IT-Notfall ohne IT-Abteilung: Erste Hilfe für KMU

Inhalt in Kürze

• Isolieren, nicht ausschalten: Betroffene Geräte sofort vom Netzwerk trennen, aber nicht herunterfahren – sonst gehen forensische Spuren verloren.
• Ab Minute 1 dokumentieren: Uhrzeit, Beobachtungen und Entscheidungen schriftlich festhalten – auf Papier oder einem nicht betroffenen Gerät.
• 72-Stunden-Frist läuft: Sind personenbezogene Daten betroffen, muss die Datenpanne nach Art. 33 DSGVO binnen 72 Stunden gemeldet werden – auch ohne eigene IT.
• Vorbereitung schlägt Improvisation: Wer keinen festen IT-Ansprechpartner mit garantierter Reaktionszeit hat, verliert im Ernstfall die kritischen ersten Stunden.

Ein verschlüsselter Bildschirm, ein Server, der nicht mehr hochfährt, eine E-Mail-Weiterleitung, die niemand eingerichtet hat: Der Ernstfall kommt ohne Vorwarnung. Und in vielen mittelständischen Betrieben stellt sich dann die entscheidende Frage – wer kümmert sich eigentlich darum, wenn niemand für die IT zuständig ist? Genau diese Lücke macht kleine Unternehmen zum bevorzugten Ziel.

Warum ein IT-Notfall ohne IT-Abteilung besonders gefährlich ist

Rund 80 Prozent der beim BSI angezeigten Angriffe richten sich gegen kleine und mittlere Unternehmen – gerade weil ihnen oft Personal, Budget und Know-how für ausreichenden Schutz fehlen. Das geht aus dem Lagebericht zur IT-Sicherheit in Deutschland 2025 des BSI hervor. Ein IT-Notfall ohne IT-Abteilung ist deshalb kein Randfall, sondern der Normalfall im deutschen Mittelstand.

Ein IT-Notfall ist: jede ungeplante Störung, die den Geschäftsbetrieb erheblich beeinträchtigt – vom Ausfall zentraler Systeme über Datenverlust bis zum aktiven Cyberangriff. Ohne festen Ansprechpartner entscheidet im Ernstfall der Zufall, wie gut ein Betrieb durch die ersten Stunden kommt.

Die Größenordnung ist real: Durch Datendiebstahl, Spionage und Sabotage entsteht der deutschen Wirtschaft ein jährlicher Schaden von 289,2 Milliarden Euro, 87 Prozent der Unternehmen waren in den vergangenen zwölf Monaten betroffen – so die Bitkom-Studie Wirtschaftsschutz 2025. Wer glaubt, für Angreifer zu klein zu sein, irrt.

Die ersten Stunden: Was Sie sofort tun – und lassen

Die ersten 60 Minuten entscheiden über das Schadensausmaß. Nicht Schnelligkeit ist das Ziel, sondern ein geordnetes Vorgehen. Arbeiten Sie diese Reihenfolge ab.

1. Schritt 1 – Überblick: Was sehen Sie konkret? Ein einzelner Rechner, mehrere Arbeitsplätze, der Server, das ganze Netz? Notieren Sie die Uhrzeit.
2. Schritt 2 – Isolieren: Betroffene Geräte vom Netzwerk trennen (Kabel ziehen, WLAN am Router sperren), damit sich die Störung nicht ausbreitet.
3. Schritt 3 – Dokumentieren: Auf Papier oder einem sauberen Gerät festhalten, was passiert, wer informiert wurde und welche Schritte Sie einleiten.
4. Schritt 4 – Hilfe holen: Festen IT-Ansprechpartner und – bei möglichem Datenabfluss – Datenschutzbeauftragten sofort anrufen.

Ein häufiger Sonderfall: Ein Microsoft-365-Konto wird gekapert und richtet still Weiterleitungsregeln ein. Was dann zu tun ist, zeigt unser Leitfaden zu einem gehackten Microsoft-365-Konto.

Datenpanne? Die 72-Stunden-Frist läuft sofort

Sobald personenbezogene Daten betroffen sein könnten, greift die gesetzliche Meldepflicht – und die Uhr läuft ab dem Moment, in dem Sie von dem Vorfall erfahren.

Nach Art. 33 DSGVO müssen Sie eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden der zuständigen Aufsichtsbehörde melden. Bei Cyberangriffen ist fast immer ein solcher Fall gegeben – etwa wenn ein Fileserver verschlüsselt wird oder ein E-Mail-Postfach kompromittiert ist.

Kein Lösegeld ohne Rat

Bei Ransomware ist die Versuchung groß, schnell zu zahlen, um den Betrieb wieder aufzunehmen. Das ist der falsche Reflex. Ransomware ist: Schadsoftware, die Ihre Daten verschlüsselt und ein Lösegeld für die Freigabe fordert.

Das BSI und die Strafverfolgungsbehörden raten klar von Zahlungen ab – es gibt keine Garantie auf Entschlüsselung, und jede Zahlung finanziert die nächsten Angriffe. Laut Bitkom hat rund jedes siebte betroffene Unternehmen (15 Prozent) bereits gezahlt. Treffen Sie diese Entscheidung nie allein, sondern erst nach fachlichem und rechtlichem Rat.

