Ein Cyberangriff trifft Unternehmen meist ohne Vorwarnung. Innerhalb weniger Stunden können Server, Arbeitsplätze und zentrale Geschäftsprozesse ausfallen. Produktion, Verwaltung und Kommunikation kommen zum Stillstand, während unter hohem Zeitdruck Entscheidungen getroffen werden müssen – oft, ohne das tatsächliche Ausmaß des Angriffs bereits zu kennen.
Genau diese Situation erlebte ein mittelständisches Unternehmen aus Nordrhein-Westfalen. In der Nacht von Donnerstag auf Freitag wurden Server und Teile der Arbeitsplatzrechner durch Schadsoftware verschlüsselt. Nach Einschätzung der Beteiligten handelte es sich um einen automatisierten Angriff, der ohne unmittelbare manuelle Steuerung ausgeführt wurde.
Die eigentliche Herausforderung begann jedoch erst danach. Zunächst war unklar, welche Systeme betroffen waren, wie lange sich die Angreifer bereits im Netzwerk aufgehalten hatten und ob sich weitere Schadsoftware noch unbemerkt im Unternehmen befand. Ein unkontrollierter Neustart hätte erhebliche Risiken mit sich gebracht.
Gemeinsam mit der Cyberversicherung, spezialisierten IT-Forensikern und SYSTEMFAKTOR begann deshalb unmittelbar die Arbeit an einer sicheren und kontrollierten Wiederherstellung des Geschäftsbetriebs.
Diese Case Study zeigt, wie ein Unternehmen nach einem Cyberangriff Schritt für Schritt wieder handlungsfähig wurde und warum dabei ein strukturiertes Vorgehen wichtiger ist als vorschnelle Entscheidungen.
Interesse geweckt?
Der Kunde: Ein mittelständischer Hersteller für maßgefertigte Schranksysteme
Der Kunde ist ein mittelständischer Hersteller maßgefertigter Schranksysteme mit rund 60 Mitarbeitenden. Das Unternehmen nutzte eine IT-Umgebung mit mehreren Servern, rund 40 Arbeitsplatzrechnern sowie verschiedenen Standard- und Individualanwendungen. Der Ausfall der zentralen Systeme erschwerte insbesondere den Zugriff auf Datenbanken, E-Mails und wichtige Unternehmensanwendungen.
Ein Ausfall der IT betrifft in einem solchen Unternehmen nicht nur einzelne Arbeitsplätze. Bereits nach kurzer Zeit geraten Produktion und Verwaltung ins Stocken. Wichtige Informationen und Anwendungen standen vorübergehend nicht oder nur eingeschränkt zur Verfügung. Dadurch konnten verschiedene administrative und operative Abläufe nicht wie gewohnt fortgeführt werden.
Die IT wurde von einem erfahrenen internen Verantwortlichen betreut, der den Ernst der Lage sofort erkannte und externe Unterstützung hinzuzog. Diese schnelle Entscheidung schuf die Grundlage dafür, den Wiederaufbau der IT strukturiert zu organisieren und alle erforderlichen Maßnahmen eng mit der Cyberversicherung und den IT-Forensikern abzustimmen.
Ausgangssituation: Nächtlicher Verschlüsselungsangriff schränkt den Geschäftsbetrieb erheblich ein
Der Angriff erfolgte außerhalb der regulären Arbeitszeit. Als die Mitarbeitenden am nächsten Morgen ihre Arbeit aufnehmen wollten, waren große Teile der IT bereits ausgefallen. Sämtliche Server waren verschlüsselt und teilweise gelöscht worden. Auch mehrere Arbeitsplatzrechner waren von dem Angriff betroffen. Der Zugriff auf zentrale Systeme und Unternehmensanwendungen war weitgehend nicht mehr möglich.
Der Geschäftsbetrieb war erheblich eingeschränkt. Wichtige Anwendungen standen nicht mehr zur Verfügung und die Produktion konnte nur noch eingeschränkt arbeiten.
Unmittelbar nach Bekanntwerden des Angriffs wurden die notwendigen Notfallmaßnahmen eingeleitet. Das Unternehmen informierte die Polizei und schaltete seine Cyberversicherung ein.
Zu Beginn der Untersuchung stand zunächst ein über das Internet erreichbarer Server als möglicher Angriffsweg im Verdacht. Im Laufe der forensischen Analyse identifizierten die Spezialisten jedoch eine nicht geschlossene Sicherheitslücke in einer extern verwalteten Netzwerkkomponente als wahrscheinlichen Zugangspunkt.
