IT-Notfallhilfe für Unternehmen: Soforthilfe bei Cyberangriff, Phishing und Ransomware

Montagmorgen, kurz nach acht. Auf allen Bildschirmen steht dieselbe Nachricht: Ihre Daten sind verschlüsselt. Das Telefon der Geschäftsführung klingelt im Minutentakt, die Produktion steht. Wer jetzt niemanden hat, der sofort weiß, was zu tun ist, verliert die wertvollsten Stunden.

Genau dafür gibt es IT-Notfallhilfe. In diesem Beitrag erfahren Sie, wann Sie sie brauchen, was Sie in den ersten Minuten selbst tun sollten, wie die Hilfe abläuft und welche Meldepflichten gelten.

Warum IT-Notfallhilfe immer wichtiger wird

Cyberangriffe gehören für deutsche Unternehmen inzwischen zum Alltag. Laut Bitkom-Studie Wirtschaftsschutz 2026 waren 96 Prozent der befragten Unternehmen betroffen oder vermuten es, und jedes vierte Unternehmen hatte verschlüsselte Daten und eine Lösegeldforderung. Das BSI stellt fest, dass rund 80 Prozent der gemeldeten Angriffe kleine und mittlere Unternehmen treffen.

Gerade diese Unternehmen haben selten ein eigenes Sicherheitsteam. Im Ernstfall fehlt dann nicht der gute Wille, sondern das Wissen, was in welcher Reihenfolge zu tun ist. Fehler in der ersten Stunde, etwa vorschnelles Ausschalten oder Löschen, machen den Schaden oft größer und die Aufklärung schwerer.

Wann Sie IT-Notfallhilfe holen sollten

Rufen Sie Hilfe, sobald einer dieser Fälle eintritt:

• Dateien sind verschlüsselt, oder auf dem Bildschirm erscheint eine Erpressernachricht.
• Ein Mitarbeitender hat auf einen Phishing-Link geklickt oder Zugangsdaten eingegeben.
• Es gibt ungewöhnliche Anmeldungen, neue Admin-Konten oder unbekannte Weiterleitungsregeln im Postfach.
• Kunden melden E-Mails, die Sie nie verschickt haben.
• Virenschutz oder Backup wurden ohne Grund deaktiviert.
• Die Bank meldet verdächtige Überweisungen.

Im Zweifel gilt: lieber einmal zu früh anrufen. Eine kurze Einschätzung kostet wenig, eine verschleppte Reaktion kann sehr teuer werden.

Die ersten Minuten: Was Sie selbst tun sollten

Bis die Fachleute übernehmen, können Sie bereits viel richtig machen:

1. Ruhe bewahren. Hektik führt zu Fehlern. Legen Sie fest, wer intern entscheidet und wer mit den Helfern spricht.
2. Betroffene Geräte vom Netz trennen, aber nicht ausschalten. Netzwerkkabel ziehen und WLAN deaktivieren. Im Arbeitsspeicher stecken Spuren, die beim Herunterfahren verloren gehen.
3. Nichts löschen. Auch keine verdächtigen Mails oder Dateien. Sie sind Beweismittel.
4. Dokumentieren. Fotografieren Sie Erpressernachrichten und Fehlermeldungen und notieren Sie, wer wann was bemerkt hat.
5. Backups nicht anfassen. Prüfen Sie nur, ob sie vorhanden sind. Zurückgespielt wird erst, wenn klar ist, wie der Angreifer hereingekommen ist.
6. Nicht auf Erpresser eingehen. Das BKA rät grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch die Löschung gestohlener Daten.

Das BSI stellt auf seiner Seite für Unternehmen mit IT-Sicherheitsvorfall zusätzlich Checklisten für die organisatorischen und technischen Erstmaßnahmen bereit.

So läuft die IT-Notfallhilfe ab

Phase	Was passiert
1. Kontakt	Sie rufen die Notfall-Hotline an und schildern die Lage. Ein Vertrag ist nicht nötig.
2. Lageeinschätzung	Fachleute bewerten gemeinsam mit Ihnen, was passiert ist, und geben erste Anweisungen.
3. Eindämmung	Betroffene Systeme werden isoliert, damit sich der Angriff nicht weiter ausbreitet.
4. Analyse	Es wird untersucht, wie der Angreifer hereingekommen ist und was er getan hat.
5. Wiederherstellung	Systeme werden bereinigt, gehärtet und aus sauberen Backups wiederhergestellt.
6. Nachbereitung	Ursachen werden beseitigt, Meldungen unterstützt und Schutzmaßnahmen verbessert.

