Bei Verdacht auf einen Cyberangriff auf ein KMU ist schnelles Handeln entscheidend. Eine rasche Reaktion kann helfen, die Auswirkungen des Angriffs zu minimieren und weitere Schäden zu verhindern. In diesem Artikel werden die wesentlichen Schritte erläutert, die zur Eindämmung eines Cybervorfalls unternommen werden sollten.
Cyberangriffe beginnen oft schon bevor sie durch offensichtliche Folgen wie eine Verschlüsselung der Daten oder eine Lösegeldforderung erkennbar werden. Oft verschaffen sich Cyberkriminelle im Vorfeld Zugang zum System, um die IT-Infrastruktur auszukundschaften.
Folgende Hinweise können auf einen Cyberangriff hindeuten:
- langsame Systemleistung ohne erkennbaren Grund: Der Computer läuft langsam, und die Lüfter sind häufig hörbar, obwohl keine rechenintensiven Aufgaben durchgeführt werden.
- langsame Systemzugriffe und Fehlermeldungen: Der Zugriff auf lokale Systeme wird verzögert und es tauchen häufig Fehlermeldungen auf.
- verlangsamte Internetverbindung und ungewöhnlicher Netzwerkverkehr: Die Internetverbindung ist plötzlich langsam, und auf dem Router-Dashboard wird ein hoher ausgehender Internetverkehr angezeigt.
- ungewohnte Computeraktionen: Der Computer führt selbständig Aktionen aus, wie das Öffnen und Schliessen von Fenstern oder das Bewegen des Mauszeigers ohne Benutzereingabe.
- Warnungen der Antiviren-Software: Ihre Antiviren-Software meldet, dass eine verdächtige Datei gefunden und/oder blockiert wurde.
- Fehlermeldungen bei Windows-Updates oder Antiviren-Software: Fehlermeldungen, die darauf hinweisen, dass Windows-Updates oder Antiviren-Programme (zum Beispiel Microsoft Defender) nicht korrekt funktionieren oder deaktiviert wurden.
- Benachrichtigungen zu ungewöhnlichen Zugriffsversuchen: Sie erhalten Benachrichtigungen, dass von einem unbekannten Gerät oder Standort auf Ihr Online-Konto zugegriffen wurde (zum Beispiel Microsoft 365, Google-Konto).
- Zwei-Faktor-Authentifizierungsanfragen: Sie erhalten plötzlich eine Bestätigungsmeldung zur Zwei-Faktor-Authentifizierung (zum Beispiel SMS-Code oder Authentifizierungs-App), obwohl Sie oder Ihre Mitarbeitenden sich nicht angemeldet haben.
- Passwortprobleme: Ein Passwort wird bei der Anmeldung nicht akzeptiert, obwohl Sie sicher sind, dass es korrekt eingegeben wurde.
- Veränderte Startseite im Browser oder Pop-ups: Die Startseite des Webbrowsers hat sich ohne Ihr Zutun geändert, oder es tauchen plötzlich unerwünschte Werbe-Pop-ups auf.
Bei einem Hinweis auf einen Cyberangriff sollten Sie folgende Punkte beachten:
- Trennen Sie alle Systeme vom Internet: Nehmen Sie umgehend alle betroffenen Systeme vom Netz und schalten Sie auch das WLAN aus, um eine weitere Ausbreitung des Angriffs zu verhindern.
- Benachrichtigen Sie die zuständigen Stellen: Informieren Sie die intern oder extern verantwortliche Person für IT-Sicherheit sowie Ihre Notfallorganisation, falls vorhanden.
- falls notwendig, Sicherheitsdienstleiser kontaktieren: Wenn Sie nicht über das entsprechende Fachwissen verfügen, sollten Sie sich an einen externen Sicherheitsdienstleister (Security Incident Response Service) wenden, der Sie bei der Bewältigung des Vorfalls und der Durchführung der entsprechenden Analyse unterstützen kann.
- Informieren Sie die Mitarbeitenden: Stellen Sie sicher, dass alle Mitarbeitenden über den Vorfall und die erforderlichen Massnahmen informiert werden.
- Kontaktieren Sie Ihre Cyberversicherung: Wenn Sie eine Cyberversicherung abgeschlossen haben, kontaktieren Sie diese sofort. Die Versicherung kann Ihnen mit spezialisierten Partnerfirmen bei der Bewältigung des Vorfalls helfen.
- Melden Sie den Vorfall bei der Polizei: Informieren Sie die Polizei über den Cyberangriff, um eine strafrechtliche Verfolgung zu ermöglichen.
- Meldepflicht für kritische Infrastrukturen: Seit dem 1. April 2025 sind Betreiberinnen und Betreiber von kritischen Infrastrukturen verpflichtet, dem Bundesamt für Cybersicherheit BACS Cyberangriffe innerhalb von 24 Stunden nach deren Entdeckung zu melden.
- freiwillige Meldung beim Bundesamt für Cybersicherheit BACS: Sobald Sie wieder Zugriff auf Ihre Systeme haben, melden Sie den Vorfall über das Meldeformular auf der Webseite des BACS.
- Meldung beim EDÖB: Gemäss Art. 24 revDSG des neuen Datenschutzgesetzes, das am 1. September 2023 in Kraft trat, müssen Verletzungen der Datensicherheit an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten EDÖB gemeldet werden, wenn für die vom Datenabfluss betroffenen Personen ein hohes Risiko einer Beeinträchtigung ihrer Persönlichkeit oder ihrer Grundrechte zur Folge haben. Die Bestimmung gilt sowohl für Privatpersonen, Unternehmen als auch für Bundesorgane. Die Meldung an den EDÖB hat so rasch wie möglich zu erfolgen. Das Meldeformular finden Sie hier: https://databreach.edoeb.admin.ch/report. Wenn es um personenbezogene Daten geht, muss je nach Standort des Unternehmens auch die Datenschutzgrundverordnung (DSGVO) der Europäischen Union befolgt werden.
Durch schnelles und koordiniertes Handeln können Sie den Schaden minimieren und notwendige Schritte zur Aufklärung und Absicherung Ihrer Systeme einleiten.
Weiterführende Informationen:
Die Mobiliar: Als KMU bei Cyberangriff richtig reagieren
Bundesamt für Cybersicherheit BACS: Cyberattacke – was tun? Checkliste für CISOs
Schweizerischer Versicherungsverband | Cyberrisiken
