Ein KMU sollte die ersten 24 Stunden eines Cybervorfalls in sechs Entscheidungen strukturieren: Vorfall ausrufen, betroffene Systeme begrenzen, Fakten und Beweise sichern, kritische Geschäftsprozesse priorisieren, Melde- und Informationspflichten prüfen sowie intern und extern koordiniert kommunizieren. Die Reihenfolge ist kein starres Drehbuch. Sie verhindert jedoch, dass gut gemeinte Einzelaktionen Spuren vernichten, den Schaden vergrössern oder widersprüchliche Aussagen erzeugen.

Warum ein Notfallplan vor dem Angriff entstehen muss

Ein Cybervorfall ist unter Zeitdruck kaum der Moment, Rollen und Telefonnummern erstmals zu suchen. Das Bundesamt für Cybersicherheit BACS stellt Schweizer KMU deshalb ein Modell für ein Notfallkonzept sowie Hilfsmittel wie Notfallblatt und Notfallplan zur Verfügung. Nach Darstellung des BACS gehören Krisenorganisation, Krisenkommunikation, zentrale Kontakte und konkrete Massnahmen zusammen.

Eine aktuelle Einordnung des Entscheider Magazins zu Cyberrisiken in Schweizer KMU lenkt den Blick auf Zugänge, Back-ups, Zahlungsprozesse und einen einfachen Notfallplan. Der vorliegende Ratgeber entwickelt daraus eine andere Fragestellung: Wie führt die Geschäftsleitung die ersten 24 Stunden eines tatsächlichen Vorfalls?

Das Entscheider Magazin und Wachstum Magazin gehören beide zum Umfeld der Helpstone Media Group. Der Quellenverweis ist deshalb transparent eingeordnet und keine unabhängige Empfehlung.

Minute null: Den Vorfall intern ausrufen

Ein verdächtiges Ereignis muss über einen bekannten Kanal gemeldet werden können – auch wenn E-Mail, Chat oder zentrale Systeme ausfallen. Das BACS-Notfallblatt empfiehlt, die Arbeit am betroffenen IT-System zu stoppen, den Vorfall zu dokumentieren und weitere Massnahmen erst nach Anweisung vorzunehmen.

Die meldende Person sollte mindestens festhalten: Was wurde beobachtet? Wann begann es? Welche Geräte, Konten oder Standorte sind betroffen? Welche Handlung ging unmittelbar voraus? Fotos eines Bildschirms, Fehlermeldungen und Uhrzeiten können hilfreich sein, solange dadurch keine zusätzlichen Systeme gefährdet werden.

Die Geschäftsleitung oder eine definierte Stellvertretung entscheidet, ob der Cybernotfallprozess aktiviert wird. Dafür braucht es vorab Schwellenwerte, etwa Ausfall eines kritischen Systems, kompromittiertes Administratorkonto, unautorisierte Zahlung, Datenabfluss oder Erpressungsnachricht.

Stunde eins: Schaden begrenzen, ohne Beweise zu zerstören

Betroffene Geräte können je nach Lage vom Netzwerk getrennt werden. Sie sollten nicht reflexartig ausgeschaltet, zurückgesetzt oder neu installiert werden. Solche Schritte können Protokolle und flüchtige Spuren verändern. Die konkrete technische Reaktion gehört in die Hände des zuständigen IT- oder Incident-Response-Teams.

Gleichzeitig sind privilegierte Zugänge, Fernwartung, Cloud-Konten und Zahlungsfreigaben zu prüfen. Passwortänderungen müssen von einem vertrauenswürdigen, nicht kompromittierten Gerät erfolgen. Wer über ein möglicherweise befallenes System neue Passwörter setzt, kann dem Angreifer gerade die neuen Zugangsdaten liefern.

Für die Geschäftsleitung lautet die Kernfrage nicht «Ist schon alles gelöst?», sondern «Welche Ausbreitung können wir jetzt sicher verhindern, ohne die Untersuchung zu behindern?» Jede wesentliche Massnahme wird mit Zeit, verantwortlicher Person und Begründung protokolliert.

Stunde zwei bis vier: Ein gemeinsames Lagebild schaffen

Das Krisenteam braucht eine kurze, fortlaufend aktualisierte Übersicht. Sie trennt bestätigte Tatsachen, plausible Annahmen und offene Fragen. Diese Unterscheidung verhindert, dass eine Vermutung zur offiziellen Unternehmensposition wird.

Das Lagebild umfasst betroffene Systeme und Standorte, bekannte Eintrittszeit, mögliche Datenkategorien, Auswirkungen auf Kunden und Lieferanten, verfügbare Back-ups, kritische Fristen und bereits getroffene Massnahmen. Ein Protokollführer hält Entscheide fest, damit Technik, Führung, Recht und Kommunikation mit demselben Stand arbeiten.

Ein guter Rhythmus sind kurze Lagebesprechungen zu festen Zeiten. Dazwischen arbeiten die Verantwortlichen an klaren Aufgaben. Eine Dauer-Videokonferenz bindet Fachpersonen und verführt zu unkoordinierten Zurufen.

Geschäftsbetrieb nach Kritikalität ordnen

Nicht jedes System muss gleichzeitig zurückkehren. Vor dem Vorfall sollte das KMU festlegen, welche Prozesse zuerst wieder funktionieren müssen: etwa Produktion, Kasse, Disposition, Lohnzahlung, Kundenservice oder medizinisch beziehungsweise sicherheitsrelevante Leistungen.

Für jeden kritischen Prozess braucht es ein maximales tolerierbares Ausfallfenster, abhängige Systeme, Datenstand, Notbetrieb und verantwortliche Rolle. Ein manuelles Ersatzverfahren kann sinnvoll sein, wenn es kontrolliert und später sauber nachgeführt wird.

