Ausgangslage
value chain solutions betreibt seit 2003 eine SaaS-Datenplattform für Vertrieb und Logistik. Rund 20 Kunden nutzen sie täglich für Reporting, Datenanalyse und automatisierte Nachschubsteuerung. Fällt die Plattform aus, fehlen ihnen im laufenden Geschäft Auswertungen und Bestellvorschläge.
Der Vorfall
An einem Donnerstagmorgen im März 2026 war die gesamte Infrastruktur verschlüsselt: die Kundenplattform und alle internen Systeme. Es funktionierten nur noch E-Mail über Exchange Online und Telefonie über VoIP. Die internen Backups waren mitverschlüsselt, die externen aber vollständig und jederzeit im Zugriff, einschließlich aktueller Verteilerlisten aller Kunden.
Die Ursache
Einfallstor war ein nicht ausreichend geschützter Zugang an der Firewall. Weil die internen Schutz- und Erkennungsmechanismen nicht ausreichten, konnte der Angreifer den Angriff rund sechs Wochen lang unbemerkt vorbereiten.
Meine Rolle: den Krisenstab führen
Innerhalb weniger Stunden stand der Krisenstab: interne IT, der Leiter Entwicklung, ein IT-Security-Dienstleister, ein Incident-Response-Berater und ab Tag 1 ein Fachanwalt. Die Technik habe ich vollständig delegiert. Bei mir lagen Entscheidungen, Priorisierung, Finanzen, Recht, Zahlungsabwicklung und Kommunikation.
In den ersten drei Tagen stimmte sich der Stab zweimal täglich ab, danach täglich. Krisenführung funktioniert nach militärischem Prinzip, nicht im Konsens: Input und Bedenken der Experten einholen, abwägen, entscheiden, klar anweisen.
Die schwierigste Entscheidung
Zahlen oder nicht? Die Daten waren im externen Backup sicher, die Systeme aber verschlüsselt. Ein Neuaufbau hätte einen schrittweisen Neustart über 2 bis 4 Wochen bedeutet, mit offenem Ausgang. Eine eigene Entschlüsselung hielten die Forensiker für unwahrscheinlich und sehr zeitaufwendig. An Tag 1 habe ich entschieden, den Decryptor der Angreifer zu kaufen, und parallel einen Rückfallplan vorbereitet. Grundlage waren die Einschätzung der Forensiker, die Finanzszenarien und die Beratung durch einen Fachanwalt.
Kommunikation
Wenige Stunden nach der Entdeckung ging eine offene E-Mail an alle Kunden, danach kam an jedem Werktag ein Update. Wichtige Kunden habe ich persönlich angerufen. Ein Kunde eskalierte; mit mehr Aufmerksamkeit ließ sich die Lage schnell entspannen. Kein Kunde ist gegangen.
Ergebnis
Erste Kundenservices liefen nach 4 Tagen, der Vollbetrieb nach 6 Tagen, ohne Datenverlust. Nach rund 12 Wochen waren die Systeme im Zustand vor dem Angriff, mit deutlich erhöhter Sicherheit.
Vorbereitet sein
Technische Sicherheit senkt die Wahrscheinlichkeit eines Angriffs. Ob ein Unternehmen ihn übersteht, entscheidet die Vorbereitung:
- Dokumentation: Systeme, Daten, Abhängigkeiten, Wiederanlaufreihenfolge und Kontaktlisten, außerhalb der eigenen IT abgelegt
- Pläne: Notfallplan ohne IT, Rollen und Takt des Krisenstabs, Entscheidungsrahmen für die Zahlungsfrage, Kommunikationsvorlagen
- Systeme: getrenntes, getestetes Backup, Kommunikation außerhalb der eigenen Infrastruktur, vorbereiteter Zahlungsweg
- Prozesse: Meldewege, Wiederanlauf nach Kundenpriorität, Freigabe von Zahlungen, regelmäßige Übungen
- Strukturen: klare Verantwortung für ausgelagerte IT-Sicherheit, vorab vereinbarte Partner, Versicherungen, Absicherung der Gesellschafterhaftung
„Als die Plattform von value chain solutions im März 2026 von einem Cyber-Angriff betroffen war, hat Herr Wabersich die Krisenorganisation ruhig und strukturiert geführt. Die Kommunikation mit uns war jederzeit offen und zeitnah, wir wussten zu jedem Zeitpunkt, wo die Wiederherstellung stand. Erste Services standen nach wenigen Tagen wieder zur Verfügung, der volle Betrieb war nach sechs Tagen wiederhergestellt, ohne Datenverlust. Wir würden jederzeit wieder mit ihm zusammenarbeiten und empfehlen ihn für Situationen, in denen Verlässlichkeit und klare Führung gefragt sind.“
Was ich einbringe
Forensik und IT-Security lösen das technische Problem. Ich übernehme auf Unternehmensseite alles andere: als Interim-Geschäftsführer oder Fractional Krisenmanager, ab dem ersten Tag. Und vor dem Ernstfall mit einem Readiness-Check aus Sicht der Geschäftsführung.