Cyberangriff und Ransomware

Start › IT-Sicherheit › Cyberangriff und Ransomware

Nach einem Cyberangriff laufen technische Wiederherstellung, Meldefristen und Haftungsfragen gleichzeitig. Die ersten 72 Stunden entscheiden oft darüber, ob Bußgelder, Schadensersatzforderungen und Streit mit dem Versicherer folgen. Wir begleiten Unternehmen ab dem ersten Anruf, gemeinsam mit den Forensikern und dem IT-Team.

Sofortmaßnahmen nach einem Cyberangriff

1. Betroffene Systeme vom Netz trennen, aber nicht ausschalten oder neu aufsetzen. Arbeitsspeicher und Logdaten sind wichtige Beweismittel.
2. Krisenstab bilden: Geschäftsleitung, IT, Datenschutzbeauftragter, Kommunikation, Rechtsberatung. Entscheidungen mit Uhrzeit protokollieren.
3. Cyberversicherung sofort informieren und deren Vorgaben zu Dienstleistern und Hotline beachten.
4. IT-Forensiker beauftragen, idealerweise über die Anwaltskanzlei, um die Vertraulichkeit der Untersuchung besser zu schützen.
5. Zugangsdaten zurücksetzen, insbesondere Administrator- und Cloud-Konten; Backups auf Unversehrtheit prüfen, bevor sie eingespielt werden.
6. Meldefristen bestimmen und den Zeitpunkt der Kenntnis dokumentieren (siehe unten).
7. Strafanzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts erwägen.
8. Keinen Kontakt zu den Angreifern aufnehmen und keine Zahlung zusagen, bevor die rechtliche Lage geprüft ist.

Meldepflichten nach einem Cyberangriff: Fristen im Überblick

Je nach Unternehmen und Vorfall greifen mehrere Meldepflichten nebeneinander, mit unterschiedlichen Empfängern und Inhalten:

Rechtsgrundlage	Empfänger	Frist
Art. 33 DSGVO (Datenpanne)	Datenschutzaufsichtsbehörde	72 Stunden ab Kenntnis; bei hohem Risiko zusätzlich Benachrichtigung der Betroffenen (Art. 34)
§ 32 BSIG (NIS2)	BSI	24 Stunden Erstmeldung, 72 Stunden Meldung, Abschluss nach einem Monat
DORA (Finanzsektor)	BaFin	4 Stunden nach Einstufung, spätestens 24 Stunden nach Kenntnis; 72 Stunden; ein Monat
Art. 14 CRA (Hersteller)	ENISA-Meldeplattform/CSIRT	24 Stunden, 72 Stunden, Abschlussbericht
Versicherungsvertrag	Cyberversicherer	unverzüglich nach Vertragsbedingungen

Die Meldungen sollten aufeinander abgestimmt sein. Widersprüchliche Angaben gegenüber Behörden, Versicherer und Kunden sind später schwer zu erklären. Erste Meldungen dürfen unvollständig sein und werden nachgereicht.

Lösegeld zahlen: Was ist rechtlich zu beachten?

Die Zahlung von Lösegeld ist in Deutschland nicht ausdrücklich verboten. Sie ist aber rechtlich nicht unproblematisch. Diskutiert wird, ob eine Zahlung an eine organisierte Tätergruppe als Unterstützung einer kriminellen Vereinigung (§ 129 StGB) bewertet werden kann; in einer echten Notlage, etwa wenn ohne Entschlüsselung Menschenleben oder die Existenz des Unternehmens gefährdet sind, kommt eine Rechtfertigung oder Entschuldigung in Betracht. Gerichtlich geklärt ist das nicht.

Klarer sind die Grenzen des Sanktionsrechts: Steht die Gruppe oder ein Empfänger auf einer EU-Sanktionsliste, ist die Zahlung verboten und nach dem Außenwirtschaftsgesetz strafbar. Für Unternehmen mit US-Bezug kommen US-Sanktionen hinzu. Für die Geschäftsleitung ist die Entscheidung zudem eine Frage der Sorgfaltspflichten: Sie muss dokumentiert, auf Grundlage der verfügbaren Informationen und unter Abwägung von Alternativen getroffen werden. Ob der Versicherer zahlt, hängt von den Bedingungen ab.

Kommunikation mit Kunden, Mitarbeitern und Öffentlichkeit

Mit Kunden und Geschäftspartnern muss früh, aber vorsichtig kommuniziert werden. Aussagen wie „Es sind keine Daten abgeflossen“ sollten erst fallen, wenn die Forensik das trägt. Lieferverträge können Informationspflichten und Fristen enthalten; bei Lieferausfällen ist zu prüfen, ob höhere Gewalt geltend gemacht werden kann. Börsennotierte Unternehmen müssen an eine Ad-hoc-Mitteilung nach Art. 17 MAR denken.

Beweissicherung und IT-Forensik

Forensische Berichte dienen zugleich der Aufklärung, der Meldung an Behörden und späteren Prozessen. Wir empfehlen, Umfang und Adressaten der Berichte vorab festzulegen und zwischen technischer Analyse und rechtlicher Bewertung zu trennen. Beweise sind so zu sichern, dass sie vor Gericht verwertbar sind, etwa mit Hashwerten und Protokollierung der Sicherungskette.

Regress gegen IT-Dienstleister und Softwarehersteller

Viele Angriffe nutzen Schwachstellen bei Dienstleistern, fehlende Updates oder unzureichend gehärtete Systeme. Ob ein Regress möglich ist, hängt vom Vertrag ab: Leistungsbeschreibung, SLA, vereinbarte Sicherheitsmaßnahmen, Haftungsbegrenzungen. Wir prüfen Ansprüche aus Dienst- und Werkvertrag sowie aus Auftragsverarbeitungsvertrag und sichern Fristen. Umgekehrt vertreten wir Dienstleister, die nach einem Vorfall in Anspruch genommen werden.

Haftung der Geschäftsleitung nach einem Cyberangriff

Nach einem Vorfall prüfen Gesellschafter, Aufsichtsrat oder Insolvenzverwalter, ob die Geschäftsleitung ausreichend vorgesorgt hat. Maßstab sind § 43 GmbHG und § 93 AktG, für NIS2-Einrichtungen zusätzlich § 38 BSIG. Entscheidend ist, ob Risiken erkannt, Maßnahmen beschlossen und deren Umsetzung überwacht wurden. Auch die Bewältigung des Vorfalls selbst muss sorgfältig dokumentiert werden.

Häufige Fragen

Wann beginnt die 72-Stunden-Frist der DSGVO?

Mit Kenntnis der Verletzung des Schutzes personenbezogener Daten, also wenn hinreichende Gewissheit besteht, dass personenbezogene Daten betroffen sind. Eine kurze Prüfphase ist zulässig, ein Abwarten bis zum Ende der Forensik nicht.

Müssen wir Anzeige erstatten?

Eine allgemeine Pflicht besteht nicht. Die Anzeige kann sinnvoll sein, auch für den Versicherer. Die Ermittlungsbehörden haben Erfahrung mit dem Umgang mit Ransomware-Fällen.

Dürfen wir Daten aus dem Darknet zurückkaufen?

Davon raten wir regelmäßig ab. Es gelten die gleichen rechtlichen Bedenken wie beim Lösegeld, und eine Löschung durch die Täter ist nicht überprüfbar.

Verwandte Themen

• NIS2 und BSI-Gesetz
• Datenpanne melden
• DORA
• Cyberkriminalität
• IT-Projektkrise
• Mustervertrag Cybersecurity-SLA