Digitale Erpressung in der Schweiz: Beweise sichern und Meldepflichten prüfen

Wenn Dateien plötzlich unlesbar werden und eine Lösegeldforderung erscheint, zählt eine geordnete Reaktion. Zuerst müssen betroffene Systeme isoliert, Sicherungskopien geschützt und fachkundige Hilfe organisiert werden.

Ransomware verschlüsselt Daten oder blockiert Systeme. Häufig drohen die Täter zusätzlich damit, zuvor gestohlene Informationen zu veröffentlichen. Die ersten Massnahmen sollen weitere Schäden begrenzen und zugleich die spätere Untersuchung ermöglichen. Für Privatpersonen und Betriebe gelten dabei ähnliche Grundsätze, während Zuständigkeiten und Meldepflichten unterschiedlich ausfallen.

Den Verdacht ernst nehmen und die Lage festhalten

Eine Erpressernachricht, veränderte Dateiendungen und gleichzeitig nicht mehr zugängliche Dokumente sind deutliche Warnzeichen. Ein langsamer Computer allein beweist dagegen keinen Ransomware-Befall. Auch eine einzelne Meldung im Browser kann eine gefälschte Warnung sein. Die sichtbaren Hinweise werden dokumentiert, ohne Links der Täter aufzurufen oder angebotene Programme auszuführen.

Ein Foto des Bildschirms mit einem separaten Gerät hält den Wortlaut fest, ohne weitere Arbeit am verdächtigen Computer zu verlangen. Wichtig sind Zeitpunkt, Gerätename, Benutzerkonto und die zuletzt beobachteten Vorgänge. Bei mehreren betroffenen Rechnern werden die Beobachtungen zusammengeführt. Es geht zunächst darum, den Vorfall nachvollziehbar zu beschreiben, nicht bereits den Täter oder das Einfallstor zu bestimmen.

Für die erste Bestandsaufnahme reicht eine kurze Liste: Welche Geräte zeigen Auffälligkeiten, welche Anwendungen sind nicht erreichbar und welche Sicherungsmedien waren angeschlossen? Dabei bleiben bestätigte Befunde und offene Vermutungen getrennt. Ein nicht erreichbarer Ordner kann beispielsweise auf einen betroffenen Dateiserver zurückgehen, ohne dass jeder darauf zugreifende Arbeitsplatz selbst infiziert ist. Diese Unterscheidung muss die technische Prüfung klären.

Beschäftigte melden den Verdacht sofort an die zuständige IT-Stelle beziehungsweise den festgelegten Notfallkontakt. Ein kurzer Hinweis sollte benennen, was auf welchem Gerät passiert ist und welche Verbindungen bereits getrennt wurden. Eigene Reparaturversuche können die Lage verändern und die Untersuchung erschweren. Eine vermeintlich beruhigende Erklärung wird erst nach fachlicher Prüfung übernommen.

Verbindungen trennen und die Ausbreitung begrenzen

Ein verdächtiger Computer wird umgehend vom Netz isoliert: Netzwerkkabel entfernen, WLAN ausschalten und gegebenenfalls mobile Netzwerkverbindungen unterbrechen. Ein VPN allein zu beenden genügt nicht, solange das Gerät weiterhin im lokalen Netzwerk erreichbar ist. Externe Sicherungsmedien dürfen nicht neu angeschlossen werden. Die Trennung verhindert allerdings nicht automatisch eine bereits laufende Verschlüsselung auf dem Gerät.

In Betrieben übernimmt die IT die koordinierte Isolation weiterer Systeme. Dazu kann gehören, betroffene Netzwerkbereiche, Fernzugänge oder kompromittierte Konten zu sperren. Welche Massnahme angemessen ist, hängt vom erkennbaren Umfang und von den betrieblichen Abhängigkeiten ab. Einzelne Beschäftigte sollten weder wahllos Server ausschalten noch eigenmächtig die gesamte Netzwerktechnik verändern.

Besonders gefährdet sind erreichbare Dateifreigaben und Sicherungssysteme. Deshalb werden Backups frühzeitig gegen weitere Zugriffe geschützt. Bereits getrennte Medien bleiben getrennt, bis ein sicherer Prüf- und Wiederherstellungsweg feststeht. Ein unangetastetes Backup an den infizierten Rechner anzuschliessen, kann die letzte brauchbare Kopie gefährden.