Da zunächst nicht ausgeschlossen werden konnte, dass über die bestehende Verbindung erneut auf die Systeme zugegriffen werden könnte, musste auch die Netzwerksicherheit kurzfristig neu organisiert werden. SystemFAKTOR stellte deshalb eine Übergangslösung bereit und richtete eine neue Firewall ein, über die der weitere Wiederaufbau kontrolliert fortgesetzt werden konnte.
Bereits zu diesem Zeitpunkt war klar, dass die Situation weit über einen klassischen Serverausfall hinausging. Neben der technischen Wiederherstellung mussten rechtliche, organisatorische und sicherheitsrelevante Anforderungen berücksichtigt werden. Gleichzeitig erwarteten Geschäftsführung, Mitarbeitende und Kunden eine schnelle Rückkehr zum regulären Geschäftsbetrieb.
Für SystemFAKTOR begann damit ein komplexer Kriseneinsatz. Ziel war es nicht nur, die IT wieder in Betrieb zu nehmen, sondern den Wiederaufbau so zu organisieren, dass keine verbliebene Schadsoftware erneut aktiviert werden konnte.
Die Herausforderung: Warum ein Backup allein keine Lösung war
Nach einem Cyberangriff liegt der naheliegende Gedanke auf der Hand: Das letzte Backup einspielen und den Betrieb möglichst schnell wieder aufnehmen.
Nach einem Verschlüsselungsangriff ist ein ungeprüftes Zurückspielen bestehender Systeme keine sichere Lösung.
Zum Zeitpunkt des Angriffs war unklar, wie lange sich die Täter bereits im Unternehmensnetzwerk aufgehalten hatten. Ebenso wenig ließ sich sofort beurteilen, welche Systeme kompromittiert worden waren und ob sich Schadsoftware noch unbemerkt im Netzwerk befand.
Ein ungeprüftes Zurückspielen der Datensicherung hätte das Risiko bedeutet, bereits kompromittierte Systeme oder manipulierte Daten erneut in Betrieb zu nehmen. Im schlimmsten Fall wäre die Schadsoftware unmittelbar wieder aktiv geworden und der gesamte Angriff hätte von vorn begonnen.
Gleichzeitig standen die ursprünglichen Systeme für eine direkte Wiederherstellung zunächst nicht zur Verfügung. Die Datenträger waren aus den betroffenen Servern und Arbeitsplatzrechnern ausgebaut worden und wurden vom Geschäftsführer persönlich zur forensischen Analyse nach Frankfurt gebracht. Dort untersuchten die beauftragten IT-Forensiker den Vorfall und versuchten, den Angriffsweg zu ermitteln. Währenddessen benötigte das Unternehmen möglichst schnell eine funktionierende Übergangslösung, um die Arbeitsfähigkeit schrittweise wiederherzustellen.
Die eigentliche Herausforderung bestand daher nicht darin, einzelne Server zu reparieren. Es galt, den laufenden Geschäftsbetrieb unter außergewöhnlichen Rahmenbedingungen sicher wiederherzustellen – abgestimmt mit Cyberversicherung, IT-Forensik und dem Kunden.
Der Lösungsansatz: Der Weg zurück zu einer sicheren IT-Infrastruktur
Die Beteiligten entschieden sich für einen vollständigen Neuaufbau der IT-Infrastruktur. Server, Arbeitsplatzrechner und die Domänenstruktur wurden neu installiert. Parallel stellte SystemFAKTOR die vorhandenen Backups in einer abgeschotteten Testumgebung wieder her und prüfte, ob die Daten unverschlüsselt und frei von erkennbarer Schadsoftware waren.
Der vollständige Neuaufbau erforderte zwar mehr Aufwand, schuf jedoch zugleich die Grundlage, die IT-Struktur gezielt zu modernisieren und Sicherheitslücken dauerhaft zu schließen.
SystemFAKTOR übernahm dabei die technische Planung und Koordination des Wiederaufbaus. Gemeinsam mit dem Kunden, der Cyberversicherung und den IT-Forensikern wurde ein strukturiertes Vorgehen festgelegt. Ziel war es, die Arbeitsfähigkeit schnell wiederherzustellen und gleichzeitig den Sicherheitsstandard innerhalb des mit dem Kunden abgestimmten Rahmens deutlich zu verbessern.
