Notfallplan für ein kleines Team: die erste Stunde

In einer Minute

Ein Notfallplan für ein kleines Team passt auf eine Seite: fünf Aufgaben, eine benannte Person für jede, und die Telefonnummern und Konten, die du brauchst.
Die erste Stunde hat fünf Schritte: bemerken, eindämmen, informieren, wiederherstellen und festhalten. Sie folgen den öffentlichen Leitfäden des NIST in den USA und des National Cyber Security Centre im Vereinigten Königreich.
Dämme ein, ohne Beweise zu zerstören. Nimm den Mac vom Netzwerk, ändere das Passwort des Kontos von einem anderen Gerät aus und lösche noch nichts.
Schau vor dem Tag, an dem es drauf ankommt, nach, wer davon erfahren muss. Kunden und Versicherer haben eigene Vorgaben. Wenn personenbezogene Daten gefährdet sind, verlangt das EU-Recht eine Meldung innerhalb von 72 Stunden, wenn möglich, und das Schweizer Recht eine so schnell wie möglich, wenn das Risiko hoch ist.
Prüfe die Kontaktliste alle paar Monate und geh die Seite einmal im Jahr durch.

Auf dieser Seite

Was gehört in einen Notfallplan für ein kleines Team?

Eine Seite. Sie nennt fünf Aufgaben, setzt eine Person auf jede und listet die Nummern und Konten auf, die du brauchst, wenn sonst nichts mehr geht. Die Aufgaben sind bemerken, eindämmen, informieren, wiederherstellen und festhalten.

Grosse Unternehmen schreiben Ordner voll. Ein Team von fünf braucht etwas, das jemand an einem Dienstagabend finden kann, mit einer Lösegeldforderung auf dem Bildschirm und einer E-Mail, der man nicht trauen kann. Also muss der Plan kurz sein, und alle müssen wissen, wo er liegt.

Was zählt als Vorfall?

Was ein Vorfall ist.

Etwas, das deine Daten, deine Konten oder deine Macs gefährdet. Eine Lösegeldforderung auf dem Bildschirm, ein E-Mail-Konto, das Links verschickt, die niemand geschrieben hat, ein Laptop, der im Zug liegen geblieben ist, ein ehemaliger Freelancer, der noch Zugriff hat.

Manches davon erweist sich als nichts. Das zu entscheiden ist die erste Aufgabe des Plans, und eine Person sollte diese Entscheidung treffen.

Ein Arbeits-Mac fehlt

Fünf Schritte, je ein Name.

Zwei öffentliche Leitfäden stimmen in der Form überein. Das NIST, die US-Normungsbehörde, hat seinen Leitfaden zum Umgang mit Vorfällen im April 2025 als Special Publication 800 61, Revision 3, veröffentlicht. Er ordnet die Arbeit in Erkennen, Reagieren und Wiederherstellen und führt das Gelernte in den Plan zurück. Das britische National Cyber Security Centre (NCSC) nennt für kleine Unternehmen fünf Schritte: vorbereiten, erkennen, was passiert, beheben, weitere Beteiligte informieren und lernen.

Die fünf Schritte unten sind unsere einfache Fassung von beiden, über eine Stunde gelegt. Nehmen wir ein Studio mit fünf Personen. Alle haben einen Namen auf der Seite, und niemand muss fragen, wer das Sagen hat.

die erste Stundefünf Schritte, fünf Namen

1
Bemerken.
Wer ein Warnzeichen sieht, ruft Ana an. Ana entscheidet, ob es ein Vorfall ist, sagt es laut und startet die gemeinsame Seite.
Ana stuft es ein · Minute 0 bis 10
2
Eindämmen.
Luca nimmt den betroffenen Mac vom Netzwerk und meldet das betroffene Konto überall ab, von einem anderen Gerät aus. Nichts wird gelöscht.
Luca betreut die Macs und Konten · Minute 10 bis 30
3
Informieren.
Mira verschickt jede Nachricht, die das Studio verlässt: an Kunden, an den Versicherer und, wenn die Seite es vorsieht, an eine Behörde. Nur Fakten, und wann das nächste Update kommt.
Mira spricht für das Studio · Minute 30 bis 45
4
Wiederherstellen.
Noah spielt ein Backup zurück, das er getestet hat, ersetzt Passwörter und Schlüssel und verbindet einen Mac erst wieder, wenn jemand ihn sich angesehen hat.
Noah stellt wieder her · ab Minute 45
5
Festhalten.
Elif schreibt jede Zeit, Aktion und Entscheidung auf der gemeinsamen Seite auf, ab Minute 0, und führt dieselbe Seite weiter, wenn die Stunde vorbei ist.
Elif führt die Seite · die ganze Zeit

Ein fiktives Studio mit fünf Personen. Die Minuten sind ein grobes Tempo für eine erste Stunde, keine Regel aus den Quellen.

