll man das Lösegeld zahlen?

Das BSI weist darauf hin, dass die Zahlung keinerlei Garantie für die Freigabe der Daten bietet, und empfiehlt eine sofortige Anzeige bei der Polizei. Das Schweizer BACS rät von der Zahlung ab: Jede erfolgreiche Erpressung finanziert die nächsten Angriffe.

An welche Polizeistelle wendet sich ein Unternehmen in Deutschland?

An die Zentrale Ansprechstelle Cybercrime (ZAC) des Bundeslandes, in dem das Unternehmen seinen Sitz hat oder der Vorfall geschah. Die ZAC sind für Unternehmen und Behörden da und unterstützen mit einer ersten Einschätzung, Beratung und den Schritten zur Strafverfolgung.

Kann ich in Österreich bei der Meldestelle des Bundeskriminalamts Anzeige erstatten?

Nein. Die Meldestelle für Internetkriminalität gibt Auskunft und nimmt Hinweise entgegen. Die Anzeige selbst erstatten Sie in einer Polizeidienststelle.

Hilft Ryze Cyber im Notfall?

Ryze Cyber ist kein Notdienst und kündigt auf seiner Website keinen Soforteinsatz an. Bei einem laufenden Angriff wenden Sie sich an Ihren IT-Dienstleister, die Polizei und die Cyberbehörde Ihres Landes. Ryze Cyber arbeitet vorher: testen und schützen.

Besser, man weiß es vorher.

Der Gratis-Scan von Ryze Cyber ist ein Fragebogen mit 10 Fragen. Er dauert zwei Minuten, das Ergebnis erscheint sofort und an Ihren Systemen wird nichts getestet.

Gratis-Scan starten →

Weiterlesen

Meldepflichten nach LandSchweiz, EU, Deutschland, Österreich, Frankreich, Belgien: wer eine Datenpanne oder einen Cyberangriff meldet, an wen und bis wann.Red Team und Blue TeamDer Einbrecher und der Wächter: der Unterschied, für Geschäftsführer erklärt, und wie beide zusammenarbeiten.Cybersicherheit in der WestschweizWaadt, Genf, Freiburg, Neuenburg, Wallis, Jura: die öffentlichen Anlaufstellen, Kanton für Kanton, und die Rolle von Ryze Cyber.

Quellen

Zuletzt aktualisiert: 8. Oktober 2026