Sechs Tage Stillstand: Wie lange wäre Ihr Betrieb nach einem Angriff arbeitsunfähig?

Was ist in Berlin passiert?

Seit dem 14. August sind zwei Berliner Senatsverwaltungen vom Landesnetz getrennt und damit faktisch arbeitsunfähig. Auslöser war ein Cyberangriff; die Trennung erfolgte als Schutzmaßnahme, um eine Ausbreitung zu verhindern. Betroffen waren auch Leistungen mit direkter Bürgerwirkung — etwa die Auszahlung von Wohngeld.

LKA, Staatsanwaltschaft und das BSI ermitteln. Nach dem zuletzt bekannten Stand sollen keine sensiblen Daten abgeflossen sein. Bemerkenswert ist etwas anderes: Auch nach rund einer Woche war ein Ende nicht absehbar — und das mit Krisenstab, Landeskriminalamt und Bundesbehörde im Rücken.

Genau darin liegt die Lehre für Unternehmen. Nicht: „Die haben schlecht gearbeitet." Sondern: Wiederanlauf dauert länger, als fast alle schätzen — selbst mit Ressourcen, die kein Mittelständler hat.

Warum dauert der Wiederanlauf so lange?

Weil zwischen „der Angriff ist gestoppt“ und „wir arbeiten wieder“ mehrere Schritte liegen, die sich nicht parallelisieren lassen. Zuerst muss man verstehen, was passiert ist — welcher Weg genutzt wurde und welche Systeme betroffen sind. Solange das unklar ist, kann man nichts guten Gewissens wieder ans Netz nehmen.

Dann folgt der Aufbau: Systeme werden neu aufgesetzt statt bereinigt, weil niemand garantieren kann, dass ein Angreifer wirklich draußen ist. Anschließend werden Daten zurückgespielt, geprüft und freigegeben — und zwar in einer Reihenfolge, denn Fachanwendungen brauchen Verzeichnisdienste, die wiederum Netzwerk und Authentifizierung brauchen.

Und über allem liegt das Grundproblem: Man arbeitet ohne die eigenen Werkzeuge. Keine E-Mail, keine Dokumentation, oft kein Telefon. Wer seine Systemdokumentation nur digital im betroffenen Netz hat, sucht sie im ungünstigsten Moment.

Trifft das nur Behörden?

Nein — Verwaltungen sind nur sichtbarer, weil sie öffentlich berichten müssen. Der Angriff auf Berlin fällt in eine Phase, in der Ransomware-Gruppen im deutschsprachigen Raum deutlich aktiver geworden sind: Die Zahl bekannt gewordener Fälle im DACH-Raum hat sich im ersten Halbjahr 2026 nahezu verdoppelt (von 22 auf 42 gemeldete Fälle).

Auffällig ist die Mischung der Ziele. Getroffen wurden zuletzt neben Verwaltungen auch Kommunen und mittelständische Ingenieur- und Zulieferbetriebe — Unternehmen also, die selbst kein bekanntes Markenzeichen tragen, aber für ihre Kunden unverzichtbar sind. (Die Angaben zu einzelnen Unternehmen stammen bislang von den Leak-Seiten der Täter und sind nicht bestätigt.)

Das entkräftet den häufigsten Einwand — „uns kennt doch niemand“ — ein weiteres Mal. Wie wir schon in Wenn Ransomware das Fließband stoppt beschrieben haben: Bekanntheit war nie das Auswahlkriterium.

Welche Kennzahl sollten Sie kennen?

Die eine Zahl, die im Ernstfall alles entscheidet, ist Ihre Wiederanlaufzeit — die Zeit von „alles steht“ bis „wir arbeiten wieder“. In der Fachsprache heißt sie RTO (Recovery Time Objective), aber der Begriff ist unwichtiger als die Übung, sie ehrlich zu bestimmen.

Fragen Sie dafür nicht die IT allein, sondern gehen Sie je Geschäftsprozess durch: Wie lange können wir ohne Auftragsannahme? Ohne Warenwirtschaft? Ohne Lohnbuchhaltung am Monatsende? Daraus ergibt sich eine Rangfolge — und die ist fast immer eine andere als die, nach der Systeme technisch wiederhergestellt würden.

Die zweite Zahl ist der tolerierbare Datenverlust: Wie viele Stunden Arbeit dürfen fehlen? Sie bestimmt, wie oft gesichert werden muss. Beide Zahlen zusammen machen aus „wir haben Backups“ eine belastbare Aussage (Grundlagen: 3-2-1-Regel).

Wie verkürzen Sie den Stillstand?

Vier Hebel, die in dieser Reihenfolge wirken:

• Segmentierung: Getrennte Netzbereiche sorgen dafür, dass nicht alles gleichzeitig betroffen ist — und dass Sie Teile weiterlaufen lassen können, statt alles vom Netz zu nehmen (OT und IT trennen).
• Wiederherstellung testen, nicht nur sichern: Ein Backup, das nie zurückgespielt wurde, ist eine Behauptung. Wer den Ernstfall einmal geprobt hat, kennt seine echte Wiederanlaufzeit.
• Offline-Dokumentation: Netzplan, Systemliste, Lizenzen, Ansprechpartner — ausgedruckt oder außerhalb des betroffenen Netzes.
• Erkennung: Je früher ein Einbruch auffällt, desto kleiner der Schaden und desto kürzer die Analyse (24/7-Monitoring).

Was gehört in die Notfallmappe?

Kurz und griffig, außerhalb der IT erreichbar: Wer entscheidet (mit Vertretung), wen rufen wir an (Dienstleister, Versicherung, Behörde), welche Prozesse haben Vorrang, wie kommunizieren wir, wenn Mail und Telefonie ausfallen (siehe Telefonie-Notfallkonzept), und welche Meldepflichten laufen mit — bei personenbezogenen Daten 72 Stunden, unter NIS2 deutlich kürzer.

Was in diese Mappe gehört und wie man sie schlank hält, steht in Was gehört in einen IT-Notfallplan?. Entscheidend ist weniger der Umfang als die Erreichbarkeit: Ein 60-seitiges Konzept im gesperrten Dateiserver hilft niemandem.

Was sollten Sie als Nächstes tun?

Stellen Sie in der nächsten Leitungsrunde eine einzige Frage: Wenn heute Nacht alles verschlüsselt wird — wann nehmen wir wieder Aufträge an? Kommt darauf keine Zahl, sondern ein Schulterzucken, haben Sie Ihren Handlungsbedarf gefunden.

Wir ermitteln diese Zahl mit Ihnen: Wir gehen Ihre Prozesse durch, prüfen, was Ihre Sicherungen tatsächlich hergeben, und proben die Wiederherstellung, bevor es der Ernstfall tut. Am Ende steht keine Hochglanzbroschüre, sondern eine belastbare Antwort — und eine kürzere.