Montag, kurz nach acht, irgendwo zwischen Bielefeld und Paderborn. Die Warenwirtschaft lädt nicht, das Postfach hängt, auf einem Rechner in der Buchhaltung steht eine Meldung, die niemand je gesehen hat. Drei Leute stehen um den Bildschirm. Einer sagt: „Ich starte den mal neu.“
Genau dieser Satz macht aus einer Störung oft einen teuren Fall. Ob ein Ausfall eine harmlose Fehlfunktion oder ein Angriff ist, kann am Schreibtisch niemand zuverlässig erkennen. Das BSI schreibt dazu selbst, dass schon das Erkennen schwer ist und die Beurteilung noch schwerer [1].
Dieser Text ordnet die ersten 30 Minuten nach den Empfehlungen des BSI. Die Zeitfenster sind unsere Gliederung, keine Vorgabe der Behörde.
Minute 0 bis 5: Hände weg, Bescheid sagen
Die IT-Notfallkarte des BSI ist als Hinweisschild gedacht, wie das bekannte „Verhalten im Brandfall“ [1]. Sie stellt für alle Beschäftigten drei Botschaften in den Vordergrund [1]:
- Die Ansprechpartner für IT-Notfälle und ihre Erreichbarkeit kennen.
- Entscheidende Informationen sofort weitergeben.
- Gegenmaßnahmen nur nach Absprache oder Anweisung dieser Ansprechpartner.
Der dritte Punkt ist der unbequeme. Neustarten, Virenscanner laufen lassen, Dateien zurückkopieren, das alles sind Gegenmaßnahmen. Wer sie auf eigene Faust ergreift, verändert womöglich genau die Spuren, die später gebraucht werden.
Die Organisations-Checkliste des BSI beginnt nicht mit Technik, sondern mit dem Satz: „Bewahren Sie Ruhe und handeln Sie nicht übereilt.“ [2]
Minute 5 bis 15: die richtigen Leute informieren
Die nächste Frage aus derselben Checkliste: Wissen alle, die es wissen müssen? Genannt werden der IT-Sicherheitsverantwortliche, der Datenschutzbeauftragte, der IT-Betrieb und die Geschäftsleitung [2]. Im kleinen Betrieb sind das manchmal nur zwei Personen plus der externe IT-Dienstleister. Umso wichtiger, dass deren Nummern nicht nur im ausgefallenen Postfach stehen.
Danach empfiehlt das BSI, sich zu organisieren: Rollen verteilen, festlegen, wer entscheidet und wer was bis wann erledigt [2]. Ein Krisenstab klingt nach Konzern. Im Handwerksbetrieb kann er aus Chefin, Büroleitung und dem IT-Dienstleister am Telefon bestehen.
Minute 15 bis 30: erste technische Schritte, nur nach Absprache
Wenn der Verdacht auf einen Angriff besteht, nennt die BSI-Checkliste Technik einige Schritte, die früh kommen [3]:
| Was | Was das BSI empfiehlt |
|---|---|
| Betroffene Rechner | vom internen Netz und vom Internet trennen, dazu das Netzwerkkabel ziehen [3] |
| Ausschalten? | nicht herunterfahren, wenn eine technische Analyse beabsichtigt ist [3] |
| Anmelden | keine Anmeldung mit Administrator- oder anderen privilegierten Konten auf möglicherweise infizierten Systemen [3] |
| Virenscanner | erst nach einer eventuellen forensischen Sicherung, weil Scanner den Speicher verändern können [3] |
| Passwörter | alle auf betroffenen Systemen gespeicherten oder nach der Infektion eingegebenen Zugangsdaten als kompromittiert betrachten [3] |
Kabel ziehen, aber Strom anlassen: Das widerspricht dem Bauchgefühl. Genau deshalb steht es auf einer Checkliste. Unsere Meinung: Diese Tabelle gehört ausgedruckt neben den Server, nicht in einen Ordner auf dem Server.
Die Uhr, die parallel läuft
Sind personenbezogene Daten betroffen, etwa Kunden- oder Personaldaten, kommt der Datenschutz dazu. Verantwortliche müssen eine solche Datenpanne der Aufsichtsbehörde unverzüglich melden, möglichst binnen 72 Stunden, wenn mehr als nur ein geringes Risiko für die Betroffenen besteht [5]. Für Verantwortliche mit Sitz in NRW bietet die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW dafür ein Meldeformular an [5].
