Die ersten 60 Minuten eines Cybervorfalls: parallel führen, ohne Gewissheit vorzutäuschen.

Die Ausgangslage

Um 07:12 Uhr meldet die IT ungewöhnliche Verschlüsselungsaktivität. Mehrere Systeme reagieren nicht. Noch ist unklar, ob Daten entwendet wurden, wie weit der Zugang der Täterschaft reicht und welche Dienste als Nächstes ausfallen könnten.

In diesem Moment entstehen zwei gefährliche Impulse: sofort alles abzuschalten oder zunächst auf ein vollständiges Lagebild zu warten.

Beides kann falsch sein. Unkoordinierte Eingriffe können Betrieb und Beweise gefährden. Warten kann der Täterschaft zusätzliche Zeit geben und die Organisation führungslos lassen.

Die erste Stunde braucht deshalb keine gespielte Gewissheit. Sie braucht koordinierte Handlungsfähigkeit. Warum ein Ransomware-Vorfall von Beginn an eine Führungsaufgabe ist, ordnet das Briefing Ransomware ist kein reines IT-Problem ein.

Die Kernthese

Die ersten 60 Minuten sind kein universeller Ablaufplan. Sie sind das Zeitfenster, in dem technische Reaktion, Führung, sichere Kommunikation, Beweiserhalt und ein gemeinsames Lagebild kontrolliert anlaufen müssen.

Die aktuelle NCSC-Leitlinie für die ersten Stunden eines stark störenden Cyberangriffs beginnt mit einer klaren Führungs- und Koordinationsstruktur. Sie verbindet technische Untersuchung, operative Reaktion und Executive Oversight und fordert eindeutige Befugnisse für Eindämmung, Wiederherstellung und Kommunikation.

Die genaue technische Reihenfolge bleibt dennoch vorfallabhängig. Sie gehört in die Hände qualifizierter Incident-Response- und Forensikfachleute.

Fünf Handlungsstränge müssen kontrolliert anlaufen

„Parallel“ bedeutet nicht, dass alle unkoordiniert gleichzeitig handeln. Es bedeutet, dass mehrere Arbeitsstränge unter einer gemeinsamen Führung starten, Informationen austauschen und ihre nächsten Entscheidungen synchronisieren.

1. Menschen, kritische Leistungen und technische Eindämmung

Die technische Reaktion muss prüfen, welche Systeme betroffen sind und welche Massnahmen weiteren Schaden begrenzen können. Gleichzeitig muss die Organisation verstehen, welche Auswirkungen diese Massnahmen auf Menschen, Betrieb und kritische Leistungen haben.

Ob ein System isoliert oder abgeschaltet werden sollte, lässt sich nicht seriös aus einem allgemeinen Artikel ableiten. Technische Eindämmung kann spätere Analyse- und Beweismöglichkeiten ebenso beeinflussen wie Betrieb und Schadensausbreitung. Welche Massnahme in welcher Reihenfolge angemessen ist, müssen qualifizierte Incident-Response- und Forensikfachpersonen anhand des konkreten Vorfalls beurteilen.

Die Führungsaufgabe lautet daher nicht, technische Einzelschritte anzuordnen. Sie lautet, die fachliche Reaktion zu aktivieren, kritische Auswirkungen sichtbar zu machen und die nötigen Befugnisse bereitzustellen.

2. Klare Krisenführung herstellen

Es muss früh eine Stelle geben, die Arbeitsstränge koordiniert, Prioritäten setzt und Entscheidungen nachhält. Dazu gehören:

• ein benannter Management Lead,
• ein technischer Incident Lead,
• ein klarer Rhythmus für Lageupdates,
• sichtbare Entscheidungsbefugnisse,
• definierte Eskalationswege.

Der Krisenstab muss nicht jedes technische Detail diskutieren. Er muss wissen, welche Informationen für die nächste Unternehmensentscheidung entscheidend sind. Welche Entscheidung in welches Gremium gehört und wo technische Autonomie endet, behandelt das Briefing Wer darf im Cybervorfall was entscheiden?.

3. Auf einen vertrauenswürdigen Kommunikationsweg wechseln

Wenn E-Mail, Kollaborationsplattformen oder zentrale Verzeichnisse betroffen sein könnten, darf der Krisenstab nicht selbstverständlich davon ausgehen, dass die normalen Kanäle verfügbar oder vertraulich sind.

Ein vorbereiteter Ausweichkanal benötigt mehr als eine Messenger-Gruppe. Er braucht erreichbare Personen, aktuelle Kontaktdaten, definierte Aktivierung, kontrollierte Zugänge und eine gemeinsame Regel, welche Informationen darüber geteilt werden dürfen.

Welche technische Lösung geeignet ist, muss organisationsspezifisch geprüft und getestet werden.

4. Technisches Lagebild und Beweiserhalt beginnen

Incident Response und Forensik benötigen verfügbare Logdaten, Systeminformationen und nachvollziehbare Zeitpunkte. Beweise können für Ursachenanalyse, Wiederherstellung, Versicherung, Behörden oder eine spätere rechtliche Aufarbeitung relevant werden.

Die Führung muss dafür sorgen, dass technische Fachpersonen Zugang, Mandat und Ressourcen erhalten. Sie darf Beweiserhalt jedoch nicht als Grund verwenden, notwendige Schadensbegrenzung pauschal zu verzögern. Die Abwägung gehört in den vorbereiteten technischen Reaktionsprozess.

5. Gemeinsames Lage- und Entscheidungsbild eröffnen

Die erste Lageübersicht ist nicht vollständig. Sie muss trotzdem strukturiert sein.

Mindestens zu trennen sind:

• bestätigt,
• fachlich eingeschätzt,
• von der Täterschaft behauptet,
• noch unbekannt.