Back-ups sind erst dann belastbar, wenn ihre Wiederherstellung getestet wurde. Die KMU-Cybersicherheitsstudie 2026, auf die das BACS verweist, zeigt: Back-ups sind verbreitet, aber nur jedes vierte KMU testet, ob gesicherte Daten tatsächlich wiederhergestellt werden können. Im Notfall ist zudem zu prüfen, ob Sicherungen zeitlich und technisch vor der Kompromittierung liegen.

Meldungen und rechtliche Pflichten getrennt prüfen

Das BACS bietet eine freiwillige Meldemöglichkeit für Cybervorfälle und eine automatisierte Ersteinschätzung. Für Betreiberinnen kritischer Infrastrukturen besteht bei bestimmten Cyberangriffen seit 1. April 2025 eine gesetzliche Meldepflicht innert 24 Stunden nach Entdeckung.

Andere Pflichten können je nach Daten, Branche, Vertrag, Versicherung und betroffenen Personen hinzukommen. Dazu können Meldungen an Datenschutzstellen, Polizei, Versicherer, Aufsichtsbehörden, Kunden oder Vertragspartner gehören. Ein allgemeiner KMU-Plan sollte deshalb keine pauschale Liste als stets vollständig ausgeben, sondern eine zuständige Person und fachliche Kontakte für die Einzelfallprüfung nennen.

Eine freiwillige technische Meldung an das BACS, eine Strafanzeige und eine datenschutzrechtliche Meldung sind unterschiedliche Vorgänge. Sie ersetzen einander nicht automatisch.

Kommunikation mit einer Stimme organisieren

Das BACS empfiehlt für die Krisenkommunikation, intern vor extern zu informieren, bestätigte Tatsachen zu nennen und regelmässig verständlich zu kommunizieren. Interessen der Forensik und polizeilicher Ermittlungen müssen dabei berücksichtigt werden.

Die erste Aussage muss nicht jede Ursache kennen. Sie sollte sagen, was bestätigt ist, welche Auswirkungen bestehen, was das Unternehmen unternimmt und wann das nächste Update folgt. Spekulationen zu Tätern, Datenumfang oder Wiederanlaufzeit sind zu vermeiden.

Eine Person führt die externe Kommunikation. Mitarbeitende erhalten eine kurze Sprachregelung und einen Weiterleitungsweg für Medien-, Kunden- und Lieferantenanfragen. Das verhindert Schweigen ebenso wie widersprüchliche Einzelantworten.

Zahlungen und Erpressung nicht improvisieren

Bei manipulierten Rechnungen oder Bankverbindungen sind Bank, interne Finanzverantwortliche und gegebenenfalls Polizei sofort einzubeziehen. Neue Zahlungsdaten werden nur über einen bekannten zweiten Kanal bestätigt. Verdächtige Zahlungen sollten so früh wie möglich gemeldet werden, weil Rückholchancen mit der Zeit sinken können.

Eine Lösegeldforderung ist keine normale Einkaufsentscheidung. Rechtliche, sanktionsbezogene, versicherungsrechtliche, operative und ethische Fragen greifen ineinander. Das KMU sollte weder spontan zahlen noch gegenüber Angreifern Zusagen machen, bevor spezialisierte Stellen die Lage geprüft haben.

Was bis zum Ende des ersten Tages vorliegen sollte

Nach 24 Stunden muss der Vorfall nicht behoben sein. Erwartbar sind aber ein benanntes Krisenteam, ein aktuelles Lagebild, ein Entscheid zu technischen Sofortmassnahmen, eine priorisierte Betriebsplanung, geprüfte Meldewege, ein Kommunikationsrhythmus und eine Liste offener Risiken.

Dazu gehört auch ein Entscheid für die nächste Schicht: Wer übernimmt nachts oder am Folgetag? Welche Fachpersonen müssen erreichbar bleiben? Welche Systeme dürfen noch nicht produktiv gehen? Welche Kunden oder Partner benötigen ein Update?

Die Geschäftsleitung sollte ausserdem einen Zeitpunkt für die Nachbearbeitung festlegen. Nach Stabilisierung werden Ursache, Entscheidungsqualität, Wiederanlauf, Kommunikation und Kontrolllücken ausgewertet. Der bestehende Beitrag Bundesrat plant Cybersicherheitsgesetz: Was Unternehmen jetzt wissen müssen ordnet ergänzend die angekündigte politische Entwicklung ein; sie ersetzt den heutigen Grundschutz nicht.

Eine einstündige Übung zeigt die wichtigsten Lücken

Ein KMU kann den Plan ohne aufwendige Grossübung testen. Die Geschäftsleitung erhält ein Szenario: Am Mittwoch um 08.10 Uhr sind Dateien verschlüsselt, E-Mail funktioniert teilweise, ein Kunde meldet ein verdächtiges Dokument. Das Team hat 60 Minuten, um Rollen, erste fünf Entscheide, Meldewege und eine kurze interne Nachricht zu formulieren.

Beobachtet wird nicht, ob jede technische Antwort perfekt ist. Entscheidend ist, ob Kontakte erreichbar sind, Entscheidungen nachvollziehbar fallen, Fakten von Annahmen getrennt werden und der Betrieb priorisiert wird. Die festgestellten Lücken werden mit Verantwortlichen und Termin geschlossen.

Ein Cyber-Notfallplan ist damit kein Ordner für die Revision. Er ist eine gemeinsame Entscheidungsgrundlage für einen Tag, an dem Zeit, Informationen und Aufmerksamkeit knapp sind.