Meldepflicht bei Cyberangriff: Was Unternehmen beachten müssen

Ein Cyberangriff stellt Unternehmen nicht nur technisch vor große Herausforderungen. Sobald Systeme ausfallen, Daten verschlüsselt oder Informationen entwendet werden, stellt sich auch die Frage: Besteht eine Meldepflicht bei dem Cyberangriff und was ist jetzt zu beachten?

Darauf gibt es keine pauschale Antwort. Entscheidend ist unter anderem, welche Systeme und Daten betroffen sind, welche Auswirkungen der Vorfall hat und welchen gesetzlichen Anforderungen das Unternehmen unterliegt. Neben der Datenschutz-Grundverordnung (DSGVO) spielen für zahlreiche Unternehmen insbesondere NIS2 und das BSI-Gesetz eine wichtige Rolle. In regulierten Branchen können weitere Anforderungen hinzukommen.

Besonders wichtig ist der Faktor Zeit. Für bestimmte Meldungen gelten kurze Fristen. Unternehmen können daher nicht grundsätzlich warten, bis ein Cyberangriff vollständig forensisch untersucht wurde. Bereits in den ersten Stunden muss geprüft werden, welche Meldepflichten greifen, welche Behörden zuständig sind und welche Informationen für eine erste Meldung benötigt werden.

Hinzu kommt, dass ein einziger Cyberangriff mehrere Meldepflichten gleichzeitig auslösen kann. Werden beispielsweise bei einem erheblichen Sicherheitsvorfall personenbezogene Kundendaten entwendet, können sowohl cybersicherheitsrechtliche als auch datenschutzrechtliche Anforderungen relevant werden.

Dieser Beitrag zeigt, wann Unternehmen einen Cyberangriff melden müssen, welche Meldefristen gelten, welche Behörden zuständig sind und wie Unternehmen im Ernstfall strukturiert vorgehen. Praxisbeispiele und konkrete Handlungsempfehlungen helfen dabei, die gesetzlichen Anforderungen auf typische Cybervorfälle zu übertragen.

Wann besteht eine Meldepflicht bei einem Cyberangriff?

Nicht jeder Cyberangriff muss automatisch an eine Behörde gemeldet werden. Ein erfolgloser Angriffsversuch, der von den Sicherheitssystemen erkannt und vollständig abgewehrt wurde, ist anders zu bewerten als ein erfolgreicher Angriff, bei dem Daten entwendet oder wichtige Unternehmenssysteme lahmgelegt wurden.

Für die Beurteilung einer möglichen Meldepflicht bei einem Cyberangriff sind insbesondere folgende Fragen relevant:

• Sind personenbezogene oder andere sensible Daten betroffen?
• Wurden Daten möglicherweise entwendet, verändert oder gelöscht?
• Sind wichtige IT-Systeme oder Dienstleistungen ausgefallen?
• Welche Auswirkungen hat der Vorfall auf Kunden, Mitarbeiter oder Geschäftspartner?
• Unterliegt das Unternehmen NIS2 beziehungsweise den entsprechenden Vorgaben des BSI-Gesetzes?
• Bestehen zusätzliche regulatorische Anforderungen für die jeweilige Branche?

Entscheidend ist damit nicht allein die Angriffsmethode. Ein kompromittiertes E-Mail-Konto kann beispielsweise ein vergleichsweise begrenzter Sicherheitsvorfall sein. Befinden sich darin jedoch sensible Kundeninformationen und hatten Angreifer über längere Zeit Zugriff auf das Postfach, kann eine datenschutzrechtliche Meldepflicht entstehen.

Unternehmen sollten deshalb für jeden relevanten Cybervorfall eine strukturierte Bewertung durchführen. Technische Erkenntnisse und regulatorische Anforderungen müssen dabei gemeinsam betrachtet werden.

Muss jedes Unternehmen einen Cyberangriff melden?

Nein. Es gibt keine allgemeine Regel, nach der jedes Unternehmen jeden Cyberangriff automatisch melden muss. Entscheidend sind der konkrete Vorfall und die gesetzlichen Vorgaben, denen das Unternehmen unterliegt.

Sind personenbezogene Daten betroffen, muss beispielsweise geprüft werden, ob eine Verletzung des Schutzes personenbezogener Daten nach DSGVO vorliegt und daraus ein Risiko für die Rechte und Freiheiten natürlicher Personen entsteht.

Unternehmen, die unter die entsprechenden Anforderungen des BSI-Gesetzes fallen, müssen wiederum prüfen, ob es sich um einen erheblichen Sicherheitsvorfall handelt. Für Unternehmen des Finanzsektors können zusätzlich Meldepflichten nach DORA relevant sein.

Ein einfacher Grundsatz hilft bei der ersten Einordnung:

Nicht die Frage „Gab es einen Cyberangriff?“ entscheidet über die Meldepflicht, sondern „Welche Auswirkungen hatte der Angriff und welche gesetzlichen Anforderungen gelten für unser Unternehmen?“

Deshalb sollte bereits vor einem Ernstfall bekannt sein, welchen regulatorischen Anforderungen das Unternehmen unterliegt. Muss diese Frage erst während eines laufenden Cyberangriffs geklärt werden, geht wertvolle Zeit verloren.

