Schritt 1 von 5 · nach SANS CC1 „ICS Incident Response“ # Schritt 1: Für den Notfall vorbereitet Wissen alle, was zu tun ist, wenn die Anlage angegriffen wird? Ein Angriff kommt meist dann, wenn keiner damit rechnet: nachts, am Wochenende, im Urlaub. Wer vorher festlegt, wer entscheidet, wen man anruft und wie die Anlage sicher weiterläuft, verliert Stunden statt Wochen. Ein Plan auf einer Seite reicht für den Anfang. Ihr erster Schritt diese Woche: Hängen Sie eine Notfallkarte in Leitwarte, Werkstatt oder Technikraum. Die Vorlage finden Sie unten zum Ausdrucken. ## In einer Minute erklärt - - - - - DienstleisterBüro-ITDMZLeitstandSteuerungPumpe1/5 Montag, 6 Uhr: Im Büro sind Dateien verschlüsselt. Ein Erpresserschreiben ist da.Weiter - - - - - DienstleisterBüro-ITDMZLeitstandSteuerungPumpe2/5 Die Schadsoftware erreicht den Leitstand. Bildschirme fallen aus, die Anlage läuft noch.ZurückWeiter - - - - - DienstleisterBüro-ITDMZLeitstandSteuerungPumpe3/5 Erster Schritt: Anlage in einen sicheren Zustand bringen, bei Bedarf von Hand vor Ort. Nichts neu aufsetzen.ZurückWeiter - - - - - DienstleisterBüro-ITDMZLeitstandSteuerungPumpe4/5 Zweiter Schritt: die Nummer von der Notfallkarte anrufen. Netztrennung nur abgestimmt, Spuren sichern.ZurückWeiter - - - - - DienstleisterBüro-ITDMZLeitstandSteuerungPumpe5/5 Dritter Schritt: Ursache finden, sauber wiederherstellen, kontrolliert wieder anfahren. Der Plan hat Stunden gespart.ZurückVon vorn ## Warum das wichtig ist Bei Angriffen auf Anlagen entsteht der größte Schaden oft durch hektische Reaktionen: Rechner werden neu aufgesetzt, Spuren gehen verloren, die Anlage läuft unkontrolliert an. Ein geübter Plan verhindert das. ## Selbstcheck in zwei Minuten - Es gibt eine Liste mit Telefonnummern für den Notfall (intern, Dienstleister, Hersteller, Behörde). - Es ist festgelegt, wer im Notfall entscheidet, auch nachts und am Wochenende. - Alle wissen: Anlage zuerst in einen sicheren Zustand bringen, nichts neu aufsetzen oder löschen. - Die Anlage lässt sich vor Ort von Hand weiter betreiben oder sicher abschalten. - Es gibt Sicherungen der Steuerungsprogramme und Konfigurationen, die nicht im Netz hängen. - Eine Wiederherstellung aus der Sicherung wurde schon einmal ausprobiert. - Das Team hat den Notfall in den letzten zwölf Monaten einmal durchgespielt. - Es ist bekannt, ob und wo ein Vorfall gemeldet werden muss.Rot: Hier fehlen die Grundlagen. Fangen Sie mit „Ihr erster Schritt diese Woche“ und der Übung an. Gelb: Die Basis steht. Schließen Sie die offenen Punkte mit der Checkliste. Grün: Gut aufgestellt. Üben Sie regelmäßig und prüfen Sie die Punkte einmal im Jahr. Tippen Sie an, was bei Ihnen zutrifft. Die Auswertung passiert nur in Ihrem Browser, nichts wird gesendet oder gespeichert. ## Was Sie tun können, je nach Betrieb Vom Supermarkt mit Kühlanlage bis zur Raffinerie: Wählen Sie, was am besten zu Ihnen passt. KleinstbetriebKleiner Betrieb mit TechnikMittelständische ProduktionKleiner Versorger oder KommuneGroßer Versorger oder NetzbetreiberGroßindustrie und ProzessindustrieSupermarkt-Filiale, Metzgerei, Bäckerei, Heizungsbauer, Gastronomie. 