Im Ernstfall zählt jede Minute.
Was zu tun ist und wen Du informierst.
Die Reaktion
Eindeutige und klare Struktur trotz fehlendem Plan.
Wenn ein Angriff bemerkt wird, kommt es darauf an, richtig zu reagieren, um weiteren Schaden zu begrenzen, Rechtspflichten zu erfüllen und weitere Rechtsfolgen zu vermeiden. Diese Seite gibt Dir eine klare Vorgehensweise an die Hand.
Die Szenarien
Was ist passiert — und was gilt jetzt?
Nicht jeder Vorfall ist gleich. Der Angriff entscheidet darüber, welche Meldepflichten greifen.
Ransomware / verschlüsselte Dateien
Ransomware verschlüsselt Daten und macht Systeme unzugänglich. Da in der Regel personenbezogene Daten betroffen sind, greift die Meldepflicht nach DSGVO Art. 33 — die zuständige Landesdatenschutzbehörde muss binnen 72 Stunden informiert werden. Gleichzeitig ist die Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei zu kontaktieren. Für NIS2- und KRITIS-Betreiber besteht zusätzlich eine Meldepflicht gegenüber dem BSI.
Phishing / kompromittiertes Konto
Eine Phishing-Mail allein begründet keine Meldepflicht. Anders verhält es sich, wenn ein Konto tatsächlich kompromittiert wurde und dadurch Unbefugte Zugriff auf personenbezogene Daten erlangt haben. In diesem Fall greift DSGVO Art. 33 — Meldung an die Datenschutzbehörde binnen 72 Stunden. Die ZAC sollte ebenfalls informiert werden.
DDoS / Website nicht erreichbar
Ein DDoS-Angriff macht Systeme oder Dienste vorübergehend unerreichbar, führt aber in der Regel nicht zu einem Datenzugriff. Für die meisten Unternehmen besteht daher keine gesetzliche Meldepflicht. Für Betreiber kritischer Infrastrukturen (KRITIS) und Einrichtungen unter NIS2 gilt: erhebliche Störungen sind dem BSI zu melden.
Datenleck / unberechtigter Zugriff
Wenn Unbefugte auf personenbezogene Daten zugegriffen haben oder dies nicht ausgeschlossen werden kann, besteht Meldepflicht nach DSGVO Art. 33 — binnen 72 Stunden an die zuständige Landesdatenschutzbehörde. Zusätzlich ist Anzeige bei der ZAC zu erstatten. NIS2- und KRITIS-Betreiber melden parallel an das BSI.
Die Sofortmaßnahme
Aktivitäten ab dem Moment der Erkennung.
Ruhe bewahren, nicht überstürzt handeln
- Keine Klicks auf unbekannte Dateien oder Links
- Keine Kommunikation über möglicherweise betroffene Systeme
- Kein eigenständiger Reparaturversuch
Betroffene Systeme vom Netz trennen
Alles vom Netz nehmen, was mit betroffenen Systemen verbunden ist oder verbunden sein könnte.
- Physisch: Netzwerkkabel ziehen, WLAN deaktivieren — gilt auch für Netzwerkdrucker, NAS und andere Netzwerkgeräte ohne Bildschirm
- Virtuell: Netzwerkadapter in den VM-Einstellungen deaktivieren
- Cloud: Security Group / Firewall-Regel setzen, Traffic vollständig blockieren
Systeme NICHT ausschalten
Geräte und Instanzen laufen lassen — Arbeitsspeicher und Prozesse enthalten forensisch relevante Spuren.
- Physisch: Gerät laufen lassen, nicht neu starten
- Virtuell: VM nicht herunterfahren — Snapshot erstellen
- Cloud: Instanz nicht terminieren — nur isolieren
Nichts löschen, nichts „reparieren“
Beweissicherung hat Vorrang — keine Systeme zurückversetzen, keine Daten löschen, verschieben oder per Backup überschreiben.
- Physisch: automatische Backup-Synchronisation stoppen, externe Festplatten und NAS trennen
- Virtuell: keine VM zurücksetzen oder neu provisionieren
- Cloud: Auto-Healing nur für betroffene Systeme deaktivieren, nicht global
Lagebild erheben
Vor dem ersten Telefonat ein initiales Lagebild erheben — wer informiert wird, braucht Antworten.
