Weniger als zwei Stunden später sind die betroffenen Systeme isoliert, unser Notfallplan ist aktiviert und die forensische Analyse läuft bereits. Während der eigentliche Angriff nur kurze Zeit dauerte, beschäftigten uns seine Folgen fast drei Wochen lang.

Die wichtigste gute Nachricht war, dass unsere produktiven Kundensysteme während des gesamten Vorfalls weiterliefen. Nach Abschluss der forensischen Aufarbeitung gab es keine Hinweise darauf, dass Kundendaten, Quellcode oder Produktionsdatenbanken betroffen waren. Trotzdem befand sich unser Unternehmen fast drei Wochen im Krisenmodus, in dem technische, organisatorische und rechtliche Herausforderungen gleichzeitig bewältigt werden mussten.

Heute teilen wir diesen Vorfall bewusst mit der Öffentlichkeit. Nicht als makellose Erfolgsstory, sondern als ehrliche Rückschau auf einen Angriff, der uns gezeigt hat, dass auch Unternehmen mit umfassender Sicherheitskompetenz Schwachstellen haben und Fehler machen können.

Entscheidend ist deshalb nicht, fehlerfrei zu sein, sondern auf den Ernstfall vorbereitet zu sein. Eine gute Vorbereitung kann die Ausbreitung eines Angriffs begrenzen, den Schaden reduzieren und dazu beitragen, dass ein Unternehmen auch während einer Krise handlungsfähig bleibt. Ebenso wichtig ist es, den Vorfall anschliessend ehrlich aufzuarbeiten und aus den gewonnenen Erkenntnissen zu lernen.

Die ersten 120 Minuten

Während die Angreifer noch telefonisch versuchen, Druck auf unsere Mitarbeitenden auszuüben, laufen bei uns bereits die ersten Sofortmassnahmen an. Alle relevanten Mitarbeitenden werden in einer Online-Konferenz zusammengebracht, der bestehende Notfallplan wird aktiviert und die Verantwortlichkeiten für Forensik, technische Wiederherstellung, rechtliche Abklärungen und Kommunikation werden verteilt.

Gleichzeitig beginnen unsere technischen Teams damit, Teile der Infrastruktur kontrolliert herunterzufahren und betroffene Systeme konsequent vom Netzwerk zu trennen. Die forensische Erstanalyse wird eingeleitet, während parallel die nächsten Schritte zur Eindämmung des Angriffs koordiniert werden.

In einer solchen Situation bleibt kaum Zeit für lange Grundsatzdiskussionen. Innerhalb kürzester Zeit muss entschieden werden, welche Systeme abgeschaltet werden, wer die technischen Massnahmen dokumentiert und wer die Kommunikation mit Mitarbeitenden, Kunden und externen Stellen übernimmt. Gleichzeitig müssen mögliche Melde- und Informationspflichten geprüft sowie die Zusammenarbeit mit forensischen und rechtlichen Spezialisten organisiert werden.

Viele dieser Fragen wirken im normalen Geschäftsalltag selbstverständlich, bis sie unter erheblichem Zeitdruck beantwortet werden müssen. Dass die entsprechenden Rollen und Zuständigkeiten bei uns grundsätzlich bereits geklärt waren, konnte den Angriff zwar nicht verhindern, sorgte aber dafür, dass neben dem technischen Vorfall nicht auch noch organisatorisches Chaos entstand.

Montag: Die Kundenservices laufen, intern ist vieles blockiert

Die wichtigste Entlastung zeigt sich bereits am darauffolgenden Montag: Unsere produktiven Kundensysteme laufen weiterhin stabil. Die SaaS-Plattformen funktionieren und nach dem damaligen Kenntnisstand gibt es keine Hinweise darauf, dass die produktive Umgebung durch den Angriff beeinträchtigt wurde.

Dass die Kundenservices weiterhin verfügbar sind, ist kein Zufall, sondern das Ergebnis einer bewusst gewählten Sicherheitsarchitektur. Unsere produktiven und administrativen Systeme sind konsequent voneinander getrennt. Intern bezeichnen wir diesen Ansatz als unser «U-Boot-Prinzip», bei dem technische Schotten verhindern sollen, dass sich ein Sicherheitsvorfall ungehindert von einem Bereich auf andere Teile der Infrastruktur ausbreitet.

Diese Trennung hat sich während des Angriffs als besonders wertvoll erwiesen. Trotzdem waren die Auswirkungen auf unseren internen Arbeitsalltag erheblich. Administrative Systeme standen nur eingeschränkt zur Verfügung, verschiedene interne Abläufe mussten provisorisch organisiert werden und gleichzeitig liefen die technische Analyse, rechtliche Abklärungen sowie die Kommunikation mit Kunden und Mitarbeitenden auf Hochtouren.