2 bis 10 Leute, keine eigene IT. Technik: Kühlanlage, Heizung, Lüftung, Kasse, ein Router wie die Fritzbox. - Notfallnummer des Kälte- oder Heizungstechnikers groß an die Anlage kleben. - Wissen, wie man die Anlage von Hand weiterbetreibt (Handbetrieb am Regler, Notkühlung, Ware umlagern). - Fotos von allen Reglereinstellungen machen und offline aufbewahren.Zum 30-Minuten-Check für Kühlung und Heizung → (/schritte/kleinbetrieb/) Handel mit Filialen, Handwerksbetrieb mit Maschinen, kleine Brauerei oder Käserei, Hotel. 10 bis 50 Leute, ein externer IT-Dienstleister, einige Steuerungen und Fernwartung durch Hersteller. - Notfallkarte mit drei Telefonnummern und einer Person, die entscheidet. - Sicherung der Steuerungsprogramme vom Hersteller oder Dienstleister geben lassen und offline lagern. - Einmal im Jahr 30 Minuten Planspiel mit Chef, IT-Dienstleister und Technik.Maschinenbau, Lebensmittelhersteller, Brauereigruppe, Kunststoffverarbeitung. 50 bis 500 Leute, eigene IT, Instandhaltung, mehrere Linien, Fernwartung durch viele Maschinenhersteller. - Notfallplan für die Produktion getrennt vom IT-Notfallplan, mit Ansprechpartner je Linie. - Sicherungen aller Steuerungen und Bedienrechner, Wiederherstellung einmal im Jahr testen. - Vertrag mit einem Incident-Response-Dienstleister, der Anlagen kennt.Kleine Stadtwerke, Wasser- und Abwasserverband, Fernwärme, Bauhof mit Pumpwerken. Wenige Fachleute, Bereitschaftsdienst, Leitsystem für verteilte Anlagen. NIS2 gilt hier oft schon. - Notfallplan für Leitsystem und Außenstationen, mit Handbetrieb je Anlage. - Meldeweg nach NIS2 klären: wer meldet was bis wann an wen. - Übung mit dem Bereitschaftsdienst, auch die Fahrt zu den Außenstationen planen.Netzbetreiber, große Stadtwerke, Trinkwasserversorger, Kraftwerk. Kritische Infrastruktur, Leitstelle rund um die Uhr, viele Standorte, strenge Meldepflichten. - Notfall- und Krisenmanagement für Leitstelle und Netz, abgestimmt mit dem Krisenstab. - Regelmäßige Übungen mit Szenarien aus der aktuellen Lage, auch mit Behörden und Nachbarnetzen. - Wiederanlauf aus sauberen Sicherungen für Leitsystem und Schutztechnik planen und testen.Raffinerie, Chemie, Pharma, Konzern mit vielen Werken. Tausende Beschäftigte, Sicherheitssysteme (SIS), weltweite Standards, eigene Security-Teams. - Incident Response für jeden Standort, verzahnt mit Prozesssicherheit und Sicherheitssystemen (SIS). - Playbooks für Ransomware, manipulierte Sollwerte und Ausfall der Leittechnik. - Jährliche Übungen über Werke hinweg, mit Lieferanten und Behörden. ## Hands-on: Planspiel in 30 Minuten - Drei bis fünf Leute an einen Tisch holen: wer entscheidet, wer kennt die Technik, wer spricht mit Kunden. - Szenario vorlesen: „Montag, 6 Uhr, die Bildschirme im Leitstand zeigen eine Erpressernachricht.