Soforthilfe auf einen Blick
Wenn Sie diesen Beitrag gerade mitten in einem Ausfall lesen: Bleiben Sie ruhig, verschaffen Sie sich einen kurzen Überblick, und informieren Sie umgehend Ihre Geschäftsführung sowie Ihren IT-Ansprechpartner. Fassen Sie dabei kurz zusammen, was nicht funktioniert und seit wann.
Besteht der Verdacht auf einen Sicherheitsvorfall (z. B. eine Erpressungsmeldung, plötzlich verschlüsselte Dateien oder auffällige Anmeldungen): Betroffene Geräte vom Netzwerk trennen — Netzwerkkabel ziehen, WLAN deaktivieren — aber nicht ausschalten, solange eine technische Analyse durch die IT vorgesehen ist. Das empfiehlt auch das BSI in seiner technischen Checkliste für IT-Sicherheitsvorfälle.
Minute 0–5: Überblick gewinnen
Die Zeitangaben in diesem Beitrag sind eine Orientierung, keine Wartezeiten — manche Schritte müssen sofort erfolgen, andere dürfen parallel laufen. In den ersten Minuten geht es vor allem darum, sich einen Überblick zu verschaffen, bevor gehandelt wird:
- Verschaffen Sie sich einen kurzen Überblick: Welche Systeme, Standorte oder Abteilungen sind betroffen — nur ein Arbeitsplatz, ein Standort oder das ganze Unternehmen?
- Prüfen Sie grob, welche Geschäftsprozesse dadurch stillstehen (Kasse, E-Mail, Produktion, Telefonie).
- Informieren Sie umgehend die Geschäftsführung oder die zuständige Leitungsperson — auch wenn die Ursache noch unklar ist.
- Notieren Sie sich die Uhrzeit, zu der der Ausfall bemerkt wurde. Das ist später eine der ersten Fragen, die Ihr IT-Dienstleister stellen wird.
Minute 5–15: Auswirkungen begrenzen
Sobald der grobe Überblick steht, geht es darum, den Schaden nicht unbeabsichtigt zu vergrößern und die IT mit möglichst brauchbaren Informationen einzubinden:
- Begrenzen Sie die Auswirkungen, so weit es ohne technische Eingriffe möglich ist — etwa indem Mitarbeitende an offensichtlich betroffenen Arbeitsplätzen kurz pausieren, statt weiterzuarbeiten.
- Kontaktieren Sie Ihren IT-Ansprechpartner oder IT-Dienstleister und schildern Sie die Beobachtungen so konkret wie möglich (siehe Checkliste unten).
- Dokumentieren Sie, was Sie sehen: Fehlermeldungen am besten fotografieren, ungewöhnliche Pop-ups oder Sperrbildschirme nicht wegklicken.
- Vermeiden Sie eigenständige Reparaturversuche an Systemen, bei denen ein Sicherheitsvorfall nicht ausgeschlossen ist — dazu mehr im nächsten Abschnitt.
Minute 15–30: Koordiniert informieren und abstimmen
Ab hier verlagert sich der Fokus von der reinen Erstreaktion hin zur Organisation: Wie geht die Belegschaft mit dem Ausfall um, und wie wird mit der IT weitergearbeitet?
- Informieren Sie die Belegschaft koordiniert über einen vorher festgelegten Kanal — nicht jeder für sich, sondern eine abgestimmte, ruhige Mitteilung (Vorlage weiter unten).
- Organisieren Sie, falls nötig, sichere Ersatzabläufe: alternative Kommunikationswege, Papierbelege für die Kasse, manuelle Prozesse für Kernaufgaben.
- Stimmen Sie mit der IT das weitere Vorgehen ab: Wer informiert wann über den Stand? Wer ist Ansprechpartner für Rückfragen aus den Teams?
- Prüfen Sie, ob Kunden, Lieferanten oder Partner von Ausfällen betroffen sind, die kommuniziert werden sollten — und wer das übernimmt.
Störung oder Sicherheitsvorfall? Der entscheidende Unterschied
Nicht jeder IT-Ausfall im Unternehmen ist ein Sicherheitsvorfall — die meisten haben harmlosere Ursachen. Trotzdem lohnt sich in den ersten Minuten ein kurzer, bewusster Check, denn die richtigen ersten Schritte unterscheiden sich deutlich:
- Internetausfall beim Provider (auch bei anderen Anbietern/Nachbarn spürbar)
- Stromausfall oder -schwankung
- Cloud-Dienst meldet selbst eine Störung (Statusseite prüfen)
- Ein einzelnes Gerät oder eine einzelne Anwendung betroffen, ohne ungewöhnliche Meldungen
- Eine Erpressungsmeldung oder ein Lösegeld-Hinweis erscheint auf dem Bildschirm
- Dateien sind plötzlich umbenannt, verschlüsselt oder nicht mehr lesbar
- Auffällige Anmeldungen, unbekannte Geräte oder Konten mit ungewöhnlichen Berechtigungen
- Mehrere, ansonsten unabhängige Systeme fallen gleichzeitig auf ähnliche Weise aus
Wichtig: Diese Beobachtungen begründen einen Verdacht, keine sichere Diagnose. Im Zweifel gilt: lieber einmal zu vorsichtig als zu spät reagieren — eine endgültige Einschätzung sollte immer der IT beziehungsweise Ihrem IT-Dienstleister überlassen bleiben.
