IT-Notfall im Betrieb — was in der ersten Stunde zählt
Diese Seite ist ein Ratgeber, keine Notfall-Hotline. Sie hilft sofort und kostenlos mit dem, was in der ersten Stunde wirklich zählt — ohne Anmeldung, ohne dass Sie irgendetwas dafür bezahlen müssen.
Zuerst: was Sie jetzt nicht tun sollten
Bevor irgendetwas anderes passiert, vier Dinge, die den Schaden vergrößern:
- Nicht neu starten. Ein Neustart kann Spuren löschen, die später zur Aufklärung gebraucht werden.
- Nichts löschen. Auch verdächtige Dateien oder Meldungen — sie sind später Beweismittel.
- Nicht zahlen. Bei Erpressungssoftware ist ein Zahlungsversprechen keine Garantie für Entschlüsselung, und es finanziert die nächste Welle.
- Nichts überschreiben. Kein Zurücksetzen, kein Neuaufspielen, solange die Lage nicht geklärt ist — jede Aktion kann Spuren zerstören, die für die Aufklärung wichtig sind.
Die ersten sechs Schritte
- 1. Trennen. Betroffene Geräte vom Netzwerk trennen (Netzwerkkabel ziehen, WLAN deaktivieren), damit sich nichts weiter ausbreitet.
- 2. Dokumentieren. Was wurde beobachtet, wann, auf welchem Gerät — auch mit dem Handy fotografiert, wenn es schnell gehen muss.
- 3. Backups schützen. Prüfen, ob eine Sicherung getrennt vom betroffenen System existiert, und sie keinesfalls an das betroffene Netzwerk anschließen.
- 4. Zuständige informieren. Geschäftsführung beziehungsweise Inhaber, sofern nicht bereits im Bilde, und den bestehenden IT-Dienstleister.
- 5. Meldepflichten prüfen. Siehe unten — bei personenbezogenen Daten tickt eine Frist.
- 6. Fachleute holen. Ihren bestehenden IT-Dienstleister oder eine spezialisierte Stelle für IT-Sicherheitsvorfälle einbinden, statt allein weiterzumachen.
Verschlüsselt: was Ransomware vom normalen Ausfall unterscheidet
Ein normaler Systemausfall hat meist eine technische Ursache — Hardwaredefekt, Stromausfall, fehlerhaftes Update — und lässt sich in der Regel aus einer sauberen Sicherung wiederherstellen. Bei Ransomware sind Dateien gezielt verschlüsselt und häufig mit einer Lösegeldforderung versehen; hier kommt zusätzlich die Frage dazu, wie der Angriff ins System kam und ob weitere Systeme betroffen sind — eine reine Wiederherstellung reicht nicht, ohne diese Frage zu klären.
Meldepflichten und Anlaufstellen
Sind personenbezogene Daten betroffen, gilt nach DSGVO in der Regel eine Meldefrist von 72 Stunden gegenüber der zuständigen Aufsichtsbehörde, nachdem der Vorfall bekannt wurde. Für die polizeiliche Meldung von Cyberangriffen gibt es in Nordrhein-Westfalen die Zentrale Ansprechstelle Cybercrime (ZAC NRW), für allgemeine Einordnung und Warnungen das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Zuständigkeiten und Meldewege geprüft im August 2026 — bitte im Ernstfall die aktuelle Seite der jeweiligen Stelle aufrufen.
Wie Digitalbucht hier helfen kann — und wie nicht
Digitalbucht ist das Einzelunternehmen von Emil Deak aus Wülfrath — und keine Notfall-Leitstelle. Es gibt hier keine 24/7-Rufbereitschaft. Anfragen per E-Mail beantworte ich in der Regel innerhalb eines Werktags. Wenn Ihr Betrieb gerade steht und Sie sofort jemanden brauchen, ist die Checkliste oben das, was Sie jetzt ohne Wartezeit tun können — und der richtige nächste Anruf geht an Ihren bestehenden IT-Dienstleister oder an die zuständige Meldestelle.
Vorher: die drei Dinge, die den Schaden klein halten
Der beste Zeitpunkt für diese drei Dinge ist vor dem Notfall, nicht danach: ein getestetes Backup, das nachweislich funktioniert, wenn es gebraucht wird; eine getrennte Sicherung, die nicht am selben Netzwerk hängt wie die Systeme, die sie schützen soll; und dokumentierte Zugänge, damit im Ernstfall nicht erst rekonstruiert werden muss, wer worauf Zugriff hat. Genau das ist Kernaufgabe einer laufenden IT-Führung — mehr dazu unter IT-Leiter auf Zeit.
Digitalbucht ist das Einzelunternehmen von Emil Deak aus Wülfrath. Kein Team, keine Agentur, keine Zwischenschicht — das ist der Grund für kurze Wege und zugleich die Grenze dessen, was parallel möglich ist.
Häufige Fragen
Was tun bei einem Ransomware-Angriff?
Betroffene Geräte vom Netzwerk trennen, nichts löschen oder überschreiben, Backups schützen, Zuständige informieren und Fachleute hinzuziehen — siehe die sechs Schritte oben.
Soll man Lösegeld zahlen?
Grundsätzlich nicht empfohlen: Eine Zahlung garantiert keine Entschlüsselung, macht das Ziel für weitere Angriffe interessant und sollte allenfalls nach Rücksprache mit spezialisierten Fachleuten und der Polizei erwogen werden — nicht als erste Reaktion.
Muss ein Cyberangriff gemeldet werden?
Wenn personenbezogene Daten betroffen sind, ja — innerhalb von 72 Stunden an die zuständige Datenschutzaufsichtsbehörde. Zusätzlich ist eine Meldung an die Polizei beziehungsweise die ZAC NRW sinnvoll.
Wie lange dauert es, nach einem Angriff wieder zu arbeiten?
Das lässt sich pauschal nicht beantworten — es hängt davon ab, wie sauber die Backups sind, wie tief der Angriff reichte und wie schnell Fachleute eingebunden werden. Ein getestetes Backup verkürzt diese Zeit erheblich.
Wer hilft kleinen Betrieben bei einem IT-Notfall?
Der bestehende IT-Dienstleister zuerst, ergänzt durch die zuständigen Meldestellen (BSI, ZAC NRW). Digitalbucht unterstützt danach beim Wiederaufbau und bei der Vorsorge für die Zukunft — nicht als Notdienst in der akuten Stunde.
Weiter: IT-Leiter auf Zeit — wie sich der nächste Notfall von vornherein kleiner halten lässt. Wird aus dem akuten Notfall ein geordnetes Vorhaben, etwa ein Systemwechsel danach: IT-Projektleiter extern. Für die Vorsorge auf dem eigenen Gerät: Custos — Krisenguide, der auch offline funktioniert. Oder: App-Entwicklung und IT aus Wülfrath.
Stand: august 2026
Schildern Sie kurz, was passiert ist.
Kein „Jetzt anrufen"-Button, keine 24/7-Zusage: Antwort in der Regel innerhalb eines Werktags.