Ransomware-Recovery: 72h-Plan mit 5 Phasen

Hauptartikel: BCM nach NIS2 — der vollständige Pillar-Artikel zum Thema.

Meldefristen und Praxis-Fenster: was wann gilt

Gesetzlich fristgebunden ist bei einem Ransomware-Angriff die Meldekette; die Fünf-Phasen-Gliederung dieses Artikels und ihre Stundenfenster sind Praxisempfehlungen, die Sie an Ihre Prozesse anpassen. Auslöser der Meldepflicht ist ein erheblicher Sicherheitsvorfall im Sinn des § 2 Nr. 11 BSIG (in Österreich § 35 Abs. 1 NISG 2026, anwendbar ab 01.10.2026); Definition und quantitative Kriterien stehen in der FAQ. Die 24- und die 72-Stunden-Frist laufen ab Kenntnis des Vorfalls, nicht ab dessen Beginn; die Monatsfrist knüpft an die 72-Stunden-Meldung an. Adressat ist in Deutschland die gemeinsame Meldestelle von BSI und BBK, in Österreich das zuständige sektorspezifische CSIRT und, wenn es ein solches nicht gibt, das nationale CSIRT, das die Meldung an die Cybersicherheitsbehörde weiterleitet (§ 34 Abs. 1 NISG 2026). Wer meldepflichtig ist, richtet sich nach der Einstufung als besonders wichtige oder wichtige Einrichtung (§ 28 BSIG) beziehungsweise als wesentliche oder wichtige Einrichtung (§ 24 NISG 2026) — die Schwellen stehen in der FAQ.

Die folgende Tabelle nennt ausschließlich gesetzliche Melde- und Berichtspflichten, keine Praxiswerte:

Alle Angaben zu Österreich in diesem Artikel — die Tabellenspalte ebenso wie die Phasen 1 bis 5 — greifen erst ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026 (§ 51 Abs. 1 und 2 NISG 2026); das Gesetz ist seit dem 23.12.2025 kundgemacht (BGBl. I Nr. 94/2025). Art. 33 DSGVO gilt in beiden Ländern unabhängig davon. Verhängt eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein Bußgeld nach der DSGVO, ist in Deutschland eine zusätzliche Geldbuße nach dem BSIG ausgeschlossen (§ 65 Abs. 11 BSIG).

Phase 1: Erkennung (0-2h)

In den ersten zwei Stunden fallen zwei Entscheidungen: Liegt ein Sicherheitsvorfall vor — und wer führt ab jetzt? Trigger: Endpoint-Alert, Backup-Failure, User-Report. Hinzu kommt die Vorfallsmeldung eines Dienstleisters; Cybersecurity-Vertragsklauseln zur Lieferkettensicherheit (§ 30 Abs. 2 Nr. 4 BSIG) sehen dafür in der Praxis maximal 24 Stunden vor. Krisenstab aktivieren: Die Rollen dafür stehen im Krisenmanagement-Plan, den der Pflichtbereich „Aufrechterhaltung des Betriebs" verlangt (§ 30 Abs. 2 Nr. 3 BSIG, in Österreich § 32 Abs. 4 lit. c NISG 2026). Erste Eindämmung: Netzwerk-Segment isolieren, betroffene Systeme offline. Dokumentieren Sie in dieser Phase den Zeitstempel der Kenntnisnahme — er ist der Fristbeginn für die 24-Stunden-Meldung (§ 32 Abs. 1 Nr. 1 BSIG); die Frist des Art. 33 Abs. 1 DSGVO läuft gesondert ab dem Bekanntwerden der Verletzung des Schutzes personenbezogener Daten. Die Geschäftsleitung gehört von Beginn an in den Verteiler: Umsetzung und Überwachung der Risikomanagementmaßnahmen trifft sie in Deutschland nach § 38 Abs. 1 BSIG selbst, die Verantwortung ist nicht delegierbar; in Österreich hat sie die Einhaltung nach § 31 Abs. 1 NISG 2026 sicherzustellen und zu beaufsichtigen. Das Zwei-Stunden-Fenster ist eine Praxisempfehlung; gesetzlich maßgeblich ist der Zeitpunkt der Kenntnis.

