An einem Montagmorgen erfährt Daniel A., dass eine Werkstatt im Kanton, kaum grösser als seine eigene, seit dem frühen Morgen stillsteht. Die Maschinen warten, auf jedem Bildschirm steht dieselbe Meldung: Die Dateien sind gesperrt, für die Freigabe müsse man zahlen. Niemand vor Ort weiss, wo anzufangen. Ein Ransomware-Angriff, das begreift er beim Auflegen, kündigt sich nicht an — und Daniel sieht seine eigene Werkstatt mit anderen Augen.
Wie ein Ransomware-Angriff wirklich abläuft
Ransomware ist eine Schadsoftware, die Ihre Dateien verschlüsselt — also unlesbar macht — und danach ein Lösegeld für den Schlüssel fordert. Das Wort macht Angst, doch der Ablauf ist weit gewöhnlicher als in einem Film. Im Nachbarfall begann alles mit einer präparierten E-Mail: Phishing, eine Nachricht in den Farben eines bekannten Lieferanten, mit einem Anhang, der seriös aussah. Ein Mitarbeiter im Zeitdruck öffnet ihn. In diesem Moment geschieht nichts Sichtbares.
Der Eindringling handelt nicht sofort. Er beobachtet, bewegt sich von Arbeitsplatz zu Arbeitsplatz und findet die Backups und die Ordner, die zählen. Wie in vielen Industrie-KMU war das Netzwerk «flach»: der Leitstand der Werkstatt, die Buchhaltung und der Server mit den Zeichnungen teilten sich denselben Raum, ohne Trennwand. Was der Angreifer an einer Stelle erreicht, erreicht er am Ende überall. Die Verschlüsselung selbst kommt erst zum Schluss — oft nachts oder am Wochenende, um die Überraschung zu maximieren und möglichst wenigen Menschen die Reaktion zu lassen.
Diese unsichtbare Vorbereitungszeit ist auch eine gute Nachricht: Zwischen der präparierten E-Mail und der Sperre vergehen oft Tage, manchmal Wochen. Ein Ransomware-Angriff ist also kein unaufhaltsamer Blitz aus heiterem Himmel, sondern ein Einbruch, der Spuren hinterlässt. Ein KMU, das weiss, wo seine sensiblen Daten liegen, das Werkstatt und Büro getrennt hat und ein Backup ausser Reichweite aus der Ferne hält, macht den Angriff nicht unmöglich — aber deutlich weniger lohnend und oft reparierbar.
Das lehrreichste Detail dieser Fallstudie ist nicht technisch. Der Nachbarbetrieb war nicht nachlässig: Er hatte eine Firewall, ein Antivirenprogramm, Backups, und sein IT-Verantwortlicher hatte das Team bereits sensibilisiert. Gefehlt haben nicht Werkzeuge, sondern deren Erprobung. Eine bekannte Lücke in einer Software war nicht rechtzeitig geschlossen worden. Die Backups existierten, aber niemand hatte je wirklich daraus wiederhergestellt — und sie waren dauerhaft angeschlossen, also ebenfalls verschlüsselt. Was ein KMU, das den Schlag verkraftet, von einem unterscheidet, das untergeht, ist nicht das Budget: Es ist, die richtigen Fragen vorher gestellt zu haben, nicht mittendrin.
Was Sie mitnehmen sollten
Drei Gedanken verdienen es zu bleiben, wenn der Fall des Nachbarn abgeschlossen ist.
Erstens: Ein Ransomware-Angriff trifft die Zuversichtlichen stärker als die Ungeschützten. Ein KMU, das vor zwei Jahren «das Nötige getan» und seither nichts mehr angefasst hat, ist ein bequemeres Ziel, als man denkt. Sicherheit ist kein Kauf, sie ist Unterhalt.
Zweitens: Ein Backup existiert erst wirklich an dem Tag, an dem Sie daraus wiederhergestellt haben. Solange Sie keine Datei aus Ihrem Backup zurückgeholt haben, wissen Sie nicht, ob es funktioniert — Sie hoffen es. Und bleibt es dauerhaft mit dem Netzwerk verbunden, verschlüsselt die Ransomware es mit allem anderen.
Drittens: Der schlechteste Moment zum Improvisieren ist während des Vorfalls. Der Nachbar verlor kostbare Stunden mit der Suche, wen er anrufen sollte, welche Versicherung ihn deckte und ob er etwas melden musste. In der Schweiz kann eine Verletzung des Schutzes von Personendaten dem Eidgenössischen Datenschutzbeauftragten (EDÖB) nach dem revDSG, dem Schweizer Datenschutzgesetz, gemeldet werden müssen — ein Reflex, den man besser in Ruhe entscheidet.