Dazu wurden neue Systeme aufgebaut, Arbeitsplätze vorbereitet und die Infrastruktur Schritt für Schritt neu eingerichtet. Erst nachdem die Umgebung als sicher eingestuft war, wurden die geprüften Daten kontrolliert zurückgeführt.
So entstand eine IT-Umgebung, die den Geschäftsbetrieb nicht nur wieder ermöglichte, sondern gleichzeitig die Grundlage für einen deutlich höheren Sicherheitsstandard schuf.
Die Umsetzung: Strukturierter Wiederaufbau unter außergewöhnlichen Bedingungen
Nach der Entscheidung für einen vollständigen Neuaufbau begannen noch am selben Tag die Vorbereitungen. Ziel war es, sofort mit der Umsetzung zu beginnen und den Geschäftsbetrieb so schnell wie möglich wiederherzustellen – ohne Kompromisse bei der IT-Sicherheit einzugehen.
Noch am Freitagnachmittag stellte SystemFAKTOR kurzfristig ein Einsatzteam zusammen. Mehrere Mitarbeitende erklärten sich bereit, ihren Wochenendeinsatz für den Kunden zu übernehmen. Am Samstag arbeiteten vier Spezialisten vor Ort, am Sonntag wurde das Team auf fünf Personen erweitert. Auch in den folgenden ein bis zwei Wochen waren täglich mehrere Mitarbeitende mit dem Wiederaufbau beschäftigt. Gemeinsam wurde festgelegt, welche Systeme Priorität hatten, welche Rahmenbedingungen einzuhalten waren und in welcher Reihenfolge die Infrastruktur neu aufgebaut werden sollte.
Bereits am folgenden Morgen begann der Wiederaufbau beim Kunden vor Ort. Bevor neue Systeme eingerichtet wurden, verschafften sich alle Beteiligten einen Überblick über die Situation. Welche Geschäftsprozesse mussten zuerst wieder funktionieren? Welche Systeme wurden dafür benötigt? Welche Daten konnten bereits genutzt werden und welche mussten zunächst von den IT-Forensikern geprüft werden? Erst nachdem diese Fragen geklärt waren, begann die technische Umsetzung.
Eine besondere Herausforderung bestand darin, dass die ursprünglichen Server und Datenträger für die forensische Untersuchung sichergestellt worden waren. Die Hardware, auf der die IT bislang betrieben wurde, stand daher zunächst nicht zur Verfügung. Gleichzeitig sollte der Geschäftsbetrieb möglichst schnell wieder anlaufen.
Um keine wertvolle Zeit zu verlieren, stellte SystemFAKTOR dem Kunden kurzfristig zwei leistungsfähige Leihserver aus dem eigenen Bestand zur Verfügung. Dadurch konnte unmittelbar mit dem Aufbau einer neuen Serverumgebung begonnen werden, anstatt mehrere Tage auf neue Hardware zu warten. Diese pragmatische Lösung verschaffte dem Projekt einen entscheidenden Zeitvorteil.
In den folgenden Tagen arbeiteten mehrere Spezialisten parallel am Wiederaufbau der IT-Infrastruktur. Während neue Server installiert und Netzwerke eingerichtet wurden, entstanden bereits die ersten Arbeitsplatzsysteme. Gleichzeitig wurden Benutzerkonten, Berechtigungen und zentrale Dienste neu aufgebaut, sodass die wichtigsten Geschäftsprozesse Schritt für Schritt wieder aufgenommen werden konnten.
Während der gesamten Umsetzung blieb die enge Abstimmung zwischen allen Beteiligten ein entscheidender Erfolgsfaktor. Neue Erkenntnisse der IT-Forensiker flossen unmittelbar in die weiteren Maßnahmen ein. Gleichzeitig wurden alle Schritte mit der Cyberversicherung und der Geschäftsführung abgestimmt. So entstand ein klar strukturierter Wiederanlaufplan, der technische Maßnahmen, organisatorische Anforderungen und den laufenden Geschäftsbetrieb miteinander verband.
Mit der Wiederherstellung der Systeme war das Projekt jedoch nicht abgeschlossen. Für SystemFAKTOR war der erfolgreiche Neustart nicht das Ziel, sondern der Ausgangspunkt für eine zukunftsfähige IT. Gemeinsam mit dem Kunden wurde der Wiederaufbau genutzt, um die bestehende Infrastruktur grundlegend zu überdenken und die Basis für einen dauerhaft sicheren und stabilen Betrieb zu schaffen.