Unterschied zwischen Cyberangriff, IT-Sicherheitsvorfall und Datenschutzverletzung

Für die Beurteilung der Meldepflicht ist es hilfreich, drei häufig verwendete Begriffe voneinander zu unterscheiden.

Ein Cyberangriff ist ein gezielter Angriff auf IT-Systeme, Netzwerke, Anwendungen oder Daten. Typische Beispiele sind Ransomware, Phishing, DDoS-Angriffe, der Missbrauch gestohlener Zugangsdaten oder das Ausnutzen einer Sicherheitslücke.

Ein IT-Sicherheitsvorfall beschreibt dagegen ein Ereignis, das die Verfügbarkeit, Vertraulichkeit oder Integrität von IT-Systemen oder Informationen beeinträchtigt. Ein solcher Vorfall muss nicht zwingend durch einen externen Angreifer verursacht worden sein.

Eine Datenschutzverletzung betrifft personenbezogene Daten. Sie kann beispielsweise vorliegen, wenn solche Daten unrechtmäßig offengelegt, verändert, gelöscht oder für Unbefugte zugänglich werden.

Diese Kategorien können sich überschneiden. Ein Ransomware-Angriff kann gleichzeitig ein Cyberangriff, ein erheblicher Sicherheitsvorfall und eine Datenschutzverletzung sein. Dadurch können mehrere gesetzliche Prüf- und Meldepflichten parallel entstehen.

Genau deshalb sollten IT-Sicherheit, Datenschutz und die zuständigen Entscheidungsträger bei schwerwiegenden Cybervorfällen frühzeitig zusammenarbeiten.

Welche Faktoren über die Meldepflicht bei Cyberangriffen entscheiden

Ob ein Cyberangriff gemeldet werden muss, hängt immer vom konkreten Vorfall ab. Unternehmen sollten deshalb nicht nur betrachten, wie der Angriff durchgeführt wurde, sondern vor allem, welche Auswirkungen daraus entstanden sind oder entstehen können.

Für die erste Bewertung sind insbesondere folgende Faktoren relevant:

• Betroffene Daten: Sind personenbezogene, vertrauliche oder besonders sensible Informationen betroffen?
• Ausmaß des Vorfalls: Wie viele Systeme, Mitarbeiter, Kunden oder Geschäftspartner sind betroffen?
• Betriebliche Auswirkungen: Sind wichtige Systeme, Produktionsprozesse oder Dienstleistungen ausgefallen?
• Möglicher Datenabfluss: Konnten Angreifer Informationen einsehen, kopieren, verändern oder löschen?
• Dauer des Vorfalls: Handelt es sich um eine kurze Störung oder einen länger andauernden Ausfall?
• Regulatorischer Status: Unterliegt das Unternehmen beispielsweise DSGVO, NIS2 beziehungsweise dem BSI-Gesetz oder zusätzlichen Branchenvorgaben?

Dabei sollte nicht nur auf bereits nachgewiesene Schäden geschaut werden. Gerade in den ersten Stunden eines Cyberangriffs ist häufig noch unklar, ob Daten tatsächlich abgeflossen sind oder welche Systeme kompromittiert wurden. Diese Unsicherheit sollte dokumentiert und bei der weiteren Bewertung berücksichtigt werden.

Ein Phishing-Angriff verdeutlicht den Unterschied: Wird eine gefälschte E-Mail erkannt und gelöscht, ohne dass der Mitarbeiter Zugangsdaten eingibt, ist die Situation anders zu bewerten als ein erfolgreich kompromittiertes Benutzerkonto mit Zugriff auf Kunden- oder Mitarbeiterdaten.Unternehmen benötigen deshalb einen festen internen Prozess, mit dem Cybervorfälle schnell bewertet und bei Bedarf an Datenschutz, Informationssicherheit und Geschäftsführung eskaliert werden.

Welche gesetzlichen Meldepflichten gelten bei Cyberangriffen?

In Deutschland können bei einem Cyberangriff unterschiedliche gesetzliche Meldepflichten greifen. Welche davon relevant sind, hängt unter anderem von den betroffenen Daten, der Branche, der Unternehmensgröße und den Auswirkungen des Sicherheitsvorfalls ab.

Zu den wichtigsten Regelwerken gehören:

• DSGVO: relevant bei Verletzungen des Schutzes personenbezogener Daten,
• NIS2 und BSI-Gesetz: relevant für wichtige und besonders wichtige Einrichtungen sowie weitere erfasste Unternehmen,
• KRITIS-Regelungen: besondere Anforderungen für Betreiber kritischer Infrastrukturen,
• DORA: zusätzliche Anforderungen für zahlreiche Unternehmen des Finanzsektors.

Die verschiedenen Regelungen schließen sich nicht gegenseitig aus. Ein Ransomware-Angriff kann beispielsweise zentrale Unternehmenssysteme beeinträchtigen und gleichzeitig zum Diebstahl personenbezogener Kundendaten führen. Dann können mehrere Meldepflichten parallel zu prüfen sein.

Für Unternehmen empfiehlt es sich deshalb, bereits vor einem Cyberangriff festzuhalten, welche Regelwerke für die eigene Organisation gelten, welche Fristen zu beachten sind und wer intern für die jeweilige Meldung verantwortlich ist.

Meldepflicht bei Cyberangriffen nach der DