Checklisten für Handwerker*innen Was tun bei einem Cyber-Angriff?

Stimmt etwas nicht mit Ihrem Computer oder Netzwerk?
Dann handeln Sie sofort, aber überlegt!

Schritt 1: Ruhe bewahren und Arbeit sofort stoppen

• Geraten Sie nicht in Panik.
• Unterbrechen Sie sofort die Arbeit – auch unter Zeitdruck!
• Machen Sie NICHT weiter wie bisher.
• Schalten Sie den Computer NICHT aus.
  (wichtige Beweise können verloren gehen!)

HWK-Hinweis: Ein einziger Klick kann schnell einen betrieblichen Notfall auslösen." Betroffenes Gerät nicht weiter benutzen – keine eigenständigen Reparaturen versuchen!

Schritt 2: Computer sofort vom EDV-Netzwerk trennen

• Netzwerkkabel herausziehen (das Kabel, das zum Router führt)
• WLAN deaktivieren (am besten WLAN am Router ausschalten)
• Alle anderen Geräte im Büro ebenfalls prüfen und ggf. vom EDV-Netzwerk trennen
• ⚠️ Wichtig: Gerät NICHT ausschalten – nur vom EDV-Netzwerk trennen!

Schritt 3: Alles aufschreiben – sofort!

• Uhrzeit und Datum notieren, wann das Problem bemerkt wurde
• Genau aufschreiben, was zu sehen war
  (z. B. „Bildschirm zeigt eine unbekannte Meldung")
• Notieren, was kurz davor gemacht wurde
  (z. B. E-Mail geöffnet, Link angeklickt, USB-Stick eingesteckt)
• Betroffene Geräte notieren (welche Computer, Drucker, Tablets?)

Schritt 4: Notfallkontakt informieren

• Definierten Notfallkontakt umgehend über den vorgegebenen Kanal benachrichtigen
• BSI-Hotline anrufen: 0800 274 1000 (kostenlos, rund um die Uhr)
• Cyberhotline der Digitalagentur Berlin anrufen: 0800 360 30 60 (kostenlos, Mo-Fr 09 - 17 Uhr)
• oder Ihren IT-Dienstleister anrufen
• Polizei informieren (Strafanzeige erstatten) unter dem Nummer +49 30 4664 972972:
  ZAC - Zentrale Ansprechstelle Cybercrime für die Wirtschaft im LKA Berlin
  Hier erhalten Sie auch weitere Informationen, wie Sie sich nun verhalten sollen.

💡 HWK-Merksatz: Mitarbeitende sind oft die Ersten, die ungewöhnliche Situationen bemerken. Fehlermeldungen sind kein persönliches Versagen – sie verbessern die Betriebssicherheit!

Quellen:

• BSI IT-Notfallkarte
• BSI Erste Hilfe
• HWK Vorfall-Management

Manchmal kündigt sich ein Angriff vorher an. Kennen Sie diese Warnsignale?

Technische Warnsignale

• Computer ist ungewöhnlich langsam oder stürzt häufig ab
• Fehlermeldungen erscheinen ohne erkennbaren Grund
• Pop-up-Fenster erscheinen plötzlich und lassen sich nicht schließen
• Dateien sind gesperrt oder lassen sich nicht mehr öffnen
• Eine Lösegeldforderung erscheint auf dem Bildschirm
• Programme starten sich von selbst
• Passwörter funktionieren nicht mehr

Organisatorische Warnsignale

• Unerwartete E-Mails wurden in Ihrem Namen verschickt
• Login-Benachrichtigungen für unbekannte Zugriffe
• Ungewöhnliche Anrufe (z. B. angeblicher „Microsoft-Support")
• Unbekannte Person möchte Fernzugriff auf Ihren Computer erhalten
• Geld fehlt auf dem Firmenkonto

Aus der HWK-Praxis – typische Einfallstore im Handwerk

Praxisbeispiel USB-Stick: Ein infizierter USB-Stick kann unbemerkt Schadsoftware einschleusen, beispielsweise  in einer Schreinerei, wo dadurch ein Ransomware-Angriff ausgelöst wurde.
→ Regel: Keine fremden USB-Sticks verwenden!

Praxisbeispiel Fake-Techniker: Ein falscher Techniker täuscht vor, legitim zu sein, und erschleicht sich Fernzugriff.
→ Typische Merkmale von Social Engineering: Zeitdruck, Autorität, übertriebene Hilfsbereitschaft – kritisch hinterfragen!

Praxisbeispiel gestohlenes Tablet: Ohne Passwort und Verschlüsselung sind Tablets anfällig für unbefugten Datenzugriff.
→ Alle mobilen Geräte mit Passwort und Verschlüsselung sichern!
→ Bauchgefühl ernst nehmen – lieber einmal zu viel melden als zu wenig!

Quellen:

• HWK Vorfall-Management
• BSI Erste Hilfe
• BSI Cyber-Bedrohungen Einstieg

Erst wenn die Geräte vom Netz getrennt sind, versuchen Sie herauszufinden, was genau passiert ist.

Betroffene Systeme identifizieren

• Welche Computer sind betroffen? (Liste erstellen)
• Welche Benutzerkonten und Passwörter könnten kompromittiert sein?
• Welche Daten sind betroffen? (Kundendaten? Rechnungen? Angebote? Pläne?)
• Seit wann könnte das Problem bestehen? (Zeitpunkt eingrenzen)
• Gibt es Backups (Datensicherungen)? Wo befinden sie sich?
• Welche Geräte funktionieren noch? (für den Notbetrieb)

Vorfall dokumentieren (rechtlich und versicherungstechnisch wichtig!)

• Zeitpunkt, Art des Vorfalls und betroffene Systeme schriftlich festhalten
• Ergriffene Maßnahmen dokumentieren
• Screenshots oder Fotos von Fehlermeldungen machen (mit einem separaten Gerät oder Smartphone)

💡 HWK-Hinweis: Eine gründliche Analyse spart Zeit und verhindert Fehlentscheidungen bei der weiteren Vorfallbearbeitung.
Infizierte Computer als vollständig kompromittiert betrachten – Passwörter, die darauf verwendet wurden, sofort als gestohlen ansehen!

Quellen:

• HWK Vorfall-Management
• BSI Erste Hilfe

Täter nutzen gestohlene Passwörter, um weiter in Systeme einzudringen:

• Alle Passwörter ändern – aber nur auf einem sicheren, nicht betroffenen Gerät
  (z. B. Ihr privates Smartphone)
• Passwörter ändern für:
  • E-Mail-Konto
  • Online-Banking
  • Steuer-Software und DATEV
  • Cloud-Dienste (z. B. Dropbox, OneDrive)
  • Soziale Medien (Facebook, Instagram, Xing)
  • Lieferantenportale und Kundenportale
  • Router- und WLAN-Zugangsdaten
• Kompromittierte Zugänge sperren lassen
• Bank kontaktieren und warnen
• Kreditkarten sperren lassen, falls nötig
  (Sperrnummer: 116 116)

⚠️ Niemals: Mit Administrator-Passwörtern auf einem infizierten Computer anmelden!

Quellen:

• BSI Erste Hilfe
• BSI Basismaßnahmen CS 006
• HWK Vorfall-Management

Ein Cyber-Angriff kann Ihren Betrieb tagelang lahmlegen.
Grundsätzlich lassen sich drei Phasen nach dem Vorfall unterscheiden:

• Analysephase
• Übergangsbetrieb
• Bereinigungsphase

Richten Sie so schnell wie möglich einen Notbetrieb ein.

Welche Aufgaben können noch erledigt werden?

• Aufgaben identifizieren, die ohne Computer möglich sind
  (z. B. handschriftliche Notizen)
• Aufgaben identifizieren, die mit einem sauberen Gerät möglich sind (Privathandy, nicht betroffenes Tablet)
• Kompromittierte Zugänge sperren – erhöhtes Monitoring einschalten
• Ersatzsysteme nutzen, wenn vorhanden
• Kunden, Lieferanten und Partner telefonisch informieren, dass es Probleme gibt
• Wichtige Kontaktdaten (Telefonnummern, Adressen) aus Papierdokumenten zusammensuchen

Kommunikation sicherstellen (kontrolliert und intern abgestimmt!)

