10 Anzeichen für ein kompromittiertes Unternehmen

In der Cybersicherheit ist Zeit das kritischste Gut. Die durchschnittliche Zeit, die ein Unternehmen benötigt, um eine Datenschutzverletzung zu erkennen, beträgt erschütternde 207 Tage. Während dieser Zeit kartieren Angreifer leise Ihr Netzwerk, stehlen geistiges Eigentum und bereiten sich auf den Einsatz von Ransomware vor.

Wenn Sie dies lesen, weil Sie ein "schlechtes Gefühl" wegen eines Serverfehlers oder einer seltsamen E-Mail haben, ignorieren Sie es nicht.

Hier sind die Top 10 technischen und verhaltensbezogenen Indikatoren, dass Ihre Unternehmensinfrastruktur kompromittiert wurde, basierend auf den forensischen Untersuchungen, die mein Team und ich im letzten Jahrzehnt durchgeführt haben. Für einen breiteren Blick auf die Statistiken der Bedrohungslandschaft, die diese Kompromittierungen vorantreiben, lesen Sie unseren Bericht zum Stand der Cybersicherheit 2026.

Die Top 10 Indikatoren für eine Kompromittierung (IoCs)

1. Unerwartete Erstellung von Administratorkonten

Das Anzeichen: Sie bemerken ein neues Benutzerkonto wie admin_temp, support_user oder sys_test, das niemand in Ihrem IT-Team erstellt hat.
Was es bedeutet: Angreifer etablieren Persistenz. Selbst wenn Sie das ursprüngliche Loch patchen, das sie benutzt haben, um hereinzukommen, gibt ihnen dieses Konto eine Hintertür, um später zurückzukehren.

2. Massive Spitzen im ausgehenden Datenverkehr

Das Anzeichen: Ihre Netzwerküberwachungstools zeigen Gigabytes an Daten, die Ihr Netzwerk um 2:00 Uhr morgens verlassen.
Was es bedeutet: Das ist Datenexfiltration. Angreifer stehlen Ihre Kundendatenbanken, Quellcode oder E-Mails, bevor sie Ihre Systeme mit Ransomware sperren.

3. "Geister"-Verwaltungstools laufen

Das Anzeichen: Sie sehen legitime Tools wie PowerShell, PsExec oder AnyDesk auf Computern laufen, wo sie absolut nicht hingehören (z. B. auf dem Laptop eines HR-Mitarbeiters).
Was es bedeutet: Hacker nutzen "Living off the Land" (LotL) Angriffe. Sie verwenden Ihre legitimen Verwaltungstools, um ihre bösartigen Aktivitäten vor Antivirensoftware zu verbergen.

4. Spontane Deaktivierung des Virenschutzes

Das Anzeichen: Ihre Endpoint Detection-Sicherheit (EDR/Antivirus) schaltet sich ständig selbst aus, oder Warnungen werden mysteriös gelöscht.
Was es bedeutet: Malware oder ein menschlicher Eindringling hat hochrangige Privilegien erlangt und blendet Ihre Verteidigung, bevor der Hauptangriff gestartet wird.

5. Wiederholt gesperrte Benutzerkonten

Das Anzeichen: Dutzende Mitarbeiter beschweren sich, dass sie wiederholt aus ihren Konten ausgesperrt werden.
Was es bedeutet: Dies deutet auf einen Brute-Force-Angriff oder Password Spraying hin. Angreifer versuchen aktiv Tausende von Passwörtern gegen Ihr Active Directory.

6. Browser-Popups oder Weiterleitungen auf internen Systemen

Das Anzeichen: Interne Mitarbeiter melden seltsame Symbolleisten, Startseitenänderungen oder Browsererweiterungen, die sie nicht installiert haben.
Was es bedeutet: Meist ein Zeichen für Adware oder Spyware. Während es oft als Ärgernis abgetan wird, ist dies in einer Unternehmensumgebung oft der Einstiegspunkt für den Diebstahl von Sitzungscookies und den Zugriff auf Cloud-Portale.

7. Langsame oder träge Internetgeschwindigkeit

Das Anzeichen: Das Netzwerk kriecht, aber Ihr ISP sagt, alles sei in Ordnung.
Was es bedeutet: Ihre Systeme könnten Teil eines Botnets sein, das verwendet wird, um andere anzugreifen (DDoS), oder Angreifer nutzen Ihre Bandbreite, um massive Dateien zu übertragen.

8. Seltsame Dateierweiterungen (.crypt, .lock)

Das Anzeichen: Sie öffnen ein freigegebenes Laufwerk und sehen Dateien, die in financials.xlsx.locked oder holiday_party.jpg.enc umbenannt wurden.
Was es bedeutet: RANSOMWARE. Dies ist die letzte Phase. Der Verschlüsselungsprozess hat begonnen. Trennen Sie alles sofort.