Wer hilft, wenn kein eigenes IT-Team da ist?

Der wirksamste Schutz ist kein einzelnes Tool, sondern ein Mensch am anderen Ende der Leitung, der Ihre Systeme kennt. Firmen ohne eigenes IT-Team lagern den Betrieb dafür an ein Systemhaus aus – etwa an hagel IT, das mit kjello die „IT-Abteilung als Service” anbietet und als fester Ansprechpartner im IT-Notfall eine vertragliche Reaktionszeit garantiert. Das ist eine von mehreren Optionen; entscheidend ist, dass die Reaktionszeit vorher feststeht und nicht im Ernstfall verhandelt wird.

Diese Kontakte gehören auf eine gedruckte Liste – griffbereit, auch wenn E-Mail und Server ausfallen:

• Fester IT-Ansprechpartner. Managed-IT-Dienstleister oder Systemhaus mit garantierter Reaktionszeit und Kenntnis Ihrer Systeme.
• Datenschutzbeauftragter. Bewertet die Meldepflicht und übernimmt die Kommunikation mit der Aufsichtsbehörde.
• Geschäftsführung. Trifft die Entscheidungen und verantwortet die Kommunikation nach außen.
• Aufsichtsbehörde und Polizei. Zuständige Datenschutzaufsicht und die Zentrale Ansprechstelle Cybercrime (ZAC) Ihres Bundeslandes.

Wie ein solcher Plan strukturiert aussieht, zeigt unsere Anleitung zur Notfallplanung für Unternehmen.

Wiederanlauf: sauber statt schnell

Ist die Störung eingedämmt, beginnt der Wiederanlauf. Der häufigste Fehler ist Eile: Wer betroffene Systeme nur „säubert” statt sie neu aufzusetzen, riskiert, dass sich Angreifer eine Hintertür bewahren. Setzen Sie betroffene Systeme aus verifizierten Quellen neu auf, schließen Sie die ausgenutzte Schwachstelle und spielen Sie Daten erst aus einem geprüften Backup zurück. Nehmen Sie die Systeme einzeln und unter verstärktem Monitoring wieder in Betrieb.

Aus der Praxis

Fazit: Ihr nächster Schritt

Sie müssen kein eigenes IT-Team aufbauen, um im Ernstfall handlungsfähig zu sein. Sie brauchen drei Dinge, bevor etwas passiert: einen festen Ansprechpartner mit klarer Reaktionszeit, einen Datenschutzbeauftragten für die Meldepflichten und ein getestetes Backup. Der beste Zeitpunkt, das zu klären, ist der Tag, an dem nichts brennt.

Häufige Fragen (FAQ)

Wer hilft bei einem IT-Notfall, wenn wir keine eigene IT-Abteilung haben?

Ihr erster Anruf gilt einem festen IT-Ansprechpartner – in der Regel ein Managed-IT-Dienstleister oder Systemhaus, das Ihre Systeme kennt und vertraglich eine Reaktionszeit zusichert. Zusätzlich brauchen Sie Ihren Datenschutzbeauftragten für die Meldepflichten und bei personenbezogenen Daten die zuständige Aufsichtsbehörde. Diese Kontakte sollten vor dem Ernstfall feststehen, nicht erst gesucht werden.

Was ist bei einem IT-Ausfall im Unternehmen als Erstes zu tun?

Verschaffen Sie sich einen Überblick und trennen Sie betroffene Geräte vom Netzwerk, ohne sie herunterzufahren. Ausschalten löscht flüchtige Spuren im Arbeitsspeicher, die für die spätere Analyse wichtig sind. Notieren Sie ab der ersten Minute mit Uhrzeit, was Sie sehen und tun.

Muss ich eine Datenpanne auch ohne IT-Abteilung melden?

Ja. Sobald personenbezogene Daten betroffen sein könnten, gilt die 72-Stunden-Meldefrist nach Art. 33 DSGVO – unabhängig davon, ob Sie ein eigenes IT-Team haben. Die Frist läuft ab dem Zeitpunkt, an dem Sie von dem Vorfall Kenntnis erlangen. Ihr Datenschutzbeauftragter bewertet, ob und wie zu melden ist.

Sollen wir bei Ransomware das Lösegeld zahlen?

Nein. Das BSI und die Strafverfolgungsbehörden raten klar davon ab. Es gibt keine Garantie, dass Sie nach der Zahlung wieder an Ihre Daten kommen, und Sie finanzieren weitere Angriffe. Treffen Sie keine Entscheidung im Alleingang – holen Sie erst fachlichen und rechtlichen Rat ein.

Wie bereiten wir uns ohne eigenes IT-Team auf einen IT-Notfall vor?

Legen Sie eine gedruckte Notfall-Kontaktliste an, klären Sie vertraglich einen festen Ansprechpartner mit Reaktionszeit und testen Sie regelmäßig, ob sich Ihre Daten aus dem Backup wiederherstellen lassen. Diese drei Punkte entscheiden im Ernstfall über Stunden statt Wochen Ausfall. Vorbereitung ist günstiger und wirksamer als Improvisation im Schadensfall.