• Erreichbar bleiben – ggf. ein Prepaid-Handy kaufen, falls Firmentelefon betroffen
• Eine vorübergehende E-Mail-Adresse anlegen (z. B. über Gmail auf privatem Gerät)
• Mitarbeiter informieren, was passiert ist – klare Ansagen machen
• Keine unkoordinierten Aussagen nach außen – erst intern abstimmen!
• Enge Zusammenarbeit zwischen Geschäftsführung, IT und Mitarbeitenden sicherstellen

💡 HWK-Hinweis: Kontrollierte Kommunikation verhindert Missverständnisse und begrenzt Schäden."
Unkoordinierte Aussagen führen zu Verwirrung und können den Schaden vergrößern.

💡 Erfahrungswert laut BSI: Bei einem schweren Angriff kann der Betrieb 2–4 Wochen eingeschränkt sein. Bereiten Sie sich auf einen Vorfall vor. Vorbereitung ist alles!

Quellen:

• HWK Vorfall-Management
• BSI Erste Hilfe

Als Unternehmer haben Sie gesetzliche Pflichten, bestimmte Vorfälle zu melden. Die Meldewege müssen bekannt und erreichbar sein, das heißt digital und analog (z. B. ausgedruckte Notfallkarte).

Polizei: Strafanzeige erstatten
ZAC – Zentrale Ansprechstelle Cybercrime für die Wirtschaft beim LKA Berlin Ansprechpartner bei Cyberangriffen und Sicherheitsvorfällen, erste Unterstützung bei der Bewältigung von Sicherheitsvorfällen im Rahmen der Cyberkriminalität
Tel.: +49 30 4664 972972
Kontaktformular: www.berlin.de/polizei/aufgaben/praevention/cybercrime/formular.1674647.php

BSI-Hotline: 0800 274 1000 (kostenlos)

Cyberhotline der Digitalagentur Berlin: 0800 360 30 60 (kostenlos)

Datenschutzbeauftragte des Landes Berlin:
Wenn Kundendaten oder Mitarbeiterdaten gestohlen wurden.
→ Meldung innerhalb von 72 Stunden (Pflicht laut DSGVO!)
Berliner Beauftragte für Datenschutz und Informationsfreiheit: www.datenschutz-berlin.de
Einen Datenschutzvorfall melden: www.datenschutz-berlin.de/datenschutz/datenpanne/datenpannenformular

Cyber-Versicherung: Falls vorhanden – sofort informieren!

Kunden und Lieferanten: Informieren, wenn deren Daten betroffen sein könnten.

Steuerberater und DATEV: Informieren, falls Buchhaltungsdaten betroffen sind

Handwerkskammer Berlin: Fragen Sie als Mitgliedsbetrieb eine kostenfreie Beratung an. 

• Datenschutz: +49 30 259 03 - 391, heimhold@hwk-berlin.de
• IT- und Cybersicherheit: +49 30 259 03 - 444, kania@hwk-berlin.de

⚠️ Achtung: Die 72-Stunden-Frist für die Datenschutzmeldung läuft ab dem Moment, in dem Sie von dem Vorfall erfahren!
Überprüfen und aktualisieren Sie ihre Meldewege daher regelmäßig .
Es gilt: Lieber einmal zu viel melden als einmal zu wenig.

Quellen:

• BSI Erste Hilfe
• BSI Digitale Rettungskette
• HWK Vorfall-Management

Cyber-Kriminelle fordern oft Geld, damit Sie Ihre Daten zurückbekommen. Die Motivation der Täter ist meist finanziell. Sie finanzieren sich durch Lösegeldzahlungen.

• Nein – kein Lösegeld zahlen!
• • Zahlung garantiert nicht, dass Sie Ihre Daten zurückbekommen
  • Sie finanzieren damit weitere Kriminalität
  • Täter können trotzdem weiter auf Ihre Daten zugreifen und diese ggf. auch noch im Internet veröffentlichen.
  • Sie machen sich ggf. selbst strafbar (Finanzierung krimineller Strukturen)
    Sprechen Sie am besten mit der ZAC und einem IT-Sicherheitsspezialisten
• Stattdessen:
• • Backups (Datensicherungen) nutzen, um Daten wiederherzustellen
  • Polizei und BSI einschalten
  • IT-Fachmann beauftragen
  • Systeme neu aufsetzen und aus sauberen Backups wiederherstellen
    (Bereinigungsphase)

💡 BSI-Empfehlung: "Im Fall einer bereits erfolgten Verschlüsselung sollten Sie grundsätzlich nicht auf die Erpressung eingehen."
Täter nutzen Ransomware gezielt gegen Unternehmen – Handwerksbetriebe sind ein häufiges Ziel!

