Ransomware ist kein reines IT-Problem. Sie wird zur Führungsaufgabe.

Die Ausgangslage

Am Anfang steht eine technische Meldung: Dateien sind nicht mehr erreichbar, einzelne Systeme reagieren nicht oder im Netzwerk erscheint eine Lösegeldforderung. Gleichzeitig ist noch unklar, wie weit der Angriff reicht. Wurden Daten entwendet? Welche Geschäftsprozesse sind betroffen? Können Angreifer interne Nachrichten mitlesen? Wie lange dauert der Ausfall?

Während technische Spezialisten versuchen, den Vorfall einzugrenzen und ein belastbares Lagebild zu schaffen, entstehen bereits Entscheidungen, die weit über die IT hinausgehen:

• Welche Leistungen können weitergeführt werden?
• Muss der Betrieb eingeschränkt oder gestoppt werden?
• Was erfahren Mitarbeitende, Kunden und Partner?
• Welche externen Stellen müssen einbezogen werden?
• Wer darf eine Kommunikation mit der Täterschaft freigeben?

Auf keine dieser Fragen liefert eine Firewall die abschliessende Antwort.

Die Kernthese

Ransomware hat eine technische Ursache. Zur Unternehmenskrise wird sie dort, wo Betrieb, wirtschaftliche Interessen, Kommunikation, Reputation und Entscheidungsfähigkeit gleichzeitig unter Druck geraten.

Das Bundesamt für Cybersicherheit BACS bezeichnet Ransomware und die damit verbundene Datenerpressung weiterhin als ernstzunehmende Bedrohung für Schweizer Organisationen. Der #StopRansomware Guide der CISA beschreibt neben der Verschlüsselung auch den Diebstahl von Daten und die Drohung mit deren Veröffentlichung. Die möglichen Folgen reichen vom Ausfall geschäftskritischer Leistungen bis zu wirtschaftlichen und reputativen Schäden.

Das macht Ransomware nicht weniger technisch. Es bedeutet, dass technische Reaktion allein nicht genügt.

Warum daraus eine Führungsfrage wird

Ein Incident-Response-Team kann untersuchen, welche Systeme betroffen sind, wie sich der Angriff ausbreitet und welche technischen Massnahmen möglich sind. Die Unternehmensführung muss jedoch entscheiden, welche Risiken das Unternehmen unter den gegebenen Umständen tragen kann.

Diese Unterscheidung ist zentral. Fachliche Analyse schafft die Grundlage für eine Entscheidung. Sie nimmt der verantwortlichen Führung die Entscheidung aber nicht ab. Das NIST Cybersecurity Framework 2.0 behandelt Cyberrisiken deshalb ausdrücklich als Governance- und Unternehmensrisiken und verbindet Führung mit Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung.

Betrieb

Ein System kann technisch isoliert werden müssen. Ob dadurch eine Produktion, ein Kundendienst oder eine andere kritische Leistung unterbrochen wird, ist zugleich eine unternehmerische Abwägung. Sicherheit, Lieferfähigkeit, vertragliche Verpflichtungen, mögliche Folgeschäden und verfügbare Alternativen können gleichzeitig betroffen sein.

Kommunikation

Die technische Lage entwickelt sich, während Mitarbeitende, Kunden und Partner bereits Fragen stellen. Zu frühe Gewissheit kann später zu Widersprüchen führen. Zu langes Schweigen kann Vertrauen und Handlungsfähigkeit ebenfalls belasten. Führung muss festlegen, wer kommuniziert, auf welcher Faktenbasis und mit welchem nächsten Aktualisierungszeitpunkt.

Wirtschaftliches Risiko

Ein längerer Betriebsunterbruch kann Umsatz, Liquidität und Kundenbeziehungen belasten. Eine schnelle Wiederaufnahme kann ihrerseits Risiken schaffen, wenn die technische Bereinigung oder Validierung noch nicht abgeschlossen ist. Die Entscheidung verlangt deshalb eine Verbindung zwischen technischer Einschätzung, geschäftlichen Prioritäten und akzeptierbarem Risiko.

Verantwortung

Unter Druck entsteht leicht ein gefährliches Vakuum: Die IT wartet auf eine Entscheidung der Geschäftsleitung, die Geschäftsleitung wartet auf ein vollständiges technisches Lagebild, und die Kommunikation wartet auf beide. Genau deshalb müssen Rollen, Befugnisse und Eskalationswege vor dem Vorfall geklärt sein.

