Notfallplan für Geschäftsführer: Was Sie nach einem Cyberangriff selbst entscheiden müssen

Tobias Mogk

Managing Director, Cyber Resilience

Nach einem Cyberangriff gibt es Arbeit, die die IT erledigt, und Entscheidungen, die nur die Geschäftsführung treffen kann: ob Systeme getrennt werden, auch wenn dann die Produktion steht, wer extern beauftragt wird, was an Behörden geht und wie mit einer Erpressung umgegangen wird. Um genau diese Entscheidungen geht es hier. Sie erfahren, welche davon in den ersten Stunden fällig werden, was Sie vorab festlegen können und wie ein Notfallplan der Geschäftsführung aussieht, der auf zwei Seiten passt.

Wie es oft beginnt

Montagmorgen, kurz nach sieben. Die Produktionsleitung meldet, dass die Leitstände keine Aufträge mehr laden. Eine halbe Stunde später ruft die IT-Leitung an: Auf mehreren Servern liegt eine Textdatei mit einer Forderung und einem Link zu einem Chat der Angreifer. Dateien lassen sich nicht mehr öffnen, das ERP-System antwortet nicht.

Ab diesem Moment arbeitet die IT an der Technik. Bei Ihnen landen andere Fragen, und an fast allen hängt eine Frist oder viel Geld. Wer sie zum ersten Mal am Telefon beantworten muss, entscheidet langsamer als jemand, der die Antwort schon einmal aufgeschrieben hat. Dafür ist der Notfallplan der Geschäftsführung da.

Was in diesen Plan gehört und was nicht

Wiederanlaufpläne, Netzpläne und technische Checklisten gehören ins Notfallhandbuch der IT. Der Plan der Geschäftsführung ist schmaler. Er beantwortet vier Fragen: Wer leitet die Bewältigung? Wer darf was ohne Rückfrage entscheiden? Welche Fristen laufen ab wann? Wer vertritt wen? Jede Seite darüber hinaus senkt die Chance, dass das Dokument im Ernstfall gelesen wird.

Die ersten zwei Stunden: drei Entscheidungen

Den Notfall ausrufen und den Krisenstab einberufen. Der BSI-Standard 200-4 empfiehlt für den Stab ein Kernteam aus der Leitung sowie Zuständigen für IT, Personal, Gebäude und Kommunikation. Ein Produktionsunternehmen nimmt zusätzlich die Produktionssteuerung auf. Im Mittelstand ist das eine kleine Runde, in der manche Funktionen in einer Person zusammenfallen. Legen Sie fest, wer den Stab leitet. Das müssen nicht Sie selbst sein. Wichtig ist, dass die Person für die Dauer des Notfalls Entscheidungen treffen und Geld freigeben darf, die im Alltag über ihre Befugnisse hinausgehen.

Systeme trennen, auch wenn dann die Produktion steht. Das BSI rät, potenziell infizierte Systeme sofort vom Netz zu isolieren: Netzwerkkabel ziehen, die Geräte aber nicht herunterfahren, damit Spuren für die Analyse erhalten bleiben. In der Praxis zögert die IT an dieser Stelle, weil die Trennung den Betrieb trifft und niemand die Folgen allein verantworten will. Geben Sie diese Freigabe deshalb vorab und schriftlich. Die IT-Leitung und ihre Vertretung dürfen bei begründetem Verdacht Systeme, Standortverbindungen und externe Zugänge trennen, ohne Sie vorher zu erreichen, und informieren Sie unmittelbar danach.

Externe Hilfe beauftragen. Für Forensik und einen sauberen Wiederaufbau brauchen die meisten mittelständischen Unternehmen einen spezialisierten Dienstleister. Wer ihn erst im Notfall sucht, verliert Stunden mit Rückrufen und Vertragsfragen. Im Plan steht deshalb, welcher Dienstleister angerufen wird, wer ihn beauftragen darf und bis zu welchem Betrag ohne weitere Freigabe. Haben Sie eine Cyberversicherung, gehört deren Notfallkontakt mit Policennummer dazu. Das BSI weist darauf hin, dass Versicherer häufig vorgeben, was nach einem Angriff zu tun ist, damit sie die Kosten übernehmen. Was Sie mit Dienstleister und Versicherung vorab klären sollten, beschreiben wir im Beitrag zur Notfall-Bereitschaft vor dem Cyberangriff.

Entscheidungen mit Frist: die Meldungen

Mit der Entdeckung beginnen Fristen, und zwar nicht erst dann, wenn Sie persönlich davon erfahren.

Fällt Ihr Unternehmen unter NIS2, gilt in Deutschland seit Dezember 2025 das neue BSI-Gesetz. Nach § 32 BSIG ist ein erheblicher Sicherheitsvorfall in Stufen zu melden: eine frühe Erstmeldung an das BSI spätestens 24 Stunden nach Kenntniserlangung, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach, bei noch andauerndem Vorfall zunächst eine Fortschrittsmeldung. Als Kenntniserlangung versteht das BSI den Zeitpunkt, an dem eine Mitarbeiterin oder ein Mitarbeiter während der Arbeitszeit von dem Vorfall erfährt. Die Uhr läuft also womöglich schon, bevor die Geschäftsführung Bescheid weiß. Ob Ihr Unternehmen betroffen ist, klären Sie besser vorher. Einen Überblick gibt unsere Seite zu NIS2.