Parallel beginnt ein Entscheidungsprotokoll: Was wurde wann von wem entschieden? Welche Informationen lagen vor? Welche Alternative wurde verworfen? Wann wird die Entscheidung neu bewertet?

Das NCSC Incident-Management-Modell betont zentrale Koordination, Dokumentation, Eskalation und die Nachverfolgung von Aufgaben und Kommunikation über den gesamten Vorfall hinweg.

Die erste Stunde braucht einen Takt

Zeitdruck verleitet dazu, Sitzungen entweder endlos laufen zu lassen oder nur noch spontan zu reagieren. Beides erschwert ein gemeinsames Lagebild.

Ein einfacher Führungsrhythmus kann helfen:

1. aktueller bestätigter Stand,
2. grösste Risiken für die nächsten Stunden,
3. laufende technische und operative Massnahmen,
4. Entscheidungen, die jetzt benötigt werden,
5. Verantwortliche und Fristen,
6. Zeitpunkt des nächsten Lageupdates.

Dieser Rhythmus ist kein Ersatz für technische Incident-Response-Prozesse. Er schafft die Verbindung zwischen Facharbeit und Unternehmensführung.

Was nicht in die erste Stunde gehört

Schuldzuweisung

Die Frage, wer einen Fehler gemacht hat, hilft der unmittelbaren Stabilisierung selten. Sie bindet Aufmerksamkeit und kann den Informationsfluss verschlechtern. Ursachen und Verantwortung gehören in eine spätere, sorgfältige Aufarbeitung.

Öffentliche Gewissheit ohne Faktenbasis

Frühe Aussagen müssen den aktuellen Kenntnisstand spiegeln. Formulierungen wie „es wurden keine Daten gestohlen“ sind riskant, solange dies nicht belastbar bestätigt werden kann.

Eine Zahlungsentscheidung unter Täterfrist

Die erste Nachricht der Täterschaft darf nicht den internen Entscheidungsprozess ersetzen. Eine mögliche Zahlung benötigt getrennte technische, rechtliche, versicherungsbezogene und unternehmerische Prüfungen.

Unkoordinierte Einzelaktionen

Gut gemeinte Massnahmen können andere Arbeitsstränge beeinträchtigen. Technische Eingriffe, externe Kommunikation und Täterkontakt benötigen klare Verantwortung und Dokumentation.

Die häufigste Fehlannahme: Nach 60 Minuten muss Klarheit herrschen

Die erste Stunde endet selten mit einem vollständigen Lagebild. Ihr Erfolg besteht nicht darin, alle Antworten zu kennen.

Sie ist dann sinnvoll genutzt, wenn:

• eine handlungsfähige Führungsstruktur besteht,
• qualifizierte technische Reaktion aktiv ist,
• kritische Leistungen priorisiert werden,
• Kommunikation über einen vertrauenswürdigen Weg läuft,
• Fakten und Unsicherheit sichtbar getrennt sind,
• die nächsten Entscheidungen Verantwortliche und Termine haben.

Das aktuelle NIST Incident-Response-Profil ordnet Incident Response entsprechend als organisationsweiten und fortlaufenden Teil des Cyberrisikomanagements ein, nicht als isolierte Tätigkeit eines technischen Teams.

Drei Prüffragen für Verantwortliche

1. Wer übernimmt in den ersten Minuten die strategische und wer die technische Führung, und kennen beide ihre Entscheidungsgrenzen?
2. Über welchen getesteten Kanal arbeitet unser Krisenstab, wenn die normalen Kommunikationssysteme nicht vertrauenswürdig sind?
3. Kann unser erstes Lagebild bestätigte Fakten, Einschätzungen, Täterbehauptungen und offene Fragen sichtbar trennen?

Wenn diese Antworten erst im Vorfall gesucht werden, beginnt die erste Stunde mit organisatorischem Rückstand.

Nächster sinnvoller Schritt

Die ersten 60 Minuten lassen sich nicht durch das Lesen einer Checkliste beherrschen. Sie müssen mit den tatsächlich verantwortlichen Rollen, realistischen Informationen und spürbaren Zielkonflikten geübt werden.

PREPARE – Executive Cyber Crisis Simulation testet Aktivierung, Führung, Entscheidungsrhythmus und Kommunikation. Für organisationsspezifische technische oder rechtliche Fachfragen können vom Auftraggeber benannte Fachpersonen einbezogen werden.

• NCSC UK: Immediate activities – what to do in the first hours
• NIST: Incident Response Recommendations and Considerations, SP 800-61 Revision 3
• CISA: #StopRansomware Guide
• BACS: Ransomware – Was nun?
• NCSC UK: Incident management – cyber incident response processes

Faktenstand: 22. September 2026

Fachliche Abgrenzung: Dieser Beitrag beschreibt den Führungs- und Koordinationsrahmen. Er enthält bewusst keine technische Schrittfolge; konkrete Massnahmen richten sich nach dem Vorfall und der qualifizierten Incident-Response- und Forensikbeurteilung.

Redaktionelle Arbeitsweise: Dieses Briefing wurde auf Grundlage der ausgewiesenen Primärquellen redaktionell erarbeitet und von Pascal Wasinger inhaltlich geprüft und freigegeben. Eine externe Fachprüfung wird nur ausgewiesen, wenn sie tatsächlich durchgeführt und ihr Prüfbereich benannt wurde.

Dieses DEADLOCK Briefing dient der allgemeinen Einordnung und Vorbereitung. Es ersetzt keine technische Incident Response, forensische Untersuchung oder Rechtsberatung. Konkrete Massnahmen richten sich nach Organisation, Vorfall und anwendbarem Rechtsraum.