Fachliche Analyse und Unternehmensentscheidung sind nicht dasselbe

Wer im konkreten Unternehmen entscheidet, hängt von dessen Organisation, Branche, Rechtsform und vom jeweiligen Vorfall ab. Die folgende Übersicht ist deshalb kein universelles Organigramm. Sie zeigt, welche Perspektiven zusammengeführt werden müssen.

Die Tabelle zeigt auch, warum die Formel „Die IT löst das“ zu kurz greift. Die technische Expertise bleibt unverzichtbar. Aber sie ist eine von mehreren Perspektiven, die unter Zeitdruck zu einer verantwortbaren Unternehmensentscheidung verbunden werden müssen.

Die häufigste Fehlannahme: Erst Technik, dann Führung

Viele Organisationen stellen sich einen Cybervorfall als Abfolge vor: Zuerst löst die IT das technische Problem, danach befasst sich die Führung mit den Folgen.

In einer ernsthaften Ransomware-Lage funktioniert diese Reihenfolge nicht. Technische Eindämmung, Führungsarbeit, sichere Kommunikation, rechtliche Prüfung und betriebliche Priorisierung müssen früh parallel beginnen. Das Lagebild bleibt dabei zunächst unvollständig und verändert sich.

Führung bedeutet in diesem Moment nicht, ohne Fakten zu entscheiden. Sie bedeutet, sichtbar mit Unsicherheit zu arbeiten:

• Was ist bestätigt?
• Was ist eine fachliche Einschätzung?
• Was behauptet die Täterschaft?
• Was ist noch unbekannt?
• Welche Entscheidung ist jetzt nötig – und wann wird sie erneut geprüft?

Wer auf vollständige Gewissheit wartet, überlässt Zeitdruck und Takt der Lage. Wer Unsicherheit ignoriert, riskiert unkoordinierte oder widersprüchliche Entscheidungen. Handlungsfähigkeit entsteht zwischen diesen beiden Extremen.

Was vor dem Vorfall vorbereitet sein muss

Ein umfangreicher Incident-Response-Plan allein garantiert noch keine Einsatzfähigkeit. Entscheidend ist, ob die beteiligten Personen wissen, wie sie ihn unter realistischen Bedingungen aktivieren und anwenden. Das aktuelle NIST-Ransomware-Profil ordnet Vorbereitung und Bewältigung ebenfalls über Governance, Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung hinweg ein.

1. Aktivierung des Krisenstabs

Es muss klar sein, wer den Krisenmodus auslösen darf, wie die Mitglieder erreicht werden und welche Stellvertretungen gelten. Wenn die Aktivierung erst in einer laufenden Eskalation ausgehandelt wird, geht wertvolle Zeit verloren.

2. Entscheidungsrechte

Nicht jede Entscheidung gehört in dasselbe Gremium. Das Unternehmen sollte vorab bestimmen, wer technische Sofortmassnahmen freigibt, wer betriebliche Einschränkungen entscheidet, wer externe Kommunikation genehmigt und wer einen möglichen Kontakt mit der Täterschaft mandatieren dürfte.

3. Sichere Kommunikation

E-Mail, Kollaborationsplattformen oder zentrale Verzeichnisse können im Vorfall ausfallen oder als nicht vertrauenswürdig gelten. Der Krisenstab benötigt deshalb vorbereitete Ausweichkanäle, offline verfügbare Kontaktdaten und einen getesteten Aktivierungsprozess.

4. Externe Partner

Incident Response, Forensik, Legal, Datenschutz, Versicherung und Kommunikation sollten nicht erst unter Täterfrist gesucht werden. Zuständigkeiten, Erreichbarkeit, vertragliche Voraussetzungen und das Zusammenspiel mit der internen Führung gehören in die Vorbereitung.

5. Geschäftskritische Leistungen

Eine Liste wichtiger Systeme genügt nicht. Die Führung muss verstehen, welche Leistungen das Unternehmen in welcher Reihenfolge wieder benötigt, welche Abhängigkeiten bestehen und welche Ausfallzeiten betrieblich tragbar sind.