9. Unerklärliche Server-Neustarts

Das Anzeichen: Server starten zu ungeraden Zeiten neu, ohne dass ein geplantes Update ansteht.
Was es bedeutet: Angreifer müssen oft eine Maschine neu starten, um ein Rootkit zu installieren oder Systemprotokolle zu löschen, die ihre Anwesenheit verraten würden.

10. E-Mails, die von Ihrer Domain gesendet wurden (die Sie nicht geschrieben haben)

Das Anzeichen: Kunden antworten auf E-Mails, die Sie nie gesendet haben, und fragen nach der angehängten "Rechnung".
Was es bedeutet: Ihr E-Mail-Server ist kompromittiert. Angreifer nutzen Ihre vertrauenswürdige Domain für eine Business Email Compromise (BEC) Kampagne, um Ihre Partner zu betrügen.

🚨 Ich sehe diese Anzeichen. Was tue ich JETZT?

Wenn Sie mehr als eines dieser Anzeichen identifiziert haben, gehen Sie davon aus, dass Sie verletzt wurden. Keine Panik, aber handeln Sie schnell.

Schritt 1: Trennen, nicht ausschalten

Trennen Sie infizierte Maschinen vom Netzwerk (Ethernet-Kabel ziehen, WLAN ausschalten).
Wichtig: Schalten Sie die Maschine wenn möglich nicht aus. Ein Neustart zerstört wertvolle Beweise (RAM-Daten), die forensische Experten benötigen, um den Angriff zu verstehen.

Schritt 2: Kritische Passwörter zurücksetzen

Setzen Sie Passwörter für alle Administratorkonten sofort zurück. Verwenden Sie dazu ein makelloses (sauberes) Gerät.

Schritt 3: Rufen Sie die Experten an (Incident Response)

Versuchen Sie nicht, "zurückzuhacken". Versuchen Sie nicht, die Malware selbst zu bereinigen, es sei denn, Sie sind geschult. Sie könnten den Angreifer alarmieren, was ihn dazu veranlasst, einen "Kill Switch" auszulösen und Daten zu zerstören.

Wen anrufen? Sie benötigen ein professionelles Incident Response (IR) Team.

Cyberlord Secure Services: Wir bieten 24/7 Notfallreaktion. Wir können unsere Agenten einsetzen, um die Bedrohung einzudämmen, den Angreifer zu vertreiben und Ihren Betrieb legal und sicher wiederherzustellen.

Prävention ist billiger als Wiederherstellung

Die Kosten für einen Incident Response Retainer betragen einen Bruchteil einer Lösegeldforderung in Millionenhöhe. Wenn Sie sich über den Zustand Ihres Netzwerks unsicher sind, buchen Sie noch heute eine Kompromittierungsbewertung bei uns. Wir werden nach diesen Anzeichen suchen, damit Sie heute Nacht ruhig schlafen können.

Nach dem ersten Verdacht: Triage, Beweismittel, Anlaufstellen

Schweregrad bestimmen: beobachten, eindämmen oder abkoppeln

Nicht jedes Indiz rechtfertigt denselben Eingriff in den laufenden Betrieb. Eine saubere Triage verhindert beide Extreme: die voreilige Abschaltung wegen eines einzelnen verdächtigen Browser-Addons — und ebenso das Weiterarbeiten, während der Eindringling bereits Daten kopiert.

Stufe 1 – dokumentieren und beobachten: Einzelne Hinweise wie ein Popup auf einem Gerät oder ein unerklärter Serverfehler werden mit Zeitstempel und Screenshot festgehalten. Erst die Häufung verrät ein Muster. Eine vorschnelle Abschaltung kann den Angreifer außerdem darauf aufmerksam machen, dass Sie ihn bemerkt haben.
Stufe 2 – gezielt eindämmen: Wiederholt gesperrte Konten oder E-Mails im eigenen Namen betreffen meist einzelne Identitäten und Sitzungen, nicht das gesamte Netzwerk. Betroffene Postfächer vom kompromittierten Standort getrennt kontrollieren, vom Angreifer eingerichtete Weiterleitungsregeln entfernen und aktive Sitzungen in Microsoft 365 sowie im VPN zwangsweise beenden.
Stufe 3 – sofort vom Netz abkoppeln: Deaktivierter Endpunktschutz, massiver ausgehender Datenverkehr um Mitternacht oder plötzlich auftauchende Dateierweiterungen wie financials.xlsx.locked zeigen an, dass der Angreifer Schreibrechte auf Systemen mit Geschäftsdaten besitzt. Netzkabel ziehen, Strom nicht unterbrechen, unverzüglich eskalieren.