Der Vorfall hat uns deutlich gezeigt, dass ein Cyberangriff selbst dann einen beträchtlichen Teil des Unternehmens belasten kann, wenn die eigentlichen Kundenservices weiterhin funktionieren. Die Verfügbarkeit produktiver Systeme bedeutet noch lange nicht, dass auch der restliche Geschäftsbetrieb ungestört weiterlaufen kann.

Prävention bleibt das Ziel. Resilienz entscheidet, wenn Prävention an einer Stelle versagt. Eine durchdachte Sicherheitsarchitektur muss deshalb nicht nur darauf ausgerichtet sein, Angriffe zu verhindern, sondern auch darauf, ihre Auswirkungen im Ernstfall möglichst wirksam zu begrenzen.

Die schwierigste Frage: Welchen Systemen können wir noch vertrauen?

Ein betroffenes System lässt sich unter Umständen relativ schnell aus einem vorhandenen Backup wiederherstellen. Wesentlich schwieriger ist jedoch die Frage, ob dieses System anschliessend tatsächlich wieder sicher eingesetzt werden kann.

Während der Wiederherstellung mussten wir deshalb nicht nur überprüfen, welche Daten und Systeme betroffen waren, sondern auch, ob Benutzerkonten kompromittiert, zusätzliche Zugänge eingerichtet oder Berechtigungen unbemerkt verändert worden waren. Erst wenn solche Fragen ausreichend geklärt sind, lässt sich verantwortungsvoll entscheiden, welche Systeme wieder mit dem Netzwerk verbunden und für den regulären Betrieb freigegeben werden können.

Genau darin liegt eine häufig unterschätzte Herausforderung nach einem Cyberangriff. Eine erfolgreiche Datenwiederherstellung bedeutet noch nicht, dass die ursprüngliche Sicherheit der IT-Infrastruktur wiederhergestellt ist. Dafür braucht es eine gründliche technische Überprüfung und gegebenenfalls den vollständigen Neuaufbau einzelner Systeme.

Das Einfallstor war ein unscheinbares Peripheriegerät

Unsere forensische Analyse zeigte, dass eine Schwachstelle in einem peripheren Netzwerkgerät als erstes Einfallstor für die Angreifer diente. Von dort aus gelang es ihnen, sich innerhalb des administrativen Umfelds weiterzubewegen und zusätzliche Berechtigungen zu erlangen.

Diese Erkenntnis war für uns besonders wichtig, weil sie verdeutlichte, wie gross die tatsächliche Angriffsfläche eines Unternehmens sein kann. Bei der Absicherung der IT-Infrastruktur stehen häufig Server, Arbeitsplatzrechner und Firewalls im Mittelpunkt. Dabei wird leicht übersehen, dass auch weniger auffällige Netzwerkgeräte über eigene Software, Benutzerkonten und Netzwerkzugriffe verfügen.

Werden solche Geräte nicht regelmässig aktualisiert, ausreichend segmentiert und konsequent überwacht, können sie zum Ausgangspunkt eines wesentlich grösseren Sicherheitsvorfalls werden. Unser Angriff zeigte damit deutlich, dass eine Sicherheitsarchitektur immer auch die vermeintlich unbedeutenden Komponenten berücksichtigen muss.

Datenabfluss im administrativen Bereich, Kundensysteme liefen weiter

Im Zuge des Angriffs kam es zu einem Datenabfluss aus unserem administrativen Bereich. Betroffen waren interne Unternehmens- und Mitarbeiterdaten, weshalb der Vorfall keineswegs folgenlos blieb, auch wenn unsere produktiven Kundensysteme weiterhin verfügbar waren.

Nach Abschluss der forensischen Aufarbeitung fanden sich keine Hinweise darauf, dass die produktive Umgebung oder Kundendaten kompromittiert wurden. Diese Unterscheidung war sowohl für unsere interne Bewertung als auch für die externe Kommunikation von grosser Bedeutung.

Von aussen bleibt nach einem Cyberangriff häufig nur die vereinfachte Aussage hängen, dass ein Unternehmen gehackt wurde. Tatsächlich können die technischen und geschäftlichen Auswirkungen jedoch sehr unterschiedlich ausfallen. Es macht einen erheblichen Unterschied, ob administrative Systeme betroffen sind oder ob Angreifer Zugriff auf produktive Kundenumgebungen erhalten.

