Eine Nachricht wirkt glaubwürdig, der Link ist schnell angeklickt. Erst danach fällt auf, dass etwas nicht stimmt. Das kann passieren. Informieren Sie jetzt Ihre IT, auch wenn Sie noch unsicher sind. Je früher sie Bescheid weiß, desto schneller kann sie prüfen, ob etwas passiert ist und welche Schritte nötig sind.
Ein angeklickter Link bedeutet noch nicht automatisch, dass ein Gerät oder Konto übernommen wurde. Wichtig ist, was danach passiert ist: Haben Sie Zugangsdaten eingegeben, eine Anmeldung bestätigt oder eine Datei heruntergeladen und geöffnet? Melden Sie diese Einzelheiten Ihrer IT.
Was Mitarbeitende sofort tun sollten
Aufhören
Geben Sie keine weiteren Daten ein, bestätigen Sie keine unerwarteten Anmeldeanfragen und öffnen Sie keine weiteren Dateien oder Links aus der Nachricht. Führen Sie auch keine angeblichen Reparatur- oder Prüfprogramme aus, zu denen die Seite auffordert.
Sofort melden
Informieren Sie Ihre interne IT oder Ihren IT-Dienstleister über den vereinbarten Meldeweg. Haben Sie Zugangsdaten eingegeben, eine unerwartete Anmeldung bestätigt, eine verdächtige Datei geöffnet oder auffälliges Geräteverhalten bemerkt, rufen Sie direkt an. Nutzen Sie dafür eine bereits bekannte Telefonnummer. Wenn niemand erreichbar ist, verwenden Sie den vorgesehenen Notfallkontakt.
Schildern, was passiert ist
Nennen Sie möglichst die Uhrzeit, das betroffene Gerät sowie Absender und Betreff der Nachricht. Beschreiben Sie, ob Sie einen Link geöffnet, Daten eingegeben, eine Anmeldung bestätigt oder eine Datei heruntergeladen und geöffnet haben. Sagen Sie auch, wenn Sie etwas nicht sicher wissen.
Nachricht und Hinweise aufbewahren
Löschen Sie die Nachricht und heruntergeladene Dateien zunächst nicht. Die IT braucht diese Informationen, um den Vorgang nachzuvollziehen. Öffnen Sie Links oder Dateien aber nicht erneut und leiten Sie die Nachricht nicht ungefragt an andere Mitarbeitende weiter.
Weitere Schritte mit der IT abstimmen
Bei Verdacht auf Schadsoftware entscheidet die IT, ob das Gerät vom Netzwerk getrennt werden muss. Wenn beispielsweise Dateien plötzlich verschlüsselt werden und niemand erreichbar ist, trennen Sie die Netzwerkverbindung: Netzwerkkabel ziehen und WLAN ausschalten. Starten Sie das Gerät nicht eigenständig neu und schalten Sie es nicht ohne Rücksprache aus.
Haben Sie Zugangsdaten eingegeben oder eine unerwartete Anmeldung bestätigt, sagen Sie das ausdrücklich dazu. Die IT muss dann auch den betroffenen Zugang absichern. Das Trennen des Computers allein beendet einen fremden Zugriff auf ein Cloud-Konto nicht.
Wenn ein Passwort geändert werden muss, verwenden Sie dafür die echte Website oder App auf einem vertrauenswürdigen, möglichst von der IT geprüften Gerät. Nutzen Sie keinen Link aus der verdächtigen Nachricht.
Was nicht hilft
Abwarten und hoffen
Nicht jeder Angriff ist sofort sichtbar. Melden Sie den Verdacht auch dann, wenn das Gerät normal funktioniert und keine Warnung angezeigt wird.
Auf eigene Faust aufräumen
Installieren Sie keine zusätzlichen Bereinigungsprogramme und setzen Sie das Gerät nicht selbst zurück. Dabei können wichtige Hinweise verloren gehen. Stimmen Sie Änderungen mit Ihrer IT ab.