Sind personenbezogene Daten betroffen, ist nach Art. 33 DSGVO die Datenschutzaufsicht unverzüglich und möglichst binnen 72 Stunden zu informieren, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Bei hohem Risiko müssen nach Art. 34 grundsätzlich auch die Betroffenen selbst benachrichtigt werden.

Dazu kommen die Meldung an die Versicherung nach den Fristen der Police und die Entscheidung über eine Strafanzeige. Für Unternehmen gibt es bei den Landeskriminalämtern Zentrale Ansprechstellen Cybercrime (ZAC). Das BSI empfiehlt grundsätzlich, Cyberangriffe bei der Polizei anzuzeigen.

Für den Plan heißt das: Benennen Sie, wer über eine Meldepflicht entscheidet, wer die Meldung abgibt und wer darauf achtet, dass die Fristen gehalten werden. In NIS2-pflichtigen Unternehmen gehört dazu auch die Frage, wer Zugang zum Meldeweg beim BSI hat.

Der Umgang mit der Erpressung

Die Empfehlung des BSI ist eindeutig: grundsätzlich nicht auf die Erpressung eingehen und kein Lösegeld zahlen, sondern nach einer Bereinigung aus intakten Backups wiederherstellen. Eine Zahlung garantiert keinen funktionierenden Schlüssel, finanziert möglicherweise weitere Angriffe und ersetzt nicht den Neuaufbau der kompromittierten Systeme. Wird eine Zahlung trotzdem erwogen, etwa weil auch die Backups verschlüsselt sind, rät das BSI, das mit den Ermittlungsbehörden und rechtlicher Beratung abzustimmen und die Versicherung früh einzubinden.

Zwei Dinge können Sie vorab festlegen. Erstens einen Grundsatz, wie Ihr Unternehmen mit Erpressung umgeht. Dann muss er unter Druck nicht neu verhandelt werden. Zweitens die Regel, dass niemand aus dem Unternehmen eigenständig Kontakt zu den Angreifern aufnimmt, auch nicht, um „nur mal nachzufragen". Ob und wie kommuniziert wird, entscheidet der Krisenstab gemeinsam mit Rechtsberatung und Dienstleister.

Kommunikation freigeben

Auch die Kommunikation ist Sache der Geschäftsführung. Das BSI rät, die Belegschaft vor allen anderen zu informieren und mit einer abgestimmten Sprachregelung zu arbeiten. Im Plan steht, wer nach außen spricht, wer Texte freigibt und welche Vorlagen bereitliegen. Wie Sie Kunden, Lieferanten und Behörden in der richtigen Reihenfolge informieren, beschreiben wir im Beitrag zur Krisenkommunikation nach einem Cyberangriff.

Wenn Sie nicht erreichbar sind

Angriffe richten sich nicht nach Ihrem Kalender. Wenn Sie im Flugzeug sitzen oder im Urlaub sind, muss jemand mit denselben Befugnissen handeln können. Der BSI-Standard 200-4 empfiehlt, für die Leitung des Stabs mehrere Stellvertretende zu benennen. Stellvertretung heißt dabei nicht nur Name und Telefonnummer, sondern auch die Befugnis, Aufträge zu erteilen und Zahlungen freizugeben. Prüfen Sie, ob Ihre Bankvollmachten und internen Freigaberegeln das tatsächlich hergeben.

Die zwei Seiten im Überblick

1. Wer den Notfall ausruft und den Krisenstab leitet, mit zwei Vertretungen.
2. Die Mitglieder des Krisenstabs mit Mobilnummern, auf Papier und offline verfügbar.
3. Vorab erteilte Freigaben: Trennen von Systemen, Stopp der Produktion, Beauftragung von Dienstleistern bis zu einem festgelegten Betrag.
4. Externe Notfallkontakte: Dienstleister für Vorfallbearbeitung, Versicherung mit Policennummer, Rechtsberatung, Datenschutzbeauftragte, ZAC des Landeskriminalamts.
5. Meldepflichten mit Frist, entscheidender und meldender Person.
6. Der Grundsatz zum Umgang mit Erpressung und die Regel, dass niemand eigenständig mit Angreifern spricht.
7. Ein Ausweichkanal für den Krisenstab, falls E-Mail, Teams und Telefonanlage ausfallen.
8. Wer protokolliert. Jede Entscheidung wird mit Uhrzeit, Begründung und Entscheider festgehalten; das Protokoll dient später der rechtlichen Absicherung und der Nachbereitung.

Der nächste Schritt

Ein solcher Plan ist in wenigen Arbeitssitzungen mit IT-Leitung und den Mitgliedern des Krisenstabs geschrieben. Ob er trägt, zeigt erst eine Probe. Wie Sie eine erste Übung mit der Geschäftsleitung aufsetzen, beschreiben wir im Beitrag Probe für den Ernstfall.

Für NIS2-pflichtige Unternehmen ist das mehr als gute Praxis. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Zu diesen Maßnahmen zählt § 30 BSIG ausdrücklich die Bewältigung von Sicherheitsvorfällen und das Krisenmanagement.