72 Stunden klingen lang. Wer am Montag erst mittags merkt, dass es kein Hardwarefehler war, hat einen halben Tag davon schon verbraucht. Deshalb gehört der Datenschutzbeauftragte in die erste Viertelstunde und nicht in die zweite Woche.
Was Sie vorher erledigen können
Der Maßnahmenkatalog des BSI zum Notfallmanagement richtet sich ausdrücklich an Geschäftsführende und IT-Verantwortliche in kleinen und mittleren Unternehmen [4]. Er teilt die Arbeit in vier Phasen: Vorbereitung, Bereitschaft, Bewältigung und Nachbereitung [4]. Die Notfallkarte gehört in die Vorbereitung; die PDF-Vorlage hat ein Feld für Ihre eigene Rufnummer bei IT-Notfällen [1].
Für die nächste Teambesprechung reicht eine kurze Liste:
- Notfallkarte ausdrucken, Nummer eintragen, neben Drucker und Kaffeemaschine hängen.
- Telefonnummern von Geschäftsleitung, Datenschutzbeauftragtem und IT-Dienstleister auf Papier hinterlegen.
- Klären, wer entscheiden darf, einen Rechner vom Netz zu nehmen.
Ein IT-Dienstleister in OWL, der ans Telefon geht
DripBack sitzt in Leopoldshöhe. Wir sind werktags von 9 bis 18 Uhr unter +49 5202 7019276 erreichbar; auf E-Mails antworten wir typisch in unter vier Stunden und garantiert in unter 24 Stunden. Vieles läuft per Fernzugriff, im Störungsfall ist das auch der schnellere Weg. Für Termine vor Ort kommen wir im Umkreis von rund 50 Kilometern. Was zur laufenden Betreuung gehört, steht auf der Seite IT-Support, unser Einsatzgebiet auf der Seite IT und KI in Ostwestfalen-Lippe. Wenn Sie Ihre Notfallkette einmal mit uns durchgehen wollen, melden Sie sich über das Kontaktformular.
Weiterlesen in der Serie „KI in OWL, ehrlich gerechnet“
Sie haben jetzt eine Notfallkette für die erste halbe Stunde. Ob sich eine Notfallvorsorge oder eine Automatisierung im Betrieb rechnet, ist eine Beratungsfrage. Für eine geförderte Einzelberatung zahlt der Bund in OWL unter Bedingungen bis zu 1.750 € dazu [6]. Wie diese Rechnung aussieht:
← Teil 1: KI-Berater in OWL: was er eigentlich macht und was er kosten darf
Mehr zur Region: IT und KI in Ostwestfalen-Lippe · Förderung: IT-Beratung und Fördermittelbegleitung
Quellen
[1] BSI, IT-Notfallkarte „Verhalten bei IT-Notfällen“, abgerufen 30.10.2026: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Unternehmen-allgemein/IT-Notfallkarte/IT-Notfallkarte/it-notfallkarte_node.html
[2] BSI, „Ich habe einen Vorfall – Checkliste Organisatorisches“, abgerufen 30.10.2026: https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/Unternehmen/Ich-habe-einen-IT-Sicherheitsvorfall-Checkliste-Organisatorisches/ich-habe-einen-it-sicherheitsvorfall-checkliste-organisatorisches_node.html
[3] BSI, „Ich habe einen Vorfall – Checkliste Technik“, abgerufen 30.10.2026: https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/Unternehmen/Ich-habe-einen-IT-Sicherheitsvorfall-Checkliste-Technik/ich-habe-einen-it-sicherheitsvorfall-checkliste-technik_node.html
[4] BSI, „Maßnahmenkatalog zum Notfallmanagement – Fokus IT-Notfälle“, abgerufen 30.10.2026: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Unternehmen-allgemein/IT-Notfallkarte/Massnahmenkatalog/massnahmenkatalog_node.html
[5] Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, „Meldepflicht für Verantwortliche – Verletzungen des Schutzes personenbezogener Daten“, abgerufen 30.10.2026: https://www.ldi.nrw.de/kontakt/meldepflicht-fuer-verantwortliche-verletzungen-des-schutzes-personenbezogener-daten
[6] Bundesministerium für Wirtschaft und Energie, Förderrichtlinie „Förderung von Unternehmensberatungen für KMU“ in der Fassung der zweiten Änderung vom 15.10.2026 (BAnz AT 28.10.2026 B3), Nr. 5.2, abgerufen 30.10.2026: https://www.bafa.de/SharedDocs/Downloads/DE/Wirtschaft/unb_foerderrichtlinie_kmu_261015.pdf