Wir entschieden uns deshalb, Kunden und Mitarbeitende frühzeitig und transparent über den Vorfall zu informieren. Dabei kommunizierten wir, welche Bereiche nach dem jeweiligen Kenntnisstand betroffen waren, für welche Systeme keine Hinweise auf eine Kompromittierung vorlagen und welche Massnahmen zur Eindämmung und Aufarbeitung bereits eingeleitet worden waren.

Diese Offenheit war nicht immer angenehm, aber notwendig. Anstatt Unsicherheiten durch unvollständige Informationen weiter zu verstärken, wollten wir eine möglichst sachliche und nachvollziehbare Grundlage schaffen, auf der unsere Kunden und Mitarbeitenden die Situation beurteilen konnten.

Warum die Wiederherstellung fast drei Wochen dauerte

Unsere Backups funktionierten und die betroffenen Daten lagen verschlüsselt sowie logisch und räumlich getrennt vor. Die eigentliche Wiederherstellung der Daten stellte deshalb nicht die grösste Herausforderung dar.

Der wesentlich aufwendigere Teil bestand darin, die betroffene Infrastruktur gründlich zu bereinigen und sicherzustellen, dass die Systeme anschliessend wieder vertrauenswürdig betrieben werden konnten. Dafür wurden betroffene Systeme neu aufgebaut oder aus geprüften Backups wiederhergestellt und vor ihrer erneuten Inbetriebnahme zusätzlich abgesichert.

Parallel dazu überprüften wir kritische Authentifizierungs- und Zugriffsstrukturen, von denen einzelne Teile neu aufgebaut werden mussten. Ausserdem wurden sämtliche Passwörter vorsorglich neu vergeben, um mögliche Risiken durch kompromittierte Zugangsdaten zu reduzieren.

Gerade dieser Passwortwechsel entwickelte sich zu einer organisatorischen Herausforderung, die im normalen Geschäftsalltag häufig unterschätzt wird. Damit ein Unternehmen nach einem Angriff sämtliche relevanten Zugangsdaten zuverlässig austauschen kann, muss bekannt sein, welche Benutzerkonten existieren, wer dafür verantwortlich ist und welche Systeme voneinander abhängen.

Besonders vergessene Administrationskonten oder Service-Accounts können eine solche Bereinigung unnötig erschweren. Fehlt eine vollständige Übersicht über diese Zugänge, steigt nicht nur der Aufwand, sondern auch das Risiko, dass einzelne kompromittierte Berechtigungen unbemerkt bestehen bleiben.

Die fast dreiwöchige Wiederherstellungsphase machte uns deutlich, dass funktionierende Backups zwar eine unverzichtbare Voraussetzung sind, für sich allein jedoch noch keine schnelle und sichere Rückkehr zum Normalbetrieb garantieren.

Sechs Entscheidungen, die den Schaden begrenzten

Rückblickend waren es vor allem sechs Entscheidungen und vorbereitete Massnahmen, die uns während des Angriffs geholfen haben, die Auswirkungen zu begrenzen und den Betrieb schrittweise wiederherzustellen.

1. Konsequente Segmentierung

Die strikte Trennung zwischen administrativen und produktiven Systemen begrenzte die Ausbreitung des Angriffs und verhinderte, dass sich die Auswirkungen ungehindert auf unsere gesamte Infrastruktur erstreckten. Für die produktiven Kundensysteme ergaben sich im Rahmen der forensischen Untersuchung keine Hinweise auf eine Kompromittierung.

2. Getrennte und funktionierende Backups

Unsere Datensicherungen waren logisch und räumlich von den betroffenen Systemen getrennt, verschlüsselt und tatsächlich wiederherstellbar. Dadurch verfügten wir über eine verlässliche Grundlage für den Wiederaufbau der Infrastruktur, ohne von einer möglichen Lösegeldzahlung abhängig zu sein.

3. Klare Zuständigkeiten

Durch die bereits definierten Verantwortlichkeiten konnten technische Wiederherstellung, forensische Untersuchungen, Datenschutzabklärungen und Kommunikation parallel organisiert werden. Diese Vorbereitung sparte wertvolle Zeit und reduzierte das Risiko, dass wichtige Entscheidungen in der Hektik der ersten Stunden liegen blieben.

4. Proaktive Kommunikation

Anstatt zunächst alle Untersuchungsergebnisse abzuwarten, informierten wir unsere Kunden und Mitarbeitenden frühzeitig über die bekannten Auswirkungen des Vorfalls. Dabei war uns wichtig, ausschliesslich gesicherte Erkenntnisse zu kommunizieren und klar zwischen bestätigten Informationen und noch offenen Fragen zu unterscheiden.