“ - Reihum fragen: Was tun Sie in den ersten 15 Minuten? Wen rufen Sie an? Wie läuft die Anlage weiter? - Jede Lücke auf die Notfallkarte schreiben, zum Beispiel eine fehlende Telefonnummer. - Notfallkarte fertig machen und aufhängen. Termin für das nächste Planspiel festlegen. ## In der Simulation ausprobieren Öffnen Sie eine Simulation, Reiter „Purple Team“, und starten Sie das Ransomware-Szenario. Danach im Reiter „Reaktionsplan“ nachlesen, welche Schritte in welcher Reihenfolge kommen. Zu den Simulationen (/simulationen/) ## Zum Ausdrucken Notfallkarte zum Aushängen, Checkliste Notfallvorsorge, Ablauf Planspiel. Zum Abhaken, mit Feldern für „Wer“ und „Bis wann“. Dazu ein ausgefülltes Beispiel: Muster-Notfallplan für einen erfundenen Betrieb, damit Sie sehen, wie es aussehen kann. PDF mit Vorlage und Beispiel herunterladen (/schritte/notfall/checkliste-schritt-1-notfall.pdf) ## Was verlangen Gesetz und Norm? NIS2 verlangt die Bewältigung von Sicherheitsvorfällen, Backup, Wiederherstellung und Krisenmanagement (in Deutschland seit 6.12.2025 § 30 Abs. 2 Nr. 2 und 3 BSIG). Erhebliche Vorfälle sind nach § 32 BSIG zu melden: erste Meldung nach spätestens 24 Stunden, dann nach 72 Stunden, Abschluss nach einem Monat. IEC 62443-2-1 verlangt vom Betreiber ein Ereignis- und Vorfallmanagement. ## Quellen - SANS Institute: The Five ICS Cybersecurity Critical Controls (Lee, Conway, Oktober 2022) (https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls) - § 30 BSIG (Mindestmaßnahmen, gültig seit 6.12.2025) (https://openlex.de/bsig/30) - § 32 BSIG (Meldepflichten 24 Stunden, 72 Stunden, ein Monat) (https://openlex.de/bsig/32) - CISA Tabletop Exercise Packages (Planspiele, auch für Anlagen) (https://www.cisa.gov/resources-tools/services/cisa-tabletop-exercise-packages) - BSI-CS 005: ICS-Security, Top 10 Bedrohungen und Gegenmaßnahmen 2022 (https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_005.pdf?__blob=publicationFile&v=6) ## Aktuell dazu Automatisch zugeordnet aus der täglichen Lage und dem Blog. - Vorfall-Lagebild: Erster Schweizer Kühlanlagen-Hack: Metzgerei Köniz (/blog/vorfall-lagebild-erster-schweizer-kuehlanlagen-hack-metzgerei-koeniz.html) (05.11.2026) - Vorfall-Lagebild: Angriff über Kältedienstleister trifft EFS-Kühlräume (/blog/vorfall-lagebild-hacker-stellen-efs-blutkuehlraeume-von-30-auf-110-c.html) (05.11.2026) - SANS Five Controls am Beispiel einer 3D-Druck-Farm (/blog/sans-five-controls-in-der-eigenen-fertigung-umgesetzt.html) (03.11.2026) - Vorfall-Lagebild: Charité-Webserver gehackt: Kontaktdaten abgeflossen (/blog/vorfall-lagebild-charit-webserver-gehackt-kontaktdaten-abgeflossen.html) (30.10.2026) - Vorfall-Lagebild: Pentagon prüft Hack von Gefriertruhen auf US-Basen (/blog/vorfall-lagebild-pentagon-prueft-hack-von-gefriertruhen-auf-us-basen.html) (29.10.2026) - Einordnung: Safepay-Angriff auf ARA Lyss und Manno (/blog/einordnung-safepay-angriff-auf-ara-lyss-und-manno.html) (27.10.2026)Zur aktuellen Lage → (/ot-lage/) ## Was gilt bei Ihnen? ### Bayern und Deutschland Einrichtungen, für die NIS2 gilt, melden erhebliche Vorfälle an das BSI: erste Meldung spätestens nach 24 Stunden, Bestätigung nach 72 Stunden, Abschluss nach einem Monat (§ 32 BSIG, gültig seit 6.12.2025). Unternehmen in Bayern erreichen die Polizei über die Zentrale Ansprechstelle Cybercrime (ZAC) beim Landeskriminalamt. Das