Verschlüsselte Dateien und Erpresserschreiben
Dateien tragen neue Endungen und lassen sich nicht mehr öffnen, auf Bildschirmen liegt eine Lösegeldforderung. Dann läuft ein Ransomware-Angriff – mehr dazu bei unserer Ransomware-Notfallhilfe.
Incident Response & Forensik
Hackerangriff – was tun? Soforthilfe im IT-Notfall
Besonnen handeln, wenn jede Stunde zählt.
Hackerangriff – was tun? Trennen Sie betroffene Systeme vom Netzwerk, schalten Sie sie aber nicht aus, und holen Sie sich Unterstützung. Wir helfen Ihnen remote und vor Ort, den Angriff einzudämmen, Spuren zu sichern, Ihre Systeme sauber wiederherzustellen und Meldepflichten einzuhalten.
- 24/7-Notfall-Hotline
- Remote & vor Ort
- Unterstützung bei Meldepflichten
Erste Orientierung
Hackerangriff: Was tun in den ersten Stunden?
Ein Hackerangriff kündigt sich selten eindeutig an. Meist fällt er auf, weil der Virenschutz anschlägt, Konten gesperrt werden, ein Server ungewöhnlich viele Daten versendet oder sich Dateien nicht mehr öffnen lassen. Dann stellt sich die Frage: Was ist jetzt zu tun – und was auf keinen Fall?
In den ersten Stunden entscheidet sich, wie groß der Schaden wird. Wer betroffene Systeme vorschnell herunterfährt, neu aufsetzt oder sich mit Administratorkonten auf kompromittierten Rechnern anmeldet, vernichtet Spuren oder liefert den Angreifern weitere Zugangsdaten. Wer zu lange zögert, gibt ihnen Zeit, Daten abzuziehen und Backups zu zerstören.
Bewahren Sie Ruhe, isolieren Sie betroffene Systeme vom Netzwerk, ohne sie auszuschalten, und melden Sie sich dort nicht mit privilegierten Konten an – so empfiehlt es auch das BSI in seinem Arbeitspapier „Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“. Notieren Sie Beobachtungen mit Uhrzeit, stimmen Sie sich über unabhängige Kanäle wie Mobiltelefone ab und holen Sie frühzeitig externe Unterstützung.
Genau dafür gibt es unsere IT-Notfall-Soforthilfe: Wir verschaffen uns mit Ihnen ein Lagebild, stoppen die Ausbreitung, klären den Angriffsweg auf und begleiten den sauberen Wiederanlauf. Parallel behalten wir Meldepflichten nach DSGVO, NIS2 oder DORA, die Abstimmung mit Ihrem Cyber-Versicherer, die Information von Beschäftigten und Kunden sowie die Frage einer Strafanzeige im Blick.
Unser Vorgehen
So unterstützen wir Sie bei einem Cyberangriff
Alles beginnt mit Ihrem Anruf bei unserer IT-Notfall-Hotline oder einer Meldung über das Notfall-Formular. Im ersten Gespräch klären wir, was beobachtet wurde, welche Systeme betroffen sein könnten und welche Prozesse stillstehen. Sie erhalten erste Handlungsempfehlungen, und wir legen gemeinsam fest, ob wir remote, vor Ort oder kombiniert unterstützen.
Danach arbeiten wir auf zwei Ebenen: Technisch dämmen wir den Angriff ein, sichern flüchtige und persistente Spuren und suchen nach dem Einfallstor sowie nach weiteren kompromittierten Systemen und Konten. Organisatorisch liefern wir Ihrem Krisenstab belastbare Fakten für Entscheidungen über Abschaltungen, Notbetrieb, Meldungen und Kommunikation.
Wir orientieren uns an anerkannten Empfehlungen und Standards wie dem IT-Grundschutz-Baustein DER.2.1 „Behandlung von Sicherheitsvorfällen“ des BSI, ISO/IEC 27035 und NIST SP 800-61 Rev. 3. Ein Grundsatz gilt: Wiederhergestellt wird möglichst erst, wenn Einfallstor und Hintertüren bekannt und geschlossen sind – sonst stehen die Angreifer womöglich bald wieder im Netz.
Typische Anzeichen
Woran Sie einen Hackerangriff erkennen
Unbekannte Konten und Anmeldungen
Neue Administratorkonten, Anmeldungen zu ungewöhnlichen Zeiten oder von fremden Standorten und MFA-Anfragen, die niemand ausgelöst hat.