Ausschalten und Beweissicherung bewusst abwägen

Ein pauschaler Rat, jedes Gerät sofort auszuschalten, greift zu kurz. Beim Abschalten gehen flüchtige Informationen aus dem Arbeitsspeicher verloren, die für die Untersuchung wertvoll sein können. Gleichzeitig kann ein eingeschaltetes System lokal weiter Dateien verschlüsseln. Deshalb wird möglichst rasch eine Fachperson hinzugezogen, die Schadenbegrenzung und Beweissicherung gegeneinander abwägt.

Die US-Cybersicherheitsbehörde CISA empfiehlt insbesondere dann das Ausschalten, wenn sich ein betroffenes Gerät nicht vom Netzwerk trennen lässt. Auch bei erkennbar fortlaufender lokaler Verschlüsselung muss die verantwortliche Fachperson über ein Stoppen entscheiden. Die Sicherung flüchtiger Daten darf nicht zum Vorwand werden, eine ungebremste Ausbreitung hinzunehmen. Jede Massnahme und ihr Zeitpunkt werden festgehalten.

In einer vorbereiteten Organisation hilft eine Notfallanweisung, diese Entscheidung schnell zu treffen. Sie legt fest, wer Geräte isoliert, wer die technischen Eingriffe verantwortet und wie Unterstützung erreichbar ist. Fehlt eine solche Regelung, haben rasche Isolation und fachkundige Hilfe Vorrang vor experimentellen Rettungsversuchen. Neustarts, Bereinigungsprogramme und Neuinstallationen erfolgen nicht ungeplant.

Von einem sauberen Gerät aus Hilfe organisieren

Für Telefonate, Recherche und die Abstimmung mit dem Sicherheitsdienstleister werden unabhängige Kommunikationswege genutzt. Ein möglicherweise kompromittiertes Firmenpostfach eignet sich nicht als vertraulicher Kanal für sämtliche Gegenmassnahmen. Telefonnummern werden aus bekannten Unterlagen oder selbst aufgerufenen offiziellen Seiten entnommen. Kontaktdaten aus der Erpressernachricht sind dafür ungeeignet.

In einem Betrieb braucht es eine Person, die Entscheidungen bündelt. IT, Geschäftsleitung, Datenschutzverantwortliche und gegebenenfalls externe Fachleute erhalten klare Aufgaben. Eine gemeinsame Zeitleiste hält Beobachtungen, Eingriffe und offene Fragen fest. Das reduziert widersprüchliche Änderungen und verhindert, dass wichtige Schritte zwischen mehreren Zuständigen verloren gehen.

Für den laufenden Betrieb wird festgelegt, welche Aufgaben vorübergehend ohne die betroffenen Systeme erledigt werden können. Dabei werden keine vertraulichen Daten spontan auf private Postfächer oder unfreigegebene Speicherdienste verlagert. Eine Ausweichlösung braucht ebenfalls klare Zugriffsrechte und eine Dokumentation. Sonst entsteht während der Schadenbegrenzung ein zweites Problem bei Datenschutz und Datenqualität.

Privatpersonen wenden sich an eine vertrauenswürdige IT-Fachperson und erstatten Anzeige bei der Polizei. Bei einem geschäftlichen Vorfall werden frühzeitig spezialisierte Vorfallhelfer und die zuständige Kantonspolizei einbezogen. Besteht eine Cyberversicherung, sind die vereinbarten Meldewege und Unterstützungsleistungen zu prüfen. Eine Meldung an das Bundesamt für Cybersicherheit ersetzt die Strafanzeige nicht.

Beweise sichern, ohne Originale zu verändern

Erpressernachrichten, verdächtige E-Mails und ausgewählte verschlüsselte Dateien können bei der Identifikation helfen. In Unternehmen kommen Protokolle von Endgeräten, Servern, Fernzugängen und Sicherheitslösungen hinzu. Die fachgerechte Sicherung erfolgt möglichst vor Reparaturversuchen. Dabei wird dokumentiert, wer welche Daten wann und von welchem System übernommen hat.

