OT-Cyber.de
Notfall 24/7 · +49 8031 8603164Kontakt

Schritt 1 von 5 · nach SANS CC1 „ICS Incident Response“

Schritt 1: Für den Notfall vorbereitet

Wissen alle, was zu tun ist, wenn die Anlage angegriffen wird?

Ein Angriff kommt meist dann, wenn keiner damit rechnet: nachts, am Wochenende, im Urlaub. Wer vorher festlegt, wer entscheidet, wen man anruft und wie die Anlage sicher weiterläuft, verliert Stunden statt Wochen. Ein Plan auf einer Seite reicht für den Anfang.

Ihr erster Schritt diese Woche: Hängen Sie eine Notfallkarte in Leitwarte, Werkstatt oder Technikraum. Die Vorlage finden Sie unten zum Ausdrucken.

In einer Minute erklärt

DienstleisterBüro-ITDMZLeitstandSteuerungPumpe
1/5 Montag, 6 Uhr: Im Büro sind Dateien verschlüsselt. Ein Erpresserschreiben ist da.

DienstleisterBüro-ITDMZLeitstandSteuerungPumpe
2/5 Die Schadsoftware erreicht den Leitstand. Bildschirme fallen aus, die Anlage läuft noch.

DienstleisterBüro-ITDMZLeitstandSteuerungPumpe
3/5 Erster Schritt: Anlage in einen sicheren Zustand bringen, bei Bedarf von Hand vor Ort. Nichts neu aufsetzen.

DienstleisterBüro-ITDMZLeitstandSteuerungPumpe
4/5 Zweiter Schritt: die Nummer von der Notfallkarte anrufen. Netztrennung nur abgestimmt, Spuren sichern.

DienstleisterBüro-ITDMZLeitstandSteuerungPumpe
5/5 Dritter Schritt: Ursache finden, sauber wiederherstellen, kontrolliert wieder anfahren. Der Plan hat Stunden gespart.

Warum das wichtig ist

Bei Angriffen auf Anlagen entsteht der größte Schaden oft durch hektische Reaktionen: Rechner werden neu aufgesetzt, Spuren gehen verloren, die Anlage läuft unkontrolliert an. Ein geübter Plan verhindert das.

Selbstcheck in zwei Minuten

Rot: Hier fehlen die Grundlagen. Fangen Sie mit „Ihr erster Schritt diese Woche“ und der Übung an.

Gelb: Die Basis steht. Schließen Sie die offenen Punkte mit der Checkliste.

Grün: Gut aufgestellt. Üben Sie regelmäßig und prüfen Sie die Punkte einmal im Jahr.

Tippen Sie an, was bei Ihnen zutrifft. Die Auswertung passiert nur in Ihrem Browser, nichts wird gesendet oder gespeichert.

Was Sie tun können, je nach Betrieb

Vom Supermarkt mit Kühlanlage bis zur Raffinerie: Wählen Sie, was am besten zu Ihnen passt.

Supermarkt-Filiale, Metzgerei, Bäckerei, Heizungsbauer, Gastronomie. 2 bis 10 Leute, keine eigene IT. Technik: Kühlanlage, Heizung, Lüftung, Kasse, ein Router wie die Fritzbox.

  • Notfallnummer des Kälte- oder Heizungstechnikers groß an die Anlage kleben.
  • Wissen, wie man die Anlage von Hand weiterbetreibt (Handbetrieb am Regler, Notkühlung, Ware umlagern).
  • Fotos von allen Reglereinstellungen machen und offline aufbewahren.

Zum 30-Minuten-Check für Kühlung und Heizung →

Handel mit Filialen, Handwerksbetrieb mit Maschinen, kleine Brauerei oder Käserei, Hotel. 10 bis 50 Leute, ein externer IT-Dienstleister, einige Steuerungen und Fernwartung durch Hersteller.

  • Notfallkarte mit drei Telefonnummern und einer Person, die entscheidet.
  • Sicherung der Steuerungsprogramme vom Hersteller oder Dienstleister geben lassen und offline lagern.
  • Einmal im Jahr 30 Minuten Planspiel mit Chef, IT-Dienstleister und Technik.

Maschinenbau, Lebensmittelhersteller, Brauereigruppe, Kunststoffverarbeitung. 50 bis 500 Leute, eigene IT, Instandhaltung, mehrere Linien, Fernwartung durch viele Maschinenhersteller.

  • Notfallplan für die Produktion getrennt vom IT-Notfallplan, mit Ansprechpartner je Linie.
  • Sicherungen aller Steuerungen und Bedienrechner, Wiederherstellung einmal im Jahr testen.
  • Vertrag mit einem Incident-Response-Dienstleister, der Anlagen kennt.

Kleine Stadtwerke, Wasser- und Abwasserverband, Fernwärme, Bauhof mit Pumpwerken. Wenige Fachleute, Bereitschaftsdienst, Leitsystem für verteilte Anlagen. NIS2 gilt hier oft schon.

  • Notfallplan für Leitsystem und Außenstationen, mit Handbetrieb je Anlage.
  • Meldeweg nach NIS2 klären: wer meldet was bis wann an wen.
  • Übung mit dem Bereitschaftsdienst, auch die Fahrt zu den Außenstationen planen.

Netzbetreiber, große Stadtwerke, Trinkwasserversorger, Kraftwerk. Kritische Infrastruktur, Leitstelle rund um die Uhr, viele Standorte, strenge Meldepflichten.