Phase 2: Eindämmung + BSI-Meldung (2-24h)

Bis Stunde 24 muss die frühe Erstmeldung heraus — in Deutschland an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 Nr. 1 BSIG), in Österreich als Frühwarnung an das zuständige CSIRT (§ 34 Abs. 2 Z 1 NISG 2026). Inhalt der deutschen Erstmeldung ist unter anderem die Angabe, ob der Verdacht auf eine rechtswidrige oder böswillige Handlung besteht oder grenzüberschreitende Auswirkungen möglich sind — beides ist bei einer Erpressungssoftware früh zu prüfen. Die Erstmeldung ist keine Vollanalyse: Sie wird in der 72-Stunden-Meldung bestätigt und aktualisiert (§ 32 Abs. 1 Nr. 2 BSIG). Parallel läuft die datenschutzrechtliche Spur: Wenn personenbezogene Daten betroffen sind, ist die Verletzung unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen nicht unwahrscheinlich ist (Art. 33 Abs. 1 DSGVO); erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen. Forensik startet Imaging — vor dem Neuaufsetzen, sonst fehlen später die Belege für Ursache und Umfang, die in die Abschlussmeldung gehören. Externe Forensik-Firma einschalten (etwa Mandiant oder Crowdstrike) — entscheidbar wird die Auswahl über drei Kriterien: vertraglich zugesagte Reaktionszeit rund um die Uhr, dokumentierte Beweissicherung mit Imaging-Protokoll und Referenzen aus Ihrem Sektor; den Rechtsbeistand mandatieren Sie getrennt, nicht über denselben Vertrag. Praxisempfehlung: Meldung und Forensik-Beauftragung parallel führen, nicht nacheinander, und die zweite Eindämmungsstufe in dieses Fenster legen — Passwörter der Domain-Administratoren und der Service-Accounts zurücksetzen, VPN- und Fernwartungszugänge sperren, Backup-Repositories vom Netz trennen; die Erst-Isolation der betroffenen Systeme ist in Phase 1 bereits erfolgt.

Phase 3: Forensik + Bewertung (24-48h)

Zwischen Stunde 24 und 48 entsteht die Faktenbasis für die 72-Stunden-Meldung. Diese verlangt in Deutschland eine erste Bewertung mit Schweregrad, Auswirkungen und, soweit vorhanden, Kompromittierungsindikatoren (§ 32 Abs. 1 Nr. 2 BSIG); in Österreich gilt dasselbe Schema nach § 34 Abs. 2 Z 2 NISG 2026. Ransomware-Stamm identifizieren (z.B. LockBit, BlackCat). Datenexfiltration prüfen: Das Ergebnis entscheidet nicht nur über die Aufsichtsmeldung, sondern auch darüber, ob betroffene Personen nach Art. 34 Abs. 1 DSGVO zu benachrichtigen sind — nämlich dann, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat. Einstiegs-Schwachstelle finden: Ohne sie wiederholt sich der Vorfall nach dem Restore. Lösegeld-Forderungen NICHT zahlen (BSI-Empfehlung). Praxisempfehlung: Bewertungsergebnis und Begründung schriftlich festhalten, auch die Entscheidung, dass ein Kriterium nicht erfüllt ist — die Abschlussmeldung fragt später nach Bedrohungsart und Ursache, und die Aufsicht kann jederzeit eine Zwischenmeldung verlangen (§ 32 Abs. 1 Nr. 3 BSIG).

Phase 4: Recovery (48-72h)

Die Wiederherstellung startet erst, wenn Einstiegsweg und betroffene Systeme bekannt sind — sonst holt der Restore die Verschlüsselung zurück. Restore aus immutable Backup. Gesetzlich verlangt ist der Pflichtbereich Aufrechterhaltung des Betriebs mit Backup-Management und Wiederherstellung nach einem Notfall (§ 30 Abs. 2 Nr. 3 BSIG, in Österreich § 32 Abs. 4 lit. c NISG 2026); Praxisstandard für die Backup-Strategie ist das 3-2-1-Prinzip oder ein gleichwertiger Ansatz. Gesetzlich verlangt ist daneben der Pflichtbereich Kryptografie und Verschlüsselung (§ 30 Abs. 2 Nr. 8 BSIG, in Österreich § 32 Abs. 4 lit. h NISG 2026); Praxisstandard für Daten at Rest ist AES-256 für Datenträger und Backups. Komplett-Reinstallation aller potenziell kompromittierten Systeme. Re-Connection erst nach Forensik-Freigabe. Patch + Härtung gegen identifizierte Schwachstelle, dokumentiert im Schwachstellenmanagement-Prozess (Pflichtbereich Sicherheit beim Erwerb, Entwickeln und Warten, § 30 Abs. 2 Nr. 5 BSIG). Die 72 Stunden für kritische Systeme sind ein Praxis-Zielwert. Verbindlich für Ihr Haus ist, was der Business Continuity Plan als Recovery-Time-Objective und Recovery-Point-Objective je Geschäftsprozess festlegt — das Recovery-Point-Objective benennt den maximal tolerierten Datenverlust, also den Abstand zwischen zwei Sicherungen, und legt damit fest, auf welchen Stand Sie beim Restore zurückfallen; die Prüffrage lautet, ob dieser Abstand je Geschäftsprozess dokumentiert und getestet ist. Praxisempfehlung: Admin-Zugänge und externe Zugänge vor dem Wiederanschluss auf Multi-Faktor-Authentifizierung umstellen — sie ist in Deutschland eigener Pflichtbereich (§ 30 Abs. 2 Nr. 10 BSIG) und in Österreich Teil des Katalogs des § 32 Abs. 4 NISG 2026.