Wichtig ist die Reihenfolge. Wer zu früh wiederherstellt, holt den Angreifer unter Umständen gleich mit zurück. Wer zu spät eindämmt, riskiert, dass sich die Schadsoftware auf weitere Systeme ausbreitet. Mehr zum Vorgehen bei größeren Vorfällen lesen Sie auf unserer Seite zu Incident Response.

Melden nicht vergessen: Polizei, Datenschutz, BSI

Neben der technischen Hilfe laufen im Ernstfall auch Fristen:

• Polizei: Für Unternehmen gibt es in jedem Bundesland eine Zentrale Ansprechstelle Cybercrime (ZAC). Die Ermittler dort sind auf Cyberangriffe spezialisiert und gehen diskret vor.
• Datenschutz: Sind personenbezogene Daten betroffen, muss das nach Art. 33 DSGVO innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden.
• BSI: Unternehmen, die unter NIS2 fallen, müssen erhebliche Sicherheitsvorfälle laut BSI innerhalb von 24 Stunden erstmals melden.
• Versicherung: Wer eine Cyberversicherung hat, sollte sie sofort informieren. Viele Policen verlangen eine unverzügliche Meldung und schreiben vor, welche Dienstleister beauftragt werden dürfen.

Worauf Sie bei einem IT-Notdienst achten sollten

Nicht jeder IT-Dienstleister ist für Sicherheitsvorfälle ausgerüstet. Diese Punkte helfen bei der Auswahl, am besten schon bevor es ernst wird:

• Erreichbarkeit: Gibt es eine Notfallnummer, die auch außerhalb der Bürozeiten funktioniert?
• Fachleute am Telefon: Sprechen Sie direkt mit Sicherheitsexperten oder erst mit einer Hotline?
• Transparente Kosten: Ist der Stundensatz vorab klar?
• Keine Vertragsbindung: Hilft der Dienst auch ohne bestehenden Vertrag?
• Diskretion: Wird der Vorfall vertraulich behandelt?
• Prävention: Hilft der Anbieter nach dem Vorfall auch dabei, das nächste Mal besser vorbereitet zu sein?

Das BSI führt zudem eine Liste qualifizierter Dienstleister für schwere Vorfälle, die über seinen Maßnahmenkatalog zum IT-Notfallmanagement erreichbar ist.

Nach dem Notfall ist vor dem Notfall

Ein Vorfall ist auch eine Chance, die eigene Sicherheit grundlegend zu verbessern. Bewährt haben sich danach:

• eine gründliche Ursachenanalyse, damit dieselbe Lücke nicht zweimal ausgenutzt wird
• Multi-Faktor-Authentifizierung auf allen externen Zugängen
• getestete Backups, von denen mindestens eines vom Netz getrennt ist
• regelmäßige Schulungen für Mitarbeitende zu Phishing und Betrugsmaschen
• ein schriftlicher IT-Notfallplan, in dem die Notfallnummern stehen und der auch ausgedruckt vorliegt

Wer wissen will, wo die eigenen Lücken liegen, kann mit einem kostenlosen Selbstcheck oder einem IT Security Audit zum Festpreis starten.

Fazit: Im Notfall zählt jede Stunde

Ein Cyberangriff ist kein Grund zur Panik, aber ein Grund zu schnellem und überlegtem Handeln. Geräte vom Netz trennen statt ausschalten, nichts löschen, alles dokumentieren und sofort Fachleute hinzuziehen: Mit diesen Schritten begrenzen Sie den Schaden und erhalten die Chance auf eine saubere Aufklärung. Parallel sollten Sie Polizei, Datenschutzbehörde und gegebenenfalls das BSI und Ihre Versicherung einbinden.

Akuter IT-Notfall? Alle Kontaktwege und die ersten Schritte finden Sie auf unserer Seite Gehackt, was tun?. Wir helfen sofort, ohne Vertragsbindung und zu einem vorab genannten Stundensatz.

Quellen

• Bitkom: Wirtschaftsschutz 2026
• BSI: Die Lage der IT-Sicherheit in Deutschland 2025
• BSI: IT-Sicherheitsvorfall für Unternehmen
• BSI: NIS-2-Meldepflicht
• BSI: Maßnahmenkatalog IT-Notfallmanagement
• BKA: Digitale Erpressung
• Polizei: Zentrale Ansprechstellen Cybercrime
• EUR-Lex: Datenschutz-Grundverordnung, Art. 33