Landesamt für Sicherheit in der Informationstechnik (LSI) ist für Staatsverwaltung, Kommunen und öffentliche Unternehmen da, etwa kommunale Stadtwerke. ### Salzburg, Tirol und Österreich Seit 1.10.2026 gilt das NISG 2026, zuständig ist das Bundesamt für Cybersicherheit. Betroffene Einrichtungen melden an das Computer-Notfallteam ihres Sektors, ersatzweise an CERT.at: Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat. Kleine Betriebe sind meist nicht meldepflichtig; CERT.at und die Polizei helfen trotzdem. ### Schweiz Betreiber kritischer Infrastrukturen melden Cyberangriffe seit 1. April 2025 innerhalb von 24 Stunden an das Bundesamt für Cybersicherheit (BACS); fehlende Angaben lassen sich binnen 14 Tagen nachreichen. Freiwillige Meldungen nimmt das BACS von allen entgegen. Stand November 2026. Ob eine Pflicht für Ihren Betrieb gilt, hängt von Branche und Größe ab. Im Zweifel fragen Sie die zuständige Stelle oder uns. ## Quellen zu Meldepflichten - BSI: IT-Sicherheitsvorfall melden (https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/it-sicherheitsvorfall_node.html) - § 32 BSIG: Meldepflichten (https://openlex.de/bsig/32) - Bayerische Polizei: Internetkriminalität und ZAC (https://www.polizei.bayern.de/kriminalitaet/internetkriminalitaet/index.html) - Landesamt für Sicherheit in der Informationstechnik (LSI) (https://www.lsi.bayern.de/) - Bundesamt für Cybersicherheit Österreich: Meldepflicht und Fristen (https://www.bundesamt-cybersicherheit.gv.at/303/meldepflicht-und-fristen.html) - CERT.at (https://www.cert.at/de/) - BACS: Informationen zur Meldepflicht (https://www.bacs.admin.ch/de/informationen-zur-meldepflicht) ## Häufige Fragen **Was ist im Notfall der erste Schritt?** Die Anlage in einen sicheren Zustand bringen, nichts neu aufsetzen oder löschen, Netztrennung nur abgestimmt und sofort Hilfe holen. **Brauche ich als kleiner Betrieb einen Notfallplan?** Ja, aber kurz: eine Seite mit Telefonnummern, wer entscheidet und wie die Anlage von Hand weiterläuft. **Muss ich einen Angriff melden?** Das hängt von Branche und Größe ab. Unten unter „Was gilt bei Ihnen?“ stehen die Meldestellen für Bayern, Österreich und die Schweiz. Alle fünf Schritte (/schritte/)Schritt 2: Netz in Zonen trennen → (/schritte/zonen/) Zuletzt aktualisiert: 06.11.2026 Fragen? Wir helfen auch. (/kontakt/#anfrage) Notfall? 24/7 anrufen: +49 8031 8603164 (tel:+4980318603164) Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fnotfall%2F)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fnotfall%2F)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fnotfall%2F)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fnotfall%2F&text=Schritt%201%3A%20F%C3%BCr%20den%20Notfall%20vorbereitet%20%7C%20OT-Sicherheit%20einfach)WhatsApp (https://wa.me/?text=Schritt%201%3A%20F%C3%BCr%20den%20Notfall%20vorbereitet%20%7C%20OT-Sicherheit%20einfach%20https%3A%2F%2Fot-cyber.de%2Fschritte%2Fnotfall%2F)E-Mail (mailto:?subject=Schritt%201%3A%20F%C3%BCr%20den%20Notfall%20vorbereitet%20%7C%20OT-Sicherheit%20einfach&body=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fnotfall%2F)