Originaldateien werden nicht umbenannt oder mit beliebigen Entschlüsselungsprogrammen überschrieben. Für Untersuchungen und spätere Rettungsversuche werden gesicherte Kopien verwendet. Auch verschlüsselte Daten können aufbewahrt werden, wenn aktuell noch kein geeignetes Werkzeug existiert. Später bekannt gewordene Schlüssel eröffnen in einzelnen Fällen zusätzliche Möglichkeiten, ohne dass sich eine Wiederherstellung garantieren lässt.

Vertrauliche Dokumente gehören nicht unüberlegt auf öffentliche Analyseplattformen. Schon ein vermeintlich harmloser Testupload kann Kundendaten oder Geschäftsgeheimnisse offenlegen. Die Auswahl von Proben und der Übermittlungsweg werden mit Fachleuten abgestimmt. Für eine erste Beschreibung reichen häufig Dateiendungen, Fehlermeldungen und der Wortlaut der Forderung.

Kein Lösegeld unter Zeitdruck zahlen

Das BACS rät von Lösegeldzahlungen ab. Eine Zahlung garantiert weder die Entschlüsselung noch die Löschung bereits gestohlener Daten. Sie beseitigt auch keine Hintertüren im System. Eine ablaufende Frist auf dem Bildschirm ist daher kein belastbarer Grund, sofort Geld zu überweisen.

Wird eine Zahlung trotz dieser Risiken erwogen, empfiehlt das BACS dringend die Abstimmung mit der Kantonspolizei. In Unternehmen gehört die Entscheidung zur verantwortlichen Leitung und in die fachliche sowie rechtliche Beratung. Einzelne Beschäftigte führen keine eigenmächtigen Verhandlungen. Auch angebliche „Datenretter“, die eine sichere Rückholung gegen Vorkasse versprechen, werden sorgfältig überprüft.

Datenabfluss und Schweizer Meldepflichten prüfen

Verschlüsselung und Datendiebstahl sind getrennt zu untersuchen. Ein wieder zugänglicher Datenbestand beweist nicht, dass keine Informationen kopiert wurden. Betroffene Zugangsdaten, Ausweiskopien oder Bankinformationen können zusätzliche Schutzmassnahmen erforderlich machen. Welche Personen und Stellen informiert werden müssen, wird anhand der tatsächlichen beziehungsweise begründet vermuteten Auswirkungen geklärt.

Unter dem Schweizer Datenschutzgesetz muss der Verantwortliche eine Datensicherheitsverletzung dem EDÖB so rasch als möglich melden, wenn voraussichtlich ein hohes Risiko für die Persönlichkeit oder Grundrechte der Betroffenen besteht. Das ist keine pauschale 72-Stunden-Frist. Auftragsbearbeiter informieren den Verantwortlichen über die Verletzung; auch die Information betroffener Personen ist gesondert zu prüfen. Die Bewertung wird dokumentiert und bei neuen Erkenntnissen aktualisiert.

Daneben gilt für meldepflichtige Betreiber kritischer Infrastrukturen die Meldung entsprechender Cyberangriffe an das BACS innerhalb von 24 Stunden nach Entdeckung. Diese Pflicht besteht seit dem 1. April 2025 und betrifft nicht automatisch jeden Haushalt oder jedes KMU. Fehlende Angaben können im vorgesehenen Verfahren ergänzt werden. Datenschutzmeldung, BACS-Meldung und Strafanzeige erfüllen unterschiedliche Aufgaben.

Entschlüsselungsmöglichkeiten sorgfältig prüfen

Das Projekt No More Ransom stellt für bestimmte Ransomware-Varianten kostenlose Entschlüsselungswerkzeuge bereit. Für viele andere Varianten gibt es keine passende Lösung. Der Name aus einer Erpressernachricht genügt nicht immer zur sicheren Zuordnung. Fachleute prüfen deshalb, ob ein Werkzeug tatsächlich zum Befall und zum Zustand der Dateien passt.