6. Gemeinsames Lage- und Entscheidungsbild

Bestätigte Fakten, fachliche Einschätzungen, Täterbehauptungen und offene Fragen müssen getrennt dokumentiert werden. Entscheidungen benötigen Verantwortliche, Zeitstempel, Informationsgrundlage und einen nächsten Prüfzeitpunkt. Nur so bleibt die Organisation auch bei Schichtwechseln und einer dynamischen Lage konsistent.

Wie die Disziplinen zusammenspielen

Eine Cyberkrise braucht keine einzelne Person, die alles kann. Sie braucht eine belastbare Zusammenarbeit unterschiedlicher Disziplinen.

• IT und Incident Response führen technische Eindämmung, Analyse und Wiederherstellung.
• Forensik sichert und bewertet technische Erkenntnisse und mögliche Beweise.
• Legal und Datenschutz beurteilen Pflichten, rechtliche Risiken und den anwendbaren Rechtsraum.
• Kommunikation strukturiert interne und externe Aussagen sowie den Dialog mit Anspruchsgruppen.
• Versicherung und weitere Fachpartner bringen vertragliche und spezialisierte Perspektiven ein.
• Geschäftsleitung und zuständige Gremien setzen Prioritäten, bestimmen die Risikotoleranz und treffen die ihnen zugewiesenen Unternehmensentscheidungen.

DEADLOCK konzentriert sich auf die strategische Verhandlungs-, Entscheidungs- und Kommunikationsseite. Technische, forensische und rechtliche Aufgaben gehören in die Verantwortung entsprechend qualifizierter Fachpersonen.

Diese Grenze ist kein Nachteil. Sie ist Voraussetzung für eine glaubwürdige Krisenorganisation: Jede Disziplin übernimmt die Verantwortung, für die sie qualifiziert und mandatiert ist.

Drei Prüffragen für Verantwortliche

1. Welche drei Entscheidungen dürfte unsere IT in einem Ransomware-Vorfall nicht allein treffen – und wer ist stattdessen entscheidungsbefugt?
2. Wie aktiviert und erreicht sich unser Krisenstab, wenn E-Mail, Kollaborationsplattform und zentrales Verzeichnis nicht verfügbar oder nicht vertrauenswürdig sind?
3. Welche geschäftskritische Leistung muss zuerst wieder funktionieren, und wer darf die damit verbundenen Risiken abwägen?

Wenn diese Fragen heute nur mit Namen einzelner Personen, aber nicht mit Rollen, Stellvertretungen und einem getesteten Prozess beantwortet werden können, besteht eine organisatorische Lücke.

Nächster sinnvoller Schritt

Unternehmen können ihre Entscheidungsfähigkeit nicht allein am geschriebenen Plan beurteilen. Sie müssen erleben, wie Rollen, Befugnisse und Kommunikation funktionieren, wenn neue Informationen eintreffen, Interessen kollidieren und das Lagebild unvollständig bleibt.

PREPARE – Executive Cyber Crisis Simulation testet deshalb nicht die technische Abwehr, sondern die Handlungsfähigkeit von Geschäftsleitung, Verwaltungsrat und Krisenstab. Für organisationsspezifische technische Fachfragen können vom Auftraggeber benannte Fachpersonen einbezogen werden.

• BACS: Halbjahresbericht 2025/2
• BACS: Das Notfallkonzept als Schlüssel zur Cyberresilienz
• CISA: #StopRansomware Guide
• NIST: Cybersecurity Framework 2.0
• NIST: Ransomware Risk Management – CSF 2.0 Community Profile, Revision 1

Faktenstand: 27. August 2026

Fachliche Abgrenzung: Dieser Beitrag bleibt auf der organisatorischen Führungsebene. Er ersetzt weder technische Incident-Response-Beratung noch eine rechtliche Beurteilung des Einzelfalls.

Redaktionelle Arbeitsweise: Dieses Briefing wurde auf Grundlage der ausgewiesenen Primärquellen redaktionell erarbeitet und von Pascal Wasinger inhaltlich geprüft und freigegeben. Eine externe Fachprüfung wird nur ausgewiesen, wenn sie tatsächlich durchgeführt und ihr Prüfbereich benannt wurde.

Dieses DEADLOCK Briefing dient der allgemeinen Einordnung und Vorbereitung. Es ersetzt keine technische Incident Response, forensische Untersuchung oder Rechtsberatung. Konkrete Massnahmen richten sich nach Organisation, Vorfall und anwendbarem Rechtsraum.