Für Daniel A. lautet die eigentliche Frage also nicht «Bin ich sicher?» — niemand ist es ganz — sondern «Bin ich bereit, den Schlag einzustecken?». Eine bereite Werkstatt ist eine, die in zwei Tagen aus einem sauberen Backup wieder anläuft, statt in Panik ein Lösegeld zu verhandeln, ohne Garantie, überhaupt etwas zurückzubekommen. Der Unterschied hängt selten an einer grossen Investition. Er hängt an ein paar Entscheidungen, in Ruhe an einem Dienstagnachmittag getroffen, bevor das Problem eintritt.
Die Gewohnheiten für diese Woche
Keine dieser Gewohnheiten braucht Budget oder IT-Kenntnisse. Sie brauchen eine Entscheidung.
1. Prüfen Sie, ob ein Backup offline ist — und testen Sie es
Stellen Sie sicher, dass mindestens eine Kopie Ihrer kritischen Daten (Zeichnungen, ERP, Buchhaltung) nach Abschluss des Backups vom Netzwerk getrennt ist: eine ausgesteckte Festplatte, ein Speicher, den die Ransomware nicht erreichen kann, weil er nicht dauerhaft «sichtbar» ist. Machen Sie dann die nützlichste Übung der Woche: Lassen Sie eine einzige Datei aus diesem Backup wiederherstellen. Kommt sie unversehrt zurück, wissen Sie es. Kommt sie nicht zurück, haben Sie gerade eine sehr böse Überraschung vermieden.
2. Schreiben Sie auf ein Blatt Papier, wer wen anruft
Ransomware kappt oft den Zugang zu Ihren E-Mails und internen Verzeichnissen: Am Tag des Vorfalls ist Ihr digitales Adressbuch genau das, was verschwunden ist. Bereiten Sie ein einfaches Blatt vor, gedruckt und ausserhalb des Systems aufbewahrt: wer entscheidet, die Nummer Ihres IT-Verantwortlichen, die Ihrer Versicherung, die des Bundesamts für Cybersicherheit (BACS/NCSC), das KMU berät, und der Hinweis, eine mögliche Meldung an den EDÖB zu prüfen. Ergänzen Sie eine klare Anweisung: Es wird nicht bezahlt und nichts wieder angeschlossen, ohne vorher anzurufen. Am Tag X ist dieses Blatt zehn ausgeklügelte Werkzeuge wert.
3. Verlangsamen Sie dringende Anfragen
Die meisten Angriffe beginnen mit einer Nachricht, die Dringlichkeit erzeugt: eine Rechnung zu begleichen, ein Anhang «noch heute Abend» zu öffnen. Vereinbaren Sie mit dem Team einen einfachen Reflex: Bei einem unerwarteten Anhang oder einem drängenden Link klickt man nicht, sondern prüft über einen anderen Kanal — ein Anruf beim Lieferanten unter seiner bekannten Nummer. Und geben Sie jedem eine Möglichkeit, einen Zweifel zu melden, ohne Angst vor einem Urteil. Ein Mitarbeiter, der es wagt zu sagen «ich habe vielleicht geklickt», verschafft Ihnen entscheidende Zeit: Je früher die Warnung, desto mehr Spielraum bleibt, bevor die Verschlüsselung ausgelöst wird.
Diese drei Gewohnheiten ersetzen keine echte Schutzstrategie, und das ist nicht ihre Aufgabe. Sie tun etwas anderes: Sie verwandeln eine abstrakte Bedrohung in eine Handvoll konkreter Entscheidungen, die Sie diese Woche treffen können, ohne auf das nächste Budget oder die nächste Maschine zu warten. So beginnt oft ein KMU, das am Tag X einsteckt, statt unterzugehen.
Wo stehen Sie wirklich?
Der Nachbarbetrieb hatte nicht weniger Werkzeuge als Sie. Er hatte nur nie in Ruhe geprüft, ob sein Schutz einem echten Ransomware-Angriff standhält. Genau das zeigt eine Selbstbewertung: nicht, ob Sie «sicher» sind, sondern wo Ihre Organisation stabil ist und wo sie auf nie getesteten Gewohnheiten ruht.
Cyber Passport zertifiziert nichts und erklärt Sie nicht für konform. Das Werkzeug führt Sie Frage für Frage durch Ihre Bereitschaft — Backups, Trennung von Werkstatt und Büro, Reaktion auf einen Vorfall — und zeigt Ihnen schwarz auf weiss, worauf Sie Ihre Kraft konzentrieren sollten. Wer weitergehen und einen vollständigen, Schritt-für-Schritt-Plan aufbauen will, findet im Blueprint «Ransomware-Bereitschaft» das Wie: unveränderliche Backups, Segmentierung, ein Reaktionsplan und eine Krisenübung.