Abgeschaltete Schutzmechanismen
Virenschutz oder EDR sind deaktiviert, Protokolle gelöscht, Schattenkopien entfernt – typische Vorbereitungen, bevor Angreifer zuschlagen.
Alarme aus EDR, SIEM oder Firewall
Meldungen zu Werkzeugen, die Passwörter aus dem Arbeitsspeicher auslesen, zu verdächtigen PowerShell-Befehlen oder zu Verbindungen mit bekannten Command-and-Control-Servern.
Ungewöhnlicher Datenverkehr
Große Datenmengen fließen nachts zu Cloud-Speichern oder unbekannten Zielen, Server bauen unerklärliche Verbindungen ins Internet auf.
Manipulierte E-Mail-Postfächer
Unbekannte Weiterleitungsregeln, Phishing-Mails aus Ihrem eigenen Postfach oder Rechnungen mit plötzlich geänderter Bankverbindung.
Hinweise von außen
Kunden melden verdächtige E-Mails in Ihrem Namen, Zugangsdaten tauchen im Darknet auf, oder Provider, BSI oder Polizei weisen auf Auffälligkeiten hin.
Einsatzformen
Remote, vor Ort oder beides
Wie wir unterstützen, richtet sich nach der Lage. Häufig beginnen wir remote und kommen bei Bedarf zu Ihnen.
Ohne Anreise
Remote-Unterstützung
Wir arbeiten über einen sicheren Fernzugang und leiten Ihr IT-Team oder Ihren Dienstleister an.
- Auswertung von Protokollen, EDR- und Cloud-Daten
- Anleitung bei Sofortmaßnahmen und Eindämmung
- Gut geeignet für Cloud-Dienste wie Microsoft 365
Deutschland & international
Einsatz vor Ort
Sollen Datenträger gesichert, Netze physisch getrennt oder ein Krisenstab begleitet werden, arbeiten wir direkt bei Ihnen.
- Forensische Sicherung von Datenträgern und Arbeitsspeicher
- Begleitung Ihres Krisenstabs
- Unterstützung beim Wiederaufbau
Remote & vor Ort
Kombinierter Einsatz
Bei größeren Vorfällen verbinden wir beides: Ein Teil des Teams analysiert remote, ein anderer sichert Spuren und koordiniert bei Ihnen.
- Parallele Analyse und Beweissicherung
- Feste Ansprechperson für Ihren Krisenstab
- Gemeinsame Lagebesprechungen
Ablauf
So läuft ein Notfalleinsatz ab
Wie im gesamten Bereich Incident Response & Forensik folgen wir den bewährten Phasen der Vorfallsbehandlung. Umfang und Angebot stimmen wir individuell mit Ihnen ab.
-
01
Erstkontakt & Triage
Sie schildern die Lage über die Notfall-Hotline oder das Notfall-Formular. Wir geben erste Empfehlungen, klären Ziele und Auftragsumfang und legen fest, ob wir remote oder vor Ort starten.
-
02
Erkennung & Analyse
Wir sichern Spuren und ermitteln, welche Systeme, Konten und Daten betroffen sind.
-
03
Eindämmung
Wir stoppen die Ausbreitung, schließen Angreiferzugänge und schützen intakte Backups vor weiteren Zugriffen.
-
04
Beseitigung
Hintertüren und Persistenzmechanismen werden entfernt, das Einfallstor geschlossen, kompromittierte Zugangsdaten zurückgesetzt und betroffene Systeme neu aufgebaut.
-
05
Wiederherstellung
Wir begleiten den priorisierten Wiederanlauf aus geprüften Backups und achten gemeinsam mit Ihrem Team auf Anzeichen erneuter Aktivität.
-
06
Nachbereitung
Abschlussbericht, Lessons Learned und priorisierte Maßnahmen, damit sich der Vorfall nicht wiederholt.
Abschlussbericht
Vom Lagebild zum Abschlussbericht
Während des Einsatzes erhält Ihr Krisenstab regelmäßig aktualisierte Lagebilder. Zum Abschluss dokumentieren wir den Vorfall nachvollziehbar – für Geschäftsleitung, IT, Versicherer, Behörden und, falls nötig, für ein Gerichtsverfahren. Befunde sind mit Quellen und Zeitstempeln belegt, Fakten und Annahmen klar getrennt.