Versuche erfolgen an Kopien, während der ursprüngliche verschlüsselte Datenbestand erhalten bleibt. Ein gefundenes Werkzeug wird nur aus einer vertrauenswürdigen Quelle bezogen. Weder kostenlose Entschlüsselung noch eine kommerzielle Rettung sind bei jedem Angriff möglich. Eine realistische Einschätzung umfasst deshalb auch die vorhandenen Backups und deren überprüfbare Qualität.

Systeme bereinigen und kontrolliert wiederherstellen

Vor der Rückkehr zum Betrieb müssen Einfallstor, kompromittierte Konten und mögliche dauerhafte Zugänge der Täter untersucht werden. Betroffene Systeme werden in der Regel aus vertrauenswürdigen Quellen neu aufgebaut. Sicherheitslücken werden geschlossen und notwendige Zugangsdaten von einem sauberen Gerät aus geändert. Ein neuer Rechner mit denselben kompromittierten Zugängen kann erneut gefährdet sein.

Backups werden auf Nutzbarkeit, Vollständigkeit und möglichen Befall geprüft, bevor Daten zurückgespielt werden. Die jüngste Sicherung ist nicht automatisch die geeignete, wenn die Angreifer bereits vorher im Netzwerk waren. Zuerst werden Wiederherstellungsversuche in einer getrennten Umgebung durchgeführt. Warum ein Festplattenverbund keine unabhängige Datensicherung ersetzt, erläutert der Beitrag über überschätzten RAID-Schutz und selten getestete Backups.

Für wichtige Anwendungen werden die notwendigen Abhängigkeiten festgehalten: Datenbank, Anmeldung, Dateispeicher und Schnittstellen können jeweils gesondert betroffen sein. Ein erfolgreich zurückgespieltes Dokument beweist deshalb noch keine vollständige Wiederherstellung des Geschäftsprozesses. Die zuständige Fachabteilung prüft konkrete Aufgaben, beispielsweise das Öffnen eines Auftrags und den Zugriff auf die zugehörigen Unterlagen. Das Ergebnis wird vor der Freigabe dokumentiert.

Die Wiederinbetriebnahme erfolgt nach Prioritäten und mit technischer Freigabe. Fachliche Kontrollen prüfen, ob Anwendungen und Daten tatsächlich funktionieren. Gleichzeitig werden Zugriffe und neue Auffälligkeiten beobachtet. Ein erreichbarer Server allein bedeutet noch nicht, dass der Vorfall abgeschlossen ist.

Aus dem Vorfall einen belastbaren Notfallablauf machen

Nach der akuten Bewältigung werden Ursache, Reaktionswege und Wiederherstellung ausgewertet. Daraus entstehen erreichbare Notfallkontakte, klare Befugnisse und regelmässig getestete Sicherungen. Schulungen behandeln auch den Diebstahl von Zugangsdaten; der Beitrag zu gefälschten QR-Codes und Quishing zeigt eine solche Betrugsmasche. Aufmerksamkeit ergänzt technische Schutzmassnahmen, ersetzt sie aber nicht.

Auch die Kommunikation erhält einen festen Rhythmus. Mitarbeitende brauchen eine klare Auskunft darüber, welche Geräte und Dienste verwendet werden dürfen und wo neue Auffälligkeiten gemeldet werden. Kundeninformationen beschreiben gesicherte Auswirkungen und verfügbare Kontaktwege, ohne unbelegte Zusagen zum Ende der Störung zu machen. Ein benannter Verantwortlicher hält diese Informationen aktuell.

Ein brauchbarer Notfallplan beantwortet konkrete Fragen: Wer trennt ein Gerät vom Netz, wer ruft Unterstützung und wo liegen die Wiederherstellungsunterlagen? Diese Abläufe werden geübt, solange die Systeme funktionieren. So muss die nächste Entscheidung nicht erst unter Erpressungsdruck vorbereitet werden. Entscheidend bleiben rasche Schadenbegrenzung, nachvollziehbare Schritte und eine geprüfte Wiederherstellung.

Bildquellen: Titelbild: Adobe Stock/zephyr_p; Bild 1: Adobe Stock/Jan Kowalski; Bild 2: Adobe Stock/praisaeng; Bild 3: Adobe Stock/contrastwerkstatt; Bild 4: Adobe Stock/WavebreakmediaMicro