5. Handlungsfähigkeit ohne Lösegeldzahlung

Die intakten Backups und die konsequente Trennung der produktiven Umgebung ermöglichten es uns, die Wiederherstellung eigenständig und ohne Lösegeldzahlung voranzutreiben. Entscheidend war dabei, dass wir auf vorhandene technische und organisatorische Massnahmen zurückgreifen konnten.

6. Unterstützung durch externe Spezialisten

Für die forensische Analyse und die datenschutzrechtliche Einordnung zogen wir externe Spezialisten und Datenschutzberater hinzu. Ihre Erfahrung half uns, den Vorfall strukturiert aufzuarbeiten und wichtige Entscheidungen auf einer fundierten Grundlage zu treffen. Gerade in einer akuten Krise sollte ein Unternehmen nicht erst beginnen müssen, grundlegende Vorgehensweisen durch «Learning by Doing» zu entwickeln.

Was wir unterschätzt hatten und heute anders machen

Der Angriff zeigte uns nicht nur, welche Sicherheitsmassnahmen funktioniert hatten, sondern machte auch bestehende Schwachstellen sichtbar. Besonders die Absicherung peripherer Netzwerkgeräte und die Überwachung administrativer Bereiche hatten wir in ihrer Bedeutung unterschätzt.

Aus diesen Erkenntnissen haben wir konkrete Konsequenzen gezogen. Seit dem Vorfall überprüfen wir die Segmentierung unserer Infrastruktur, bestehende Berechtigungen, Patchstände und Monitoring-Prozesse noch konsequenter. Mittlerweile setzen wir dabei auch KI-gestützte Verfahren ein, um unsere Sicherheitsüberwachung weiterzuentwickeln.

Diese Veränderungen sind jedoch kein einmaliges Projekt, das irgendwann vollständig abgeschlossen werden kann. Eine IT-Infrastruktur verändert sich laufend, neue Schwachstellen entstehen und Angreifer entwickeln ihre Methoden kontinuierlich weiter. Deshalb müssen auch Sicherheitskonzepte regelmässig überprüft und an neue Anforderungen angepasst werden.

Unser Vorfall hat uns vor allem darin bestätigt, dass sich Sicherheitslücken und menschliche Fehler niemals vollständig ausschliessen lassen. Umso wichtiger ist es, bereits im Voraus die technischen und organisatorischen Voraussetzungen zu schaffen, mit denen sich ein Angriff eindämmen und seine Folgen bewältigen lassen.

Dazu gehören eine durchdachte Sicherheitsarchitektur, klar geregelte Verantwortlichkeiten, funktionierende Schutzmechanismen und die Bereitschaft, bestehende Abläufe kritisch zu hinterfragen. Ebenso entscheidend ist es, einen Vorfall anschliessend offen aufzuarbeiten und die gewonnenen Erkenntnisse konsequent in die weitere Sicherheitsstrategie einfliessen zu lassen.

Vorbereitung entscheidet, bevor der Ernstfall eintritt

Ein Cyberangriff ist nicht automatisch beendet, sobald ein kompromittierter Server abgeschaltet oder ein Backup erfolgreich eingespielt wurde. Die eigentliche Bewältigung ist erst abgeschlossen, wenn die betroffenen Systeme wieder vertrauenswürdig funktionieren, kritische Zugänge überprüft und bereinigt wurden und Mitarbeitende sowie Kunden belastbare Antworten auf ihre Fragen erhalten haben.

Unsere Erfahrungen haben gezeigt, dass Cybersecurity weit über die rein technische Absicherung von Systemen hinausgeht. Sie betrifft die Betriebssicherheit eines Unternehmens ebenso wie organisatorische Verantwortlichkeiten, transparente Kommunikation und die Fähigkeit der Unternehmensführung, auch unter erheblichem Druck fundierte Entscheidungen zu treffen.

Für Unternehmen stellt sich deshalb eine entscheidende Frage: Wären Sie heute in der Lage, einen Teil Ihrer IT-Infrastruktur kurzfristig zu isolieren, aus sicheren Backups wiederherzustellen und gleichzeitig den Geschäftsbetrieb aufrechtzuerhalten, ohne zunächst klären zu müssen, wer welche Entscheidungen trifft und welche Massnahmen erforderlich sind?

Wir mussten diese Frage unter realen Bedingungen beantworten und haben dabei erfahren, wie wertvoll eine gute Vorbereitung ist.

Ich wünsche jedem Unternehmen, dass es die Antwort auf diese Frage findet, bevor es sie unter realem Druck braucht.