  • Notfall- und Krisenmanagement für Leitstelle und Netz, abgestimmt mit dem Krisenstab.
  • Regelmäßige Übungen mit Szenarien aus der aktuellen Lage, auch mit Behörden und Nachbarnetzen.
  • Wiederanlauf aus sauberen Sicherungen für Leitsystem und Schutztechnik planen und testen.

Raffinerie, Chemie, Pharma, Konzern mit vielen Werken. Tausende Beschäftigte, Sicherheitssysteme (SIS), weltweite Standards, eigene Security-Teams.

  • Incident Response für jeden Standort, verzahnt mit Prozesssicherheit und Sicherheitssystemen (SIS).
  • Playbooks für Ransomware, manipulierte Sollwerte und Ausfall der Leittechnik.
  • Jährliche Übungen über Werke hinweg, mit Lieferanten und Behörden.

Hands-on: Planspiel in 30 Minuten

  1. Drei bis fünf Leute an einen Tisch holen: wer entscheidet, wer kennt die Technik, wer spricht mit Kunden.
  2. Szenario vorlesen: „Montag, 6 Uhr, die Bildschirme im Leitstand zeigen eine Erpressernachricht.“
  3. Reihum fragen: Was tun Sie in den ersten 15 Minuten? Wen rufen Sie an? Wie läuft die Anlage weiter?
  4. Jede Lücke auf die Notfallkarte schreiben, zum Beispiel eine fehlende Telefonnummer.
  5. Notfallkarte fertig machen und aufhängen. Termin für das nächste Planspiel festlegen.

In der Simulation ausprobieren

Öffnen Sie eine Simulation, Reiter „Purple Team“, und starten Sie das Ransomware-Szenario. Danach im Reiter „Reaktionsplan“ nachlesen, welche Schritte in welcher Reihenfolge kommen.

Zu den Simulationen

Zum Ausdrucken

Notfallkarte zum Aushängen, Checkliste Notfallvorsorge, Ablauf Planspiel. Zum Abhaken, mit Feldern für „Wer“ und „Bis wann“. Dazu ein ausgefülltes Beispiel: Muster-Notfallplan für einen erfundenen Betrieb, damit Sie sehen, wie es aussehen kann.

PDF mit Vorlage und Beispiel herunterladen

Was verlangen Gesetz und Norm?

NIS2 verlangt die Bewältigung von Sicherheitsvorfällen, Backup, Wiederherstellung und Krisenmanagement (in Deutschland seit 6.12.2025 § 30 Abs. 2 Nr. 2 und 3 BSIG). Erhebliche Vorfälle sind nach § 32 BSIG zu melden: erste Meldung nach spätestens 24 Stunden, dann nach 72 Stunden, Abschluss nach einem Monat. IEC 62443-2-1 verlangt vom Betreiber ein Ereignis- und Vorfallmanagement.

Quellen

Aktuell dazu

Automatisch zugeordnet aus der täglichen Lage und dem Blog.

Zur aktuellen Lage →

Was gilt bei Ihnen?

Bayern und Deutschland

Einrichtungen, für die NIS2 gilt, melden erhebliche Vorfälle an das BSI: erste Meldung spätestens nach 24 Stunden, Bestätigung nach 72 Stunden, Abschluss nach einem Monat (§ 32 BSIG, gültig seit 6.12.2025). Unternehmen in Bayern erreichen die Polizei über die Zentrale Ansprechstelle Cybercrime (ZAC) beim Landeskriminalamt. Das Landesamt für Sicherheit in der Informationstechnik (LSI) ist für Staatsverwaltung, Kommunen und öffentliche Unternehmen da, etwa kommunale Stadtwerke.

Salzburg, Tirol und Österreich

Seit 1.10.2026 gilt das NISG 2026, zuständig ist das Bundesamt für Cybersicherheit. Betroffene Einrichtungen melden an das Computer-Notfallteam ihres Sektors, ersatzweise an CERT.at: Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat. Kleine Betriebe sind meist nicht meldepflichtig; CERT.at und die Polizei helfen trotzdem.

Schweiz

Betreiber kritischer Infrastrukturen melden Cyberangriffe seit 1. April 2025 innerhalb von 24 Stunden an das Bundesamt für Cybersicherheit (BACS); fehlende Angaben lassen sich binnen 14 Tagen nachreichen. Freiwillige Meldungen nimmt das BACS von allen entgegen.

Stand November 2026. Ob eine Pflicht für Ihren Betrieb gilt, hängt von Branche und Größe ab. Im Zweifel fragen Sie die zuständige Stelle oder uns.

Quellen zu Meldepflichten

Häufige Fragen

Was ist im Notfall der erste Schritt?

Die Anlage in einen sicheren Zustand bringen, nichts neu aufsetzen oder löschen, Netztrennung nur abgestimmt und sofort Hilfe holen.

Brauche ich als kleiner Betrieb einen Notfallplan?

Ja, aber kurz: eine Seite mit Telefonnummern, wer entscheidet und wie die Anlage von Hand weiterläuft.

Muss ich einen Angriff melden?

Das hängt von Branche und Größe ab. Unten unter „Was gilt bei Ihnen?“ stehen die Meldestellen für Bayern, Österreich und die Schweiz.

Alle fünf SchritteSchritt 2: Netz in Zonen trennen →

Zuletzt aktualisiert: 06.11.2026

Fragen? Wir helfen auch. Notfall? 24/7 anrufen: +49 8031 8603164

Seite teilen: LinkedInXINGFacebookXWhatsAppE-Mail