Cyber Security Incident Response Plan 2026: Checkliste für den Ransomware-Ernstfall in Schweizer Unternehmen

Montagmorgen, 07:45 Uhr. Der erste Mitarbeitende meldet sich im IT-Support: Sein Rechner zeigt eine Verschlüsselungsmeldung. Zwei Minuten später trudeln weitere Meldungen ein. Ohne vorbereiteten Plan beginnt dann das Chaos: Wer informiert die Geschäftsleitung? Wer trennt welche Systeme? Darf man das Backup noch anfassen? Diese Ad-hoc-Abstimmungen kosten die kritischen ersten 60 Minuten, jene Stunde, in der sich der Schaden noch begrenzen lässt.

Die Zahlen belegen, wie real dieses Szenario in der Schweiz ist: Laut der Sophos-Studie «State of Ransomware 2022» waren 60 % der Schweizer Unternehmen 2021 von Ransomware betroffen, gegenüber 46 % im Vorjahr. Die durchschnittlichen Gesamtkosten einer Wiederherstellung lagen bei 1,57 Mio. CHF, bei einer Ausfallzeit von rund einem Monat. Halcyon setzt genau hier an: Die Lösung blockiert Ransomware-Angriffe, bevor die Verschlüsselung beginnt, und verhindert so, dass es überhaupt zu diesem Szenario kommt. Als offizieller Reseller und Integrationspartner von Halcyon in der Schweiz übernimmt ITConcepts die Einbettung in bestehende IT- und Security-Umgebungen.

Besonders aufschlussreich ist ein anderes Detail aus derselben Studie: 35 % der betroffenen Schweizer Unternehmen zahlten Lösegeld, obwohl alternative Wiederherstellungsmethoden verfügbar waren. Das ist ein Prozessversagen: Wer im Ernstfall nicht weiss, welche Optionen er hat, greift zur schnellsten Lösung, nicht zur richtigen. Ein vorbereiteter Cyber Security Incident Response Plan, kombiniert mit dem präventiven Schutz von Halcyon, schliesst diese Lücke.

Ein Incident Response Plan ist eine geübte Handlungsstruktur, keine 80-seitige Dokumentation im Intranet: Wer macht was, in welcher Reihenfolge, mit welchen Mitteln, und das unter Druck und Zeitnot. Der Unterschied zwischen einem Plan und einem guten Plan liegt darin, ob ihn das Team im Ernstfall auch wirklich ausführen kann.

Als international anerkannte Referenz für den Aufbau einer solchen Struktur gilt NIST SP 800-61, der fünf Incident-Response-Phasen definiert: Vorbereitung, Erkennung und Analyse, Eindämmung, Behebung und Wiederherstellung sowie Nachbereitung. Diese Phasen lassen sich direkt in eine praxistaugliche Checkliste übersetzen, ohne ISMS-Vollimplementierung.

Ergänzend dazu bietet ISO/IEC 27035, die Norm für Information-Security-Incident-Management, einen strukturierten Rahmen, der explizit eine abgespeckte Prozesslandschaft für kleinere Organisationen erlaubt. Für Schweizer Unternehmen bedeutet das: Sie können auf einen anerkannten Standard verweisen, ohne eine vollständige Zertifizierung voraussetzen zu müssen. Drei Grundprinzipien sollte jeder Plan erfüllen:

1. Rollen vor Tools: Klar definierte Verantwortlichkeiten schlagen jede Software.
2. Geübt statt dokumentiert: Ein Plan, der nie getestet wurde, ist im Ernstfall wertlos.
3. Kommunikation parallel zur Technik: Wer intern und extern kommuniziert, muss von Minute eins an feststehen, getrennt vom technischen Team.

Ein weiterer Faktor, der oft unterschätzt wird: Wie gut Ihr Incident-Response-Plan greift, hängt auch davon ab, wie früh ein Angriff erkannt wird. Halcyon setzt bereits vor der Verschlüsselung an und kann Ransomware-Angriffe aktiv unterbrechen. Das verändert den Startpunkt Ihrer Response grundlegend: Statt Schadensbegrenzung nach dem Verschlüsseln steht die Abwehr vor dem Datenverlust im Vordergrund. Dieser präventive Ansatz unterscheidet sich klar von reaktiven Sicherheitslösungen, die erst nach dem Angriff eingreifen. ITConcepts begleitet Sie dabei von der Architektur bis zur Inbetriebnahme.