Quellen:

• BSI Erste Hilfe (Ransomware)
• BSI Cyber-Bedrohungen Einstieg

💡 Das BSI-Cyber-Sicherheitsnetzwerk (CSN) vermittelt auch zertifizierte Vorfall-Experten, die persönlich vor Ort helfen können.
Die Handwerkskammer Berlin bietet außerdem einen kostenlosen CyberRisikoCheck nach DIN SPEC 27076 an – sprechen Sie uns an!

Erst wenn IT-Fachleute grünes Licht geben, können Systeme wieder in Betrieb genommen werden.

Bereinigungsphase (nur mit IT-Fachmann!)

• Ursache des Angriffs vollständig und nachhaltig beseitigen
• Betroffene Systeme komplett neu aufsetzen (nicht nur „bereinigen")
• Daten ausschließlich aus sauberen, geprüften Backups wiederherstellen
• Sicherheitsmaßnahmen überprüfen und verbessern
• Alle Schwachstellen schließen, die zum Angriff geführt haben

Aus dem Vorfall lernen

• Prozesse sorgfältig überprüfen – Was hat funktioniert, was nicht?
• Meldewege überprüfen und aktualisieren
• Mitarbeiter über den Vorfall informieren und sensibilisieren
• Notfallplan für die Zukunft verbessern

💡 HWK-Fazit: „Schnelles Melden, klare Prozesse, gemeinsames Handeln
Vorfall-Management ist eine betriebliche Kernkompetenz, die Arbeitsplätze sichert."

Quellen:

• HWK Vorfall-Management
• BSI Erste Hilfe

💡 BSI-Hinweis: „Zwar gibt es keinen absoluten Schutz, jedoch können Cyber-Angriffe durch geeignete Maßnahmen deutlich erschwert und in ihren Auswirkungen abgeschwächt werden."

Technische Mindestmaßnahmen (HWK und BSI)

• Firewall aktivieren – schützt das Netzwerk vor unerwünschtem Zugriff
• Virenschutz installieren und aktuell halten
  (Windows Defender ist bei Windows vorinstalliert und ausreichend)
• WLAN sicher verschlüsseln
  Verschlüsselung WPA2+WPA3 Mixed-Mode aktivieren, kein offenes WLAN für den Betrieb!
• VPN für mobiles Arbeit (Außendienst, Baustelle) verwenden

Updates und Schwachstellen (BSI CS 093)

• Updates immer sofort installieren: Windows, Programme, Browser, Router-Firmware
• Automatische Updates aktivieren, wo möglich
• ⚠️ Windows 10 läuft seit Oktober 2025 ohne Sicherheitsupdates
  – Upgrade auf Windows 11 prüfen!
• Veraltete, nicht mehr unterstützte Software und Hardware ersetzen

Datensicherung (Backup) – 3-2-1-Regel (c’t 2026)

• Regelmäßige Datensicherung: mindestens einmal pro Woche
• 3-2-1-Regel befolgen: 3 Kopien auf 2 verschiedenen Datenträgern, davon 1 außer Haus (z. B. zu Hause oder am zweiten Standort)
• Backup-Medium verschlüsseln – bei Diebstahl sind die Daten geschützt
• Backup nach dem Sichern physisch trennen
  – ein dauerhaft im Netzwerk eingebundenes Laufwerk ist kein sicheres Backup!
• Backup regelmäßig testweise wiederherstellen – nur getestete Backups sind verlässlich

Zugänge und Passwörter (BSI und c’t 2026)

Starke Passwörter verwenden – Länge ist der wichtigste Faktor (mindestens 12 Zeichen, Groß- und Kleinbuchstaben, Zahlen, Sonderzeichen)

Einen Passwortmanager verwenden (z. B. KeePassXC oder Bitwarden) – ein Masterpasswort für alle Zugänge

Passkeys nutzen, wo immer angeboten (z. B. Google, Microsoft, Amazon, PayPal) – sicherer als jedes Passwort

Zwei-Faktor-Authentifizierung (2FA) aktivieren – für E-Mail, Online-Banking und alle wichtigen Konten