- Management Summary mit Ursache, Auswirkungen und aktuellem Stand
- Zeitleiste vom Erstzugriff bis zur Eindämmung
- Betroffene Systeme, Konten und Daten
- Ergriffene Maßnahmen und Stand der Bereinigung
- Technische Fakten für Meldungen und Versicherer
- Lessons Learned und priorisierte Maßnahmenempfehlungen
Akuter Angriff? Rufen Sie uns jetzt an.
Unter +49 2932 465265-0 erreichen Sie uns Mo–Fr 08:00–17:00 Uhr; außerhalb dieser Zeiten ist dieselbe Nummer unsere 24/7-Notfall-Hotline. Je früher wir die Lage kennen, desto mehr Spuren lassen sich sichern.
FAQ
Häufige Fragen zur IT-Notfallhilfe
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Was sollten wir bei einem Hackerangriff als Erstes tun?
Bewahren Sie Ruhe und trennen Sie betroffene Systeme vom Netzwerk – Kabel ziehen, WLAN trennen –, aber schalten Sie sie nicht aus: Im Arbeitsspeicher liegen flüchtige Spuren wie laufende Prozesse und Netzwerkverbindungen, die sonst verloren gehen. Nur wenn eine Verschlüsselung läuft und sich ein System nicht isolieren lässt, kann Ausschalten das kleinere Übel sein. Melden Sie sich nicht mit Administratorkonten an verdächtigen Systemen an, löschen Sie nichts, notieren Sie Beobachtungen mit Uhrzeit und rufen Sie unsere Notfall-Hotline an – notfalls per Mobiltelefon, falls Telefonanlage oder E-Mail betroffen sind.
Müssen wir den Vorfall melden?
Das hängt vom Vorfall und von Ihrem Unternehmen ab. Sind personenbezogene Daten betroffen, ist die Datenschutzaufsicht nach Art. 33 DSGVO in der Regel unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu informieren; bei hohem Risiko müssen nach Art. 34 DSGVO auch die betroffenen Personen benachrichtigt werden. Einrichtungen unter NIS2 – auch Betreiber kritischer Anlagen – melden erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung. Finanzunternehmen melden schwerwiegende IKT-bezogene Vorfälle nach DORA an ihre Aufsicht. Wir liefern die technischen Fakten – die rechtliche Bewertung treffen Sie mit Ihrer Datenschutz- und Rechtsberatung.
Sollten wir die Polizei einschalten?
Wir empfehlen es, ebenso wie BSI und Polizei. Für Unternehmen haben die Landeskriminalämter und das Bundeskriminalamt Zentrale Ansprechstellen Cybercrime (ZAC) eingerichtet, die Betroffene beraten und bei der Anzeige unterstützen. Wichtig ist, dass Spuren sauber gesichert und dokumentiert sind. Auf Wunsch bereiten wir unsere Ergebnisse für die Übergabe an die Ermittlungsbehörden auf.
Arbeiten Sie mit unserem IT-Dienstleister und unserer Cyber-Versicherung zusammen?
Ja. Ihr IT-Dienstleister kennt Ihre Umgebung am besten – wir arbeiten eng mit ihm zusammen und ergänzen ihn um forensische Expertise. Informieren Sie Ihre Cyber-Versicherung frühzeitig, denn viele Policen enthalten Vorgaben für den Schadenfall. Auf Wunsch stimmen wir uns direkt mit dem Versicherer ab.
Brauchen wir vorab einen Vertrag mit Ihnen?
Nein. Bereitschaftsverträge (Retainer) bieten wir nicht an – Hotline und Notfall-Formular stehen Ihnen auch ohne bestehende Geschäftsbeziehung offen. Umfang und individuelles Angebot stimmen wir im Ernstfall direkt mit Ihnen ab. Vorbereiten können Sie sich mit einem Incident-Response-Plan, der festlegt, wer entscheidet und wen Sie anrufen.
Wie verhindern wir, dass sich der Vorfall wiederholt?
Auf Basis der Lessons Learned sind typische nächste Schritte gezieltes Penetration Testing der ausgenutzten Einfallstore, ein Notfallplan mit Playbooks und Krisen- & Tabletop-Übungen. Mit Forensic Readiness sorgen Sie dafür, dass beim nächsten Mal alle nötigen Spuren vorhanden sind.
Weiterführende Seiten
Sicherheitsvorfall melden
Schildern Sie kurz, was passiert ist, und hinterlassen Sie eine Rückrufnummer. Wenn es eilt, rufen Sie uns zusätzlich an: +49 2932 465265-0 – außerhalb der Geschäftszeiten erreichen Sie unter dieser Nummer unsere 24/7-Notfall-Hotline.