Was Sie selbst sicher tun können — und was die IT übernehmen sollte
Als Nichttechniker können Sie in einem IT-Notfall viel richtig machen, ohne selbst in Systeme einzugreifen. Entscheidend ist, technische Eingriffe der IT zu überlassen und sich auf die Beobachtung und Organisation zu konzentrieren.
Netzwerktrennung ist nicht dasselbe wie Ausschalten: Ein Gerät vom Netzwerk zu trennen (Kabel ziehen, WLAN aus) stoppt eine mögliche Ausbreitung im Netzwerk, ohne den Arbeitsspeicher zu löschen. Ein Herunterfahren oder Ausschalten kann dagegen genau die Spuren vernichten, die für die spätere technische Analyse gebraucht werden — laut BSI-Leitfaden „Ransomware: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“ sollten betroffene Geräte deshalb nicht heruntergefahren werden, solange eine forensische Untersuchung geplant ist.
- Beobachtungen und Fehlermeldungen dokumentieren (am besten fotografieren)
- Bei Verdacht: Netzwerkkabel ziehen bzw. WLAN am betroffenen Gerät deaktivieren
- Kolleginnen und Kollegen bitten, das betroffene Gerät nicht weiter zu nutzen
- Die Checkliste weiter unten für die Meldung an die IT ausfüllen
- Geschäftsführung und IT umgehend informieren
- Geräte aus- oder wieder einschalten, Systeme neu starten
- Dateien löschen, verschieben oder wiederherstellen
- Antiviren-Scans oder Bereinigungen starten
- Backups zurückspielen oder Systeme neu aufsetzen
- Einschätzen, ob ein Vorfall meldepflichtig ist, und ggf. Meldungen vorbereiten
Bei Produktionsanlagen oder sicherheitskritischen Systemen ist besondere Vorsicht geboten: Ein unkontrolliertes Trennen vom Netzwerk oder Abschalten kann dort selbst zu einem Risiko werden — etwa wenn Steuerungsprozesse abrupt unterbrochen werden. Solche Systeme sollten nur in Abstimmung mit der IT beziehungsweise dem Anlagenhersteller behandelt werden.
Checkliste für die Meldung an den IT-Dienstleister
Je konkreter Ihre Angaben, desto schneller kann die IT einschätzen, worum es geht. Diese sieben Fragen sollten Sie beantworten können, bevor Sie anrufen oder schreiben:
- 1.Was funktioniert nicht (genau benennen: einzelnes Gerät, Anwendung, Standort, gesamtes Netzwerk)?
- 2.Seit wann besteht das Problem — und wann wurde es zuerst bemerkt?
- 3.Wer und welche Standorte oder Abteilungen sind betroffen?
- 4.Welche Fehlermeldungen erscheinen (Foto oder genauer Wortlaut hilft mehr als eine Umschreibung)?
- 5.Was wurde kurz vorher geändert oder installiert (Updates, neue Geräte, neue Software, Wartungsarbeiten)?
- 6.Welche Maßnahmen wurden bereits durchgeführt (z. B. Kabel gezogen, Gerät neu gestartet)?
- 7.Welche Geschäftsprozesse stehen aktuell still, und wie dringend ist welcher Bereich?
Vorlage: Interne Mitarbeitermitteilung
Eine kurze, ruhige Mitteilung verhindert Gerüchte und unkoordinierte Reaktionen. Passen Sie die Vorlage an Ihre Situation an:
Betreff: Aktuelle IT-Störung — bitte kurz lesen
Liebe Kolleginnen und Kollegen, seit [Uhrzeit] liegt eine IT-Störung vor, die [betroffene Systeme/Bereiche] betrifft. Wir sind bereits dabei, die Ursache zu klären. Bitte nutzen Sie die betroffenen Geräte/Systeme bis auf Weiteres nicht und führen Sie keine eigenen Reparaturversuche durch.
Für dringende Anliegen erreichen Sie [Ansprechpartner] über [Ersatzkanal]. Wir informieren Sie, sobald es Neuigkeiten gibt, spätestens um [Uhrzeit].
Vielen Dank für Ihre Geduld und Ihr besonnenes Vorgehen.
Besteht der Verdacht, dass Ihre üblichen Kommunikationssysteme selbst betroffen sind — etwa bei einem vermuteten Sicherheitsvorfall — sollte diese Mitteilung über einen vorher vereinbarten, unabhängigen Kontaktweg verschickt werden, etwa Telefon oder ein privater Messenger-Kanal, statt über das möglicherweise kompromittierte E-Mail-System.