Passwörter nicht mehrfach verwenden

Regelmäßig prüfen, ob eigene Zugangsdaten im Darknet aufgetaucht sind:
haveibeenpwned.com oder HPI Identity Leak Checker

Geräte sichern – besonders für Handwerksbetriebe (HWK und c’t 2026)

• Systemfestplatte mit BitLocker oder VeraCrypt verschlüsseln – schützt Daten bei Diebstahl oder physischem Zugriff
• Alle mobilen Geräte (Tablets, Smartphones) mit Bildschirmsperre und mindestens 6-stelligem PIN sichern
• Geräteverschlüsselung auf Smartphones und Tablets aktivieren
• Klare Regeln für externe Datenträger (USB-Sticks): Keine fremden USB-Sticks verwenden!
• Apps nur aus offiziellen Stores installieren (Google Play und App Store)
• App-Berechtigungen regelmäßig überprüfen und nicht benötigte Rechte entziehen
• Smartphone nicht rooten oder jailbreaken, besonders wenn es für Banking genutzt wird

WLAN-Router absichern (c’t 2026)

• WLAN-Passwort mindestens 24 Zeichen lang wählen
• Verschlüsselung: WPA2+WPA3 Mixed-Mode oder mindestens WPA2 mit PMF
• Gast-WLAN für Besucher und Smart-Home-Geräte einrichten (trennt vom Firmennetz!)
• WPS nur vorübergehend aktivieren – danach wieder ausschalten
• Router-Firmware automatisch aktuell halten
• Voreingestelltes Router-Konfigurationspasswort ändern

E-Mail sicher nutzen (c’t 2026)

• Keine Anhänge von unbekannten Absendern öffnen
• Niemals auf Links in verdächtigen E-Mails klicken – Websites lieber manuell aufrufen oder per Lesezeichen
• Bei verdächtigen E-Mails: über einen anderen Kanal beim Absender nachfragen
  (z.B. per Telefon)
• Sicherheitswarnungen niemals ignorieren, egal was die E-Mail behauptet
• Zwei-Faktor-Authentifizierung (2FA) beim E-Mail-Konto aktivieren

Online-Betrug erkennen (c’t 2026)

• Bei Anrufen, die Druck erzeugen: auflegen und zurückrufen (über bekannte Nummer, nicht die angezeigte!)
• Auf Quishing (gefälschte QR-Codes) achten – z. B. an Parkautomaten oder in Briefen
• Notfallkontakt im Bekanntenkreis benennen, der bei Verdacht berät – bevor man handelt

Mitarbeiter sensibilisieren (HWK und BSI)

• Mitarbeiter über Phishing, Ransomware und Social Engineering regelmäßig informieren
• Social Engineering erkennen lernen: Zeitdruck, Autorität, übertriebene Hilfsbereitschaft = Warnsignale!
• Offene Sicherheitskultur fördern – Bauchgefühl ernst nehmen und Fehler melden dürfen
• Klare Meldewege für alle Mitarbeiter festlegen und bekanntmachen

Für den nächsten Notfall vorbereiten

• Notfallkontakte (IT, Polizei, BSI, HWK) ausdrucken und gut sichtbar aufhängen
• Backup-Plan aufschreiben: Wo sind die Datensicherungen? Wie werden sie eingespielt?
• Diese Checklisten ausdrucken und griffbereit halten!
• CyberRisikoCheck (nach DIN SPEC 27076) mit der Handwerkskammer Berlin durchführen – für Handwerker kostenlos!

Tipp der Handwerkskammer Berlin

Hängen Sie die Sofortmaßnahmen-Checkliste Nr. 1 dieses Dokuments gut sichtbar in Ihrem Büro auf – am besten neben dem Computer. Im Stress vergisst man schnell, was zu tun ist!

Die drei goldenen Regeln aus der HWK-Notfallkarte lauten:

1. STOPPEN  – Arbeit sofort unterbrechen
2. TRENNEN – Gerät vom Netzwerk trennen
3. MELDEN   – Notfallkontakt informieren

Quellen:

• BSI Basismaßnahmen CS 006
• BSI Schwachstellen und Updates CS 093
• HWK Vorfall-Management
• BSI Cyber-Bedrohungen Einstieg
• c’t Security-Checkliste 2026

Erstellt durch HWK Koblenz mit KI-Unterstützung · Stand: April 2026