Bei einem Ransomware-Angriff zählen die ersten 60 Minuten. Jede Minute ohne koordinierte Reaktion vergrössert den verschlüsselten Bereich und erschwert die spätere forensische Analyse. Die folgende Schrittfolge orientiert sich an den Empfehlungen des Bundesamts für Cybersicherheit (BACS) für den Ernstfall und ist direkt einsetzbar:

1. Betroffene Systeme sofort vom Netzwerk trennen, aber eingeschaltet lassen. LAN-Kabel ziehen, WLAN deaktivieren. Das System eingeschaltet lassen, damit der Speicherinhalt für die Forensik erhalten bleibt. Niemals sofort ausschalten, das vernichtet flüchtige Beweise im RAM.

2. Backups sofort physisch isolieren. Netzwerk-Shares, NAS und Cloud-Sync-Verbindungen zu Backup-Systemen trennen. Ransomware befällt aktiv erreichbare Backup-Medien. Halcyon setzt früher an: Die Lösung erkennt Verschlüsselungsversuche, bevor Backup-Medien überhaupt erreicht werden, und blockiert den Angriff präventiv.

3. Den Zustand dokumentieren. Bildschirmfotos mit dem Smartphone machen, Verschlüsselungsmeldungen, Dateinamen, Uhrzeiten. Diese Dokumentation ist Grundlage für Forensik, Versicherung und allfällige Meldepflichten.

4. Das Notfallteam alarmieren. Krisenleiter (Geschäftsleitung), IT-Leitung, Legal/Datenschutz aktivieren. Reihenfolge und Erreichbarkeit müssen vorab definiert sein, nicht erst im Ernstfall suchen.

5. Auf alternative Kommunikationskanäle ausweichen. E-Mail-Server ist möglicherweise ebenfalls kompromittiert oder nicht erreichbar. Mobiltelefon, Signal oder ein separates Kommunikationstool verwenden. Kein Passwort über die kompromittierte Infrastruktur senden.

6. Schadensausmass einschätzen, ohne zu handeln. Welche Systeme sind betroffen, welche noch nicht? Kritische Geschäftsprozesse identifizieren. Keine Wiederherstellungsversuche vor der forensischen Sicherung.

7. Kein Lösegeld zahlen, bevor Alternativen geprüft wurden. Backup-Verfügbarkeit prüfen, Decryption-Tools (z. B. via No More Ransom) prüfen, externen Forensiker konsultieren. Lösegeld garantiert keine vollständige Datenwiederherstellung und finanziert weitere Angriffe. Wer solche Szenarien gar nicht erst erleben will, setzt auf präventiven Schutz wie Halcyon.

Für ein Unternehmen ohne dediziertes Security-Team reichen fünf klar definierte Rollen: Krisenleiter (Geschäftsleitung, entscheidet über Lösegeld, Kommunikation und Eskalation), technische Leitung (IT, verantwortet Eindämmung und Wiederherstellung), Legal/Datenschutz (Meldepflichten, Verträge, Haftungsfragen), Kommunikation (interne und externe Kommunikation) sowie externe Partner (Forensik-Dienstleister, Cyberversicherung, Anwalt). Praxisnahe Vorlagen für diese Rollen und Eskalationswege liefern die etablierten Incident-Response-Standards, allen voran NIST SP 800-61 und ISO/IEC 27035. ITConcepts unterstützt Unternehmen dabei, externe Partner wie Halcyon frühzeitig in diese Rollenstruktur einzubinden, damit im Ernstfall keine Zeit mit Zuständigkeitsfragen verloren geht.

Schweizer Unternehmen haben im Ernstfall konkrete Meldepflichten zu beachten. Das Bundesamt für Cybersicherheit (BACS), vormals NCSC, ist die zentrale Anlaufstelle für Cyberangriffsmeldungen in der Schweiz und kann via report.ncsc.admin.ch kontaktiert werden. Betreiber kritischer Infrastrukturen unterliegen zudem gesetzlichen Meldepflichten gegenüber dem BACS. Das revidierte Datenschutzgesetz (revDSG) kann zusätzlich eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) erfordern, wenn eine Datenschutzverletzung ein hohes Risiko für betroffene Personen darstellt.

Das NIST IR 8374r1 zum Ransomware Risk Management betont, dass Kommunikationspläne und Meldewege Teil der RESPOND-Funktion sein müssen, nicht nachgelagert. In der Praxis zeigt sich: Der häufigste Fehler in Unternehmen ist, dass Meldepflichten erst Tage nach dem Angriff geprüft werden, obwohl Fristen bereits laufen. Die Kontaktdaten aller Meldestellen und die eigene Versicherungshotline müssen deshalb ausgedruckt und offline verfügbar sein. Wer Halcyon als Anti-Ransomware-Lösung einsetzt, profitiert davon, dass relevante Angriffsdaten für die Meldung und forensische Analyse bereits automatisch protokolliert werden. ITConcepts begleitet Unternehmen bei der Einbindung von Halcyon in den gesamten Incident-Response-Prozess, von der initialen Erkennung bis zur forensischen Auswertung.