- Was ist betroffen? — Systeme, Daten, Standorte
- Wie weit hat es sich ausgebreitet? — Einzelner Rechner oder ganzes Netz
- Seit wann? — Zeitpunkt der Entdeckung, möglicher Beginn
- Wer weiß es bereits? — Entdecker, bereits informierte Personen
- Was läuft noch? — Aktive Systeme die möglicherweise betroffen sind
Kommunikation ausschließlich über nicht betroffene Geräte — Mobiltelefon verwenden. Antworten sofort festhalten — das ist die Ausgangsbasis für alle weiteren Schritte.
Vorfall dokumentieren
Jeden Schritt und jede Beobachtung fortlaufend dokumentieren — lückenlose Nachvollziehbarkeit ist Pflicht gegenüber Behörden, Versicherung und ggf. Gericht.
- Physisch / Virtuell / Cloud: Zeitstempel zu jeder Maßnahme notieren
- Screenshots, Logfiles und Fehlermeldungen sichern
- Kommunikation festhalten — wer wurde wann informiert, was wurde entschieden
- Dokumentation auf nicht betroffenen Systemen oder analog führen
Die Struktur
Handlungsfähigkeit herstellen — sofort.
Handlungsfähigkeit herstellen — sofort, mit den Menschen die jetzt da sind.
Einen Verantwortlichen benennen
Die ranghöchste erreichbare Person übernimmt die Koordination. Keine Diskussion — eine Person, eine Stimme.
Drei Rollen besetzen
Koordination
Entscheidet. Kommuniziert nach innen und außen. Einzige Stimme nach außen.
Technik
Setzt Sofortmaßnahmen um. Einziger Ansprechpartner für den IR-Partner.
Dokumentation
Hält alles fest — analog, Stift und Papier, ab sofort. Verlässt diese Aufgabe nicht.
Kommunikation sicherstellen
Mobilnummern aller Anwesenden sammeln und untereinander verteilen — das ist ab jetzt der einzige sichere Kommunikationskanal.
Rollen erweitern
Wenn weitere Personen verfügbar werden — Stellvertretungen benennen, Aufgaben delegieren. Die drei Kernrollen bleiben besetzt und klar zugeordnet.
Dieser Prozess läuft unter extremem Druck, ohne Vorbereitung und gegen die Zeit. Fehler passieren. Das Ziel ist nicht Perfektion — sondern Handlungsfähigkeit.
Die Meldekette
Wen Du informierst — und wann.
Im Ernstfall gilt ein klares Meldeverfahren. Die Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei ist immer die erste Anlaufstelle — zuständig ist die Stelle des Bundeslandes, in dem Dein Unternehmen seinen Sitz hat.
Parallel dazu beginnt die Incident Response: die strukturierte Reaktion auf den Vorfall, um weiteren Schaden zu begrenzen, den Angriff einzudämmen und abzuwehren.
Je nach Rahmenbedingungen kann zusätzlich eine Meldung an das Bundesamt für Sicherheit in der Informationstechnologie (BSI) erforderlich sein — das ist Unternehmen, die unter entsprechende Regulierungen fallen, in der Regel bekannt.
Wurden Daten abgegriffen, muss außerdem die zuständige Landesdatenschutzbehörde informiert werden — spätestens 72 Stunden nach Bekanntwerden des Vorfalls.
Sofort
Immer — Cybercrime-Spezialist der Polizei
ZAC / LKA
Die Zentrale Ansprechstelle Cybercrime beim Landeskriminalamt ist die richtige Stelle — nicht der allgemeine Notruf 110.
Bundesland auswählen
—
—
—
—
Incident Response — 24/7 erreichbar
Syret GmbH
Technische Incident Response — rund um die Uhr erreichbar. Unser Partner für die Eindämmung, Analyse und Wiederherstellung.
Nachgelagert
Bei NIS2 / KRITIS
BSI
Meldepflicht besteht bei erheblichen Störungen für KRITIS-Betreiber und Einrichtungen unter NIS2.
bsi.bund.de | 0228 99 9582-0
72-Stunden-Frist!
Datenschutzbehörde
Sobald personenbezogene Daten betroffen sein könnten, greift die Meldepflicht nach DSGVO. Die Frist läuft ab Kenntnis.
Bundesland auswählen
—
—
—
—
⚠ 72-Stunden-Frist ab Kenntnis der Verletzung.
Christian Szonn
Solide Vorbereitung für den Krisenfall gewünscht?
Wir helfen Dir, die Strukturen vorher aufzubauen.