Phase 5: Lessons Learned (Wochen 2-4)

In den Wochen 2 bis 4 läuft die letzte gesetzliche Frist: die Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung (§ 32 Abs. 1 Nr. 4 BSIG; in Österreich der Abschlussbericht nach § 34 Abs. 2 Z 4 NISG 2026). Sie enthält eine ausführliche Beschreibung, Bedrohungsart und Ursache, die getroffenen und laufenden Abhilfemaßnahmen und gegebenenfalls grenzüberschreitende Auswirkungen. Dauert der Vorfall noch an, tritt an ihre Stelle zunächst eine Fortschrittsmeldung; die Abschlussmeldung folgt nach abschließender Bearbeitung (§ 32 Abs. 2 BSIG, in Österreich § 34 Abs. 2 Z 5 NISG 2026). Post-Incident-Review-Workshop, Maßnahmen-Plan, Update des Incident Response Plans: Die Erkenntnisse gehören in dieselben Dokumente, aus denen die Abschlussmeldung gespeist wird. ISO-27001-Update: Ein bestehendes ISMS deckt große Teile des § 30 BSIG ab; gesondert nachzuziehen sind typischerweise die Meldepflichten 24h/72h/30d (§ 32 BSIG), die Lieferketten-Sorgfalt nach § 30 Abs. 2 Nr. 4 BSIG, die Geschäftsleitungspflichten des § 38 BSIG und sektorale Spezifika. Schulung verstärken — Cyberhygiene und Schulungen sind ein eigener Pflichtbereich (§ 30 Abs. 2 Nr. 7 BSIG, § 32 Abs. 4 lit. g NISG 2026), und die Geschäftsleitung muss regelmäßig selbst an Schulungen teilnehmen (§ 38 Abs. 3 BSIG, § 31 Abs. 2 NISG 2026). Praxisempfehlung: Recovery-Time als KPI in das quartalsweise Reporting an die Geschäftsleitung aufnehmen — das zahlt zugleich auf die Wirksamkeitsbewertung ein (§ 30 Abs. 2 Nr. 6 BSIG).

Was der 72h-Plan voraussetzt

Ein 72-Stunden-Plan trägt nur, wenn vier Dinge vor dem Vorfall stehen: getestete Backups, ein Business Continuity Plan mit RTO/RPO je Geschäftsprozess, ein Krisenmanagement-Plan mit benannten Rollen und aktuelle Kontaktdaten bei der Aufsicht. § 30 Abs. 2 Nr. 3 BSIG (in Österreich § 32 Abs. 4 lit. c NISG 2026) verlangt Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement; die Ausgestaltung ist risikobasiert. Praxisstandard dafür: Backup-Strategie nach dem 3-2-1-Prinzip oder gleichwertig, Disaster Recovery Plan mit getesteter Wiederherstellungsroutine, Krisenmanagement-Plan samt interner und externer Kommunikation. Der vierte Punkt ist Formsache mit Folgen: In Deutschland sind im Zuge der Registrierung nach § 33 Abs. 1 BSIG — praktisch über das Portal „Mein Unternehmenskonto“ — Name, Anschrift und aktuelle Kontaktdaten einschließlich E-Mail, öffentlicher IP-Adressbereiche und Telefonnummern zu übermitteln; die Registrierung ist spätestens drei Monate nach Eintritt der Einrichtungseigenschaft vorzunehmen, und das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. Änderungen sind unverzüglich, spätestens binnen zwei Wochen nachzumelden (§ 33 Abs. 5 BSIG). In Österreich erfolgt die Registrierung bei der Cybersicherheitsbehörde binnen drei Monaten ab Inkrafttreten des NISG 2026 am 01.10.2026, also bis Ende 2026 (§ 29 Abs. 2 und 3 NISG 2026). Praxisempfehlung: Tabletop-Übung quartalsweise, in vier Stunden durchführbar — 60 Minuten Szenario und Detektion bis zum dokumentierten Zeitstempel der Kenntnisnahme, 60 Minuten Meldeentscheidung anhand der vorbereiteten Meldevorlagen für 24h/72h/30d, 60 Minuten Recovery-Entscheidungen (Restore-Reihenfolge, Freigabe durch die Forensik), 60 Minuten Auswertung mit Maßnahmenliste und Terminen. Die vorbereiteten Vorlagen sind der Kern der Übung: Im Ernstfall darf nicht die Formulierung die Frist verbrauchen.