Das Ergebnis: Aus dem Wiederaufbau entstand eine zukunftssichere IT
Durch den strukturierten Wiederaufbau konnte das Unternehmen den Geschäftsbetrieb schrittweise wieder aufnehmen. Server, Arbeitsplätze und die Microsoft-365-Umgebung wurden vollständig neu aufgebaut. Gleichzeitig überprüfte SystemFAKTOR Berechtigungen, integrierte moderne Sicherheitsmechanismen und optimierte zentrale Prozesse. So entstand eine saubere Systemlandschaft mit klaren Strukturen, einer zeitgemäßen Sicherheitsarchitektur und einer deutlich höheren Ausfallsicherheit.
Der Neuaufbau beschränkte sich damit nicht auf die Wiederherstellung der Arbeitsfähigkeit. Stattdessen wurden zentrale Schwachstellen beseitigt, die Backup-Strategie verbessert und die Überwachung der Systeme nachhaltig ausgebaut.
Heute arbeitet das Unternehmen mit einer IT, die in vielen Bereichen leistungsfähiger und besser strukturiert ist als vor dem Cyberangriff. Nicht, weil der Angriff notwendig gewesen wäre, sondern weil der Wiederaufbau konsequent genutzt wurde, um die bestehenden Systeme zu modernisieren und nachhaltig zu verbessern.
Rückblickend war der Cyberangriff eine der größten Herausforderungen für das Unternehmen. Gleichzeitig war er der Auslöser für eine IT-Infrastruktur, die heute sicherer, transparenter und widerstandsfähiger arbeitet als zuvor.
Lessons Learned: Was andere mittelständische Unternehmen daraus lernen können
Cyberangriffe betreffen längst nicht mehr nur große Konzerne. Mittelständische Unternehmen können auch durch automatisierte Angriffswellen, Bots und massenhaft eingesetzte Schadsoftware getroffen werden. Dafür muss ein Unternehmen nicht gezielt von einer einzelnen Tätergruppe ausgewählt worden sein. Wer sich erst im Ernstfall mit dem Thema beschäftigt, verliert wertvolle Zeit.
Aus diesem Projekt lassen sich mehrere Erkenntnisse ableiten:
- Ein aktuelles Backup ist unverzichtbar – ersetzt aber keinen strukturierten Notfallplan.
- Nach einem Cyberangriff sollte eine Wiederherstellung niemals ohne vorherige Prüfung erfolgen. Versteckte Schadsoftware kann andernfalls erneut aktiviert werden.
- Eine enge Zusammenarbeit zwischen Unternehmen, Cyberversicherung, IT-Forensik und IT-Dienstleister beschleunigt die Wiederherstellung und schafft Handlungssicherheit.
- Moderne Sicherheitskonzepte entstehen nicht erst nach einem Angriff. Regelmäßige Updates, funktionierende Backup-Strategien, Monitoring und klar definierte Prozesse reduzieren das Risiko erheblich.
- Jede Krise bietet die Chance, bestehende Strukturen zu hinterfragen und die IT nachhaltig zu modernisieren.
Ein Cyberangriff lässt sich nicht immer verhindern. Entscheidend ist, wie gut ein Unternehmen darauf vorbereitet ist und wie strukturiert im Ernstfall gehandelt wird.
6 Punkte, die im Ernstfall den Unterschied machen
Fazit: Wenn IT ausfällt, geht es um weit mehr als Technik
Ein Cyberangriff ist selten nur ein technisches Problem. Innerhalb kurzer Zeit müssen wirtschaftliche, organisatorische und sicherheitsrelevante Entscheidungen getroffen werden. Umso wichtiger ist ein Partner, der den Überblick behält und den Wiederaufbau strukturiert steuert.
Genau darin bestand die Aufgabe von SystemFAKTOR: den Geschäftsbetrieb sicher und kontrolliert wiederherzustellen, alle Beteiligten zu koordinieren und eine IT-Infrastruktur aufzubauen, die den Anforderungen der Zukunft gerecht wird.
Die Case Study zeigt, dass professionelle IT-Betreuung weit über den Betrieb einzelner Systeme hinausgeht. Sie schafft Strukturen, die Unternehmen auch in Ausnahmesituationen handlungsfähig halten.
Wenn Sie wissen möchten, wie gut Ihre IT auf einen Cyberangriff vorbereitet ist oder wie sich bestehende Sicherheits- und Wiederherstellungskonzepte optimieren lassen, beraten wir Sie gerne persönlich.