Beweismittel retten, bevor die Aufräumaktion beginnt

Der teuerste Fehler geschieht oft in der ersten Stunde — mit bestem Willen: Kollegen löschen verdächtige Konten, entfernen Dateien und starten Maschinen neu. Damit vernichten Sie genau jene Spuren, die später Ihr IR-Team, Ihr Versicherer und die Datenschutzaufsicht benötigen. Sichern Sie stattdessen — stets mit Einwilligung des Systeminhabers und ausschließlich auf Firmengeräten:

Arbeitsspeicher sichern statt neu starten: Ein Memory-Image ist häufig der einzige Ort, an dem verschlüsselte Malware-Komponenten, gestohlene Zugangsdaten im Klartext und die Aktionen des Angreifers auf dem System noch greifbar sind. Jeder Neustart löscht diesen Speicher unwiderruflich.
Sitzungen kündigen, nicht nur Passwörter drehen: Refresh-Tokens in der Cloud-Suite widerrufen, VPN-Zertifikate austragen, OAuth-Apps mit delegierten Berechtigungen prüfen. Angreifer mit gekaperten Cookies bleiben sonst trotz neuem Passwort angemeldet.
Protokollfenster verlängern: Zentrale Log-Archive — Authentifizierungsprotokolle, EDR-Ereignisse, E-Mail-Gateway-Aufzeichnungen — werden oft schon nach wenigen Tagen rotiert und überschrieben. Exportieren Sie den Zeitraum ab dem ersten Verdachtsmoment, bevor die automatische Rotation greift.
Veränderte Konten einfrieren, nicht löschen: Zeitstempel des letzten Logons, Gruppenmitgliedschaften und Attribute der Angreifer-Konten auszugsweise dokumentieren. Sie sind später das wichtigste Material, um zu rekonstruieren, wie weit sich der Eindringliche bereits ausgebreitet hat.

Wen Sie in welcher Reihenfolge anrufen (deutscher Kontext)

Interne IT-Leitung bzw. Informationssicherheitsbeauftragte: Die Stunde null gehört der innerbetrieblichen Eskalation. Sie schafft Zuständigkeiten und ein Zeitfenster, bevor externe Parteien ins Spiel kommen.
Externe Notfallreaktion über den bestehenden IR-Rahmenvertrag: Falls kein Retainer besteht, fällt diese Lücke spätestens jetzt auf — solche Vereinbarungen lassen sich außerhalb eines laufenden Notfalls zu einem Bruchteil der Notfallkosten schließen.
Cyber-Versicherer melden, bevor Beauftragungen kostenpflichtig werden: Die meisten Policen enthalten Meldepflichten mit kurzen Fristen und verlangen eine Kostenfreigabe, bevor bezahlte Dienstleister verrechenbar sind. Wer ungefragt eine Notfallfirma beauftragt, zahlt unter Umständen selbst.
Datenschutzaufsichtsbehörde binnen 72 Stunden: Betrifft die Verletzung personenbezogene Daten, verlangt Art. 33 DSGVO die Meldung binnen 72 Stunden ab Kenntnisstand. Eine begründete Anfangsschätzung genügt; das Warten auf die endgültige Analyse wird selten als Entschuldigung akzeptiert.
BSI und Kriminalpolizei: Betreiber kritischer Infrastrukturen unterliegen einer eigenen Meldepflicht gegenüber dem Bundesamt für Sicherheit in der Informationstechnik. Bei Erpressungsversuchen empfiehlt sich zusätzlich eine Anzeige bei den Cybercrime-Kommissariaten der Landeskriminalämter.

Die vier teuersten Fehler der Notfallreaktion

Passwortrotation ohne Spurradius: Wer nur die klassischen Verzeichnis-Benutzerkonten dreht, übersieht Service-Accounts, Cloud-API-Schlüssel, Backup-Konsolen und Verwaltungszugänge der Virtualisierung. Der Angreifer kehrt anschließend über ein weiterhin gültiges Access-Token oder einen Computerschlüssel zurück.
Zu frühes Reimaging: Betroffene Systeme neu aufsetzen wirkt radikal sauber — löscht aber sämtliche Beweise und lässt verschwiegene Zugänge am VPN-Gateway oder auf Nachbarsystemen unangetastet. Mehrere Unternehmen standen Wochen später mit denselben Indikatoren wieder am Startpunkt.
Restspuren voreilig löschen: Angreifer-Konten, geplante Aufgaben und persistente Dienste gehören evidenzgesichert — Attribute, Zeitstempel, Mitgliedschaften —, bevor die Bereinigung startet. Experimente im laufenden System ohne vorangegangene Sicherung löschen die Verlaufsspur endgültig.
Unerprobte Datenträger-Backups zurückspielen: Viele Betriebe entdecken erst im Notfall, dass die zuletzt unverdächtig wirkende Kopie eine Verschlüsselungskette enthält, die dort seit Wochen still ruht. Testen Sie die Wiederherstellung immer an einem isolierten System, niemals direkt im Produktivnetz.

Überblick

Wichtige Entscheidungen, Risiken und Umsetzungsmaßnahmen zu diesem Thema.

Top 10 Anzeichen, dass Ihr Unternehmen kompromittiert wurde (Und wen man anruft)