Schuld zuweisen
Wer nach einer Meldung Vorwürfe hört, meldet beim nächsten Mal womöglich später oder gar nicht. Bedanken Sie sich für den Hinweis und kümmern Sie sich zuerst darum, mögliche Folgen zu begrenzen.
Was die IT als Nächstes prüft
Welche Schritte nötig sind, hängt davon ab, was passiert ist. Die IT prüft insbesondere:
- Welche Geräte und Konten betroffen sein könnten und welche Hinweise die vorhandenen Protokolle liefern.
- Ob ein Gerät vom Netzwerk getrennt werden muss und wie wichtige Spuren für die Untersuchung erhalten bleiben.
- Welche Zugangsdaten offengelegt worden sein könnten. Auf einer gefälschten Seite eingegebene Passwörter müssen als offengelegt behandelt werden. Bei Verdacht auf Schadsoftware prüft die IT zusätzlich, ob gespeicherte Zugangsdaten oder bestehende Anmeldesitzungen betroffen sein könnten.
- Ob ein betroffenes Konto vorübergehend gesperrt, das Passwort geändert und aktive Sitzungen widerrufen werden müssen. Die IT prüft außerdem, ob fremde Anmeldemethoden, etwa eine unbekannte Authenticator-App, hinzugefügt wurden und ob verdächtige App-Berechtigungen oder E-Mail-Weiterleitungen bestehen. Ein Passwortwechsel allein kann unzureichend sein.
- Falls Daten oder Systeme betroffen sind: ob geeignete, vor unbefugtem Ändern und Löschen geschützte Sicherungen verfügbar sind und sicher wiederhergestellt werden können.
- Wie der Vorfall dokumentiert wird und ob gesetzliche oder vertragliche Meldepflichten bestehen.
Für die Geschäftsleitung: Meldepflicht nach NISG 2026
Ein verdächtiger Klick sollte intern gemeldet werden. Eine gesetzliche Meldung nach dem NISG 2026 ist dadurch aber nicht automatisch erforderlich. Sie betrifft wesentliche und wichtige Einrichtungen bei erheblichen Cybersicherheitsvorfällen. Klären Sie deshalb vorab, wer einen Vorfall bewertet und erforderliche Meldungen veranlasst.
Die Meldungen können über die Anwendung »NIS2-Services« im Unternehmensserviceportal abgegeben werden.
Für Einrichtungen außerhalb dieses Anwendungsbereichs besteht diese Berichtspflicht nach dem NISG 2026 nicht. Andere Meldepflichten, etwa bei Datenschutzverletzungen, können trotzdem bestehen. Freiwillige Meldungen sind ebenfalls möglich. Eine erste Orientierung zur Betroffenheit bietet unser Beitrag NISG 2026 ist in Kraft.
Vorbereiten, bevor es passiert
Klären Sie vorab, wen Mitarbeitende im Verdachtsfall erreichen und wer bei Abwesenheit übernimmt. Die Kontaktdaten müssen auch dann verfügbar sein, wenn E-Mail oder Firmennetz ausfallen.
Besprechen Sie den Ablauf mit Ihren Mitarbeitenden und üben Sie, wie eine Meldung erfolgen soll. Die Fragen 10, 13 und 14 in unserem Selbstcheck zur IT-Absicherung helfen bei der Vorbereitung. Praktische Schulungen behandeln wir im Beitrag Awareness-Training und NISG 2026.
Angriffserkennung am Endgerät und E-Mail-Schutz können helfen, Angriffe zu erkennen oder zu blockieren. Diese Leistungen gehören zu Protect. Ebenso wichtig ist, dass bei einem Verdacht klar ist, wer reagiert.
Wenn Sie Ihren bestehenden Ablauf besprechen möchten, vereinbaren Sie ein unverbindliches Gespräch.