Fünf Fehler, die den Schaden vergrößern können
Betroffene Geräte werden vorschnell neu gestartet oder ausgeschaltet, um das Problem "zu beheben".
Bei Verdacht auf einen Sicherheitsvorfall ist die Netzwerktrennung (Kabel ziehen, WLAN aus) der sicherere erste Schritt — ein Neustart oder Herunterfahren kann Spuren löschen, die für die technische Analyse wichtig sind.
Mitarbeitende versuchen eigenständig, verschlüsselte oder auffällige Dateien zu löschen oder wiederherzustellen.
Nichts an den betroffenen Dateien oder Systemen verändern, bis die IT das System eingeordnet hat. Jede Veränderung erschwert die spätere Analyse.
Die Kommunikation über den Vorfall läuft unkoordiniert per Zuruf oder Flurfunk.
Eine einzige, abgestimmte Mitteilung an die Belegschaft verhindert Gerüchte und widersprüchliche Informationen — siehe die Vorlage weiter unten.
Bei Verdacht auf kompromittierte Systeme wird die Meldung an die IT über denselben, möglicherweise betroffenen Kanal verschickt (z. B. E-Mail über den kompromittierten Account).
Für genau diesen Fall lohnt sich ein vorher vereinbarter, unabhängiger Kontaktweg — etwa eine Telefonnummer oder ein Messenger-Kanal außerhalb der Unternehmens-IT.
Produktionsanlagen oder sicherheitskritische Systeme werden nach demselben Schema behandelt wie ein normaler Büro-PC.
Bei OT- und Produktionssystemen kann ein unkontrolliertes Trennen oder Abschalten selbst zum Sicherheitsrisiko werden. Hier gilt besondere Vorsicht — im Zweifel zuerst mit der IT oder dem Anlagenhersteller abstimmen, bevor eingegriffen wird.
Vorbereitung für den nächsten Vorfall
Der beste Zeitpunkt, sich auf einen IT-Ausfall vorzubereiten, ist nicht während des Ausfalls. Fünf Punkte, die sich unabhängig von der Unternehmensgröße lohnen:
Wer melden möchte, kann Sicherheitsvorfälle zusätzlich freiwillig über das Melde- und Informationsportal des BSI einreichen — das hilft, ein verlässlicheres Lagebild für andere Unternehmen zu schaffen. Ob darüber hinaus eine gesetzliche Meldepflicht besteht, hängt von Ihrer individuellen Situation ab und sollte im Zweifel fachlich geprüft werden.
Notfallvorsorge, bevor es brennt
Keep IT Fair unterstützt Unternehmen in Norderstedt, Hamburg und Umgebung bei IT-Störungen und beim Aufbau einer verlässlichen Notfallvorsorge — sprechen Sie uns unverbindlich an.
Kontakt aufnehmenHäufige Fragen
Sollen wir bei einem IT-Ausfall sofort alle Rechner ausschalten?
Nein, nicht pauschal. Solange kein Verdacht auf einen Sicherheitsvorfall besteht, ist ein unkontrolliertes Ausschalten meist unnötig und kann sogar Daten oder Hinweise auf die Ursache vernichten. Besteht dagegen der Verdacht auf einen Angriff, empfiehlt das BSI, betroffene Geräte vom Netzwerk zu trennen (Netzwerkkabel ziehen, WLAN deaktivieren), sie aber nicht auszuschalten, wenn eine technische Analyse vorgesehen ist — ein ausgeschaltetes Gerät verliert flüchtige Spuren, die für die Aufklärung wichtig sein können.
Wer entscheidet, ob ein IT-Ausfall meldepflichtig ist?
Das hängt von Ihrer Unternehmensform und etwaigen regulatorischen Pflichten ab (z. B. für Betreiber kritischer Infrastrukturen) und sollte im Zweifel mit Ihrem IT-Dienstleister oder einer rechtlich beratenden Stelle geklärt werden. Unabhängig davon können Unternehmen Sicherheitsvorfälle freiwillig über das Meldeformular des BSI melden, um zur allgemeinen Lageeinschätzung beizutragen. Pauschale Aussagen zu gesetzlichen Fristen sind hier nicht seriös möglich — das ist immer eine Einzelfallprüfung.
Was, wenn wir gar keine eigene IT-Abteilung haben?
Dann übernimmt in der Regel ein externer IT-Dienstleister die technischen Schritte. Umso wichtiger ist es, dass im Unternehmen vorher klar ist, wer diesen Dienstleister im Ernstfall kontaktiert, und dass die Kontaktdaten nicht nur digital, sondern auch offline verfügbar sind — falls E-Mail oder interne Systeme selbst betroffen sind.
Weiterlesen