Zuerst bemerken. Das NCSC listet Warnzeichen auf, die ein kleines Unternehmen sehen kann: Computer, die langsam reagieren, Konten, bei denen sich niemand anmelden kann, Dokumente, die sich nicht öffnen lassen, eine Lösegeldforderung, seltsame E-Mails von deiner eigenen Domain, unerwartete Zahlungsaufforderungen und Kontoaktivität, die falsch aussieht. Sag es Ana telefonisch. Wenn das E-Mail-Konto übernommen wurde, kann eine E-Mail an Ana von der Person gelesen werden, die es übernommen hat.

Lege die Namen fest, solange du ruhig bist.

Dann eindämmen. Bei einem Mac trennst du ihn vom Netzwerk. Lösche ihn nicht und installiere macOS noch nicht neu, denn was darauf liegt, sagt dir, was passiert ist. Bei einem Konto arbeitest du von einem anderen, vertrauenswürdigen Gerät aus: Ändere das Passwort, melde jede offene Sitzung ab und suche nach Regeln, die E-Mails weiterleiten, und nach Apps, die Zugriff bekommen haben.

Schlüssel brauchen eigene Überlegung. Jeder Schlüssel und jedes Token, das auf dem Mac lag, muss vielleicht ersetzt werden, bei dem Dienst, der es ausgestellt hat. Wer hat noch die API-Schlüssel deines Kunden? geht das durch.

Wisse, wer es erfahren muss und bis wann.

Menschen zu informieren ist der Schritt, den kleine Teams auslassen, und der mit den Fristen. Schau sie vor dem Tag nach, an dem du sie brauchst, und schreib sie auf die Seite. Was jetzt folgt, ist allgemeine Information, geprüft am 28.10.2026, und keine Rechtsberatung. Die Regeln in deinem Land können abweichen.

Zuerst die Kunden. Ein Vertrag oder der Sicherheitsfragebogen eines Kunden kann vorgeben, wie schnell du melden musst. Dann dein Versicherer. Der NCSC-Leitfaden verlangt, dass du die Kontaktdaten des Versicherers, deine Policennummer und alle Regeln der Police dafür, wie du reagierst, im Plan selbst festhältst.

Dann das Gesetz, wo es gilt. In der Europäischen Union regelt Artikel 33 der Datenschutz-Grundverordnung (DSGVO) personenbezogene Daten, die verloren gingen, verändert oder offengelegt wurden oder auf die jemand ohne Erlaubnis zugreifen konnte. Die verantwortliche Organisation muss die Aufsichtsbehörde unverzüglich und, wenn möglich, innerhalb von 72 Stunden informieren, nachdem sie davon erfahren hat. Sie muss es nicht, wenn der Vorfall voraussichtlich kein Risiko für Personen mit sich bringt, und eine spätere Meldung braucht eine Begründung für die Verzögerung. Der Europäische Datenschutzausschuss versteht «Kenntnis» so, dass man mit angemessener Sicherheit weiss, dass ein Vorfall personenbezogene Daten gefährdet hat. Ob du meldest oder nicht, du führst über jeden solchen Vorfall eine schriftliche Aufzeichnung.

Wenn du Daten für einen Kunden verarbeitest, bist du in der Regel der, den die Verordnung Auftragsverarbeiter nennt. Deine Pflicht ist dann, den Kunden unverzüglich zu informieren, nach Art. 33 Abs. 2. Der Kunde entscheidet über die Behörde.

Die Schweiz hat eine eigene Regel. Artikel 24 des Datenschutzgesetzes (DSG) verlangt vom Verantwortlichen, dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so schnell wie möglich zu melden, wenn ein Vorfall voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt. Die Hinweise des EDÖB, Version 1.2 vom 23. April 2025, sagen, dass ein Ransomware-Fall von einem angenommenen hohen Risiko ausgeht und die Meldung nicht auf eine lange Untersuchung wartet. Einzelheiten können nachgereicht werden.

Eine dritte Regel ist enger. Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen in der Schweiz, etwa Energie- und Trinkwasserversorger, Verkehrsunternehmen sowie kantonale und kommunale Verwaltungen, einen Cyberangriff innerhalb von 24 Stunden nach der Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden. Sie gilt nur für diese Betreiber. Die meisten kleinen Teams liegen ausserhalb, aber ein Kunde von dir kann darunterfallen und dich bitten, ihm schnell Bescheid zu sagen.

Schreib auf die Seite die Meldeadresse der Behörde und die Frist. Ana oder ein Anwalt entscheidet, ob ein Vorfall meldepflichtig ist. Der Plan sorgt nur dafür, dass diese Entscheidung rechtzeitig fällt.

Verantwortlicher oder Auftragsverarbeiter?

Verantwortlicher und Auftragsverarbeiter.

Der Verantwortliche entscheidet, warum und wie personenbezogene Daten verwendet werden. Der Auftragsverarbeiter verarbeitet sie im Auftrag des Verantwortlichen. Ein Kunde, der deiner Agentur eine Kundenliste gibt, ist der Verantwortliche. Du bist, wenn du an dieser Liste arbeitest, der Auftragsverarbeiter.

Wenn deine eigenen Mitarbeitenden, Kunden oder Interessenten betroffen sind, bist du möglicherweise auch Verantwortlicher. Wer dich in Datenschutzfragen berät, kann dir sagen, was du für welche Daten bist.

Bring den Plan auf eine Seite.

Schreib ihn als Seite mit Lücken und füll ihn einmal aus. Bewahre eine Kopie dort auf, wo ein gesperrter Laptop dich nicht aufhalten kann, gedruckt oder auf dem Handy, und eine zweite an einem Ort, der nicht von den Konten abhängt, die übernommen werden könnten. Das NCSC sagt dasselbe über die Kontaktliste: Bewahre sie dort auf, wo du sie erreichst, wenn die normale Kommunikation ausfällt.

Kopiere diese acht Zeilen in ein eigenes Dokument.

der Plan auf einer Seiteacht Zeilen zum Ausfüllen

Wen du anrufst, der Reihe nach.Die fünf Namen, ihre Telefonnummern und wer einspringt, wenn jemand weg ist.
Wo die Admin-Konten sind.E-Mail, Domain, Cloud-Speicher, Code-Hosting, die Bank. Wer jeden Wiederherstellungscode hält.
Die Kundenkontakte.Eine benannte Person pro Kunde und was jeder Vertrag darüber sagt, sie zu informieren.
Die Nummer des Versicherers.Die Policennummer und was die Police von dir verlangt, bevor du externe Hilfe beauftragst.
Externe Hilfe.Wer sich um deine IT, deinen Host oder deine Domain kümmert, mit der Vertragsnummer.
Die Backups.Wo sie liegen, wer sie zurückspielen kann und das Datum der letzten Test-Wiederherstellung.
Die Behörde und die Frist.Die Meldeadresse, die für dich gilt, und wer entscheidet, ob du sie nutzt.
Wo die Aufzeichnung hinkommt.Eine gemeinsame Seite, die nicht von den betroffenen Konten abhängt. Elif öffnet sie in Minute 0.

Der ganze Plan. Acht Zeilen, eine Seite, ausgefüllt vor dem Tag, an dem du ihn brauchst.

Prüfe die Nummern alle paar Monate, das ist der eigene Rhythmus des NCSC. Setz dich einmal im Jahr eine halbe Stunde mit der Seite und einem erfundenen Fall hin, etwa Miras E-Mail-Konto, das Links verschickt, die niemand geschrieben hat. Sprich jeden Schritt laut durch und schau, welche Zeile leer bleibt. Für eine längere Übung verweist das NCSC kleine Teams auf seine Exercise in a Box.

Wo Cybee in dieser Stunde hilft.

Cybee läuft auf den Macs, auf denen dein Team arbeitet. Es führt deinen Vorfall nicht, hilft aber am Anfang und am Ende.

Am Anfang handelt der Echtzeitschutz zuerst auf dem Mac. Er sucht nach bekannter Schadsoftware und nach Verhalten, für das es noch keine Signatur gibt, etwa ein Programm, das Passwörter sammelt oder Schutzfunktionen ausschaltet. Er stellt das Programm unter Quarantäne, stoppt es oder setzt die Einstellung zurück und sagt dir dann Bescheid.

Die Warnung erreicht dann die Person auf deiner Seite. Warnungen kommen im Chat mit deinem KI-Assistenten, als macOS-Mitteilungen, in Slack und aufs Handy per WhatsApp oder SMS. Das alles ist kostenlos. Eine Telefonnummer wird mit einem sechsstelligen Code bestätigt und bekommt standardmässig die kritischen und hohen Warnungen. Im Plan des Studios ist dieses Handy das von Ana.

Am Ende fragt ein Versicherer oder ein Kunde, welche Macs geschützt waren und seit wann. Cybee führt einen datierten Nachweis über jede Schutzmassnahme. Der Trust Passport ist ein datierter Nachweis, wie deine Macs geschützt sind, geteilt über einen Link. Ein Fingerabdruck am Ende zeigt, dass sich die Seite seit dem Versiegeln durch Cybee nicht verändert hat. Er prüft die Fakten nicht ein zweites Mal. Er gehört zur Cybee subscription, die du 14 Tage testen kannst.

Was du dir merken solltest.

Setz auf jede der fünf Aufgaben eine Person und gib den ersten Anruf ans Telefon, nicht an die E-Mail.
Trenne vom Netzwerk und melde ab. Lösche nichts, bevor du weisst, was passiert ist.
Schau jetzt die Fristen für deine Kunden und deinen Versicherer nach, und die der Behörde auch. Schreib sie auf die Seite.
Teste eine Wiederherstellung und lies die Seite einmal im Jahr laut vor.

Quellen und Produktumfang.

Von Cybee für kleine Teams geschrieben. Externe Seiten geprüft am 28.10.2026. Das ist allgemeine Information und keine Rechtsberatung. Die Produktfakten stehen in unserer Dokumentation.

Sieh, wie eine Warnung dein Team erreicht.

Eine klare Warnung, was Cybee zuerst auf dem Mac getan hat, und die Entscheidung, die bei dir bleibt.

Eine Warnung durchgehen

Ein Plan für die erste Stunde. Wer was tut, wenn ein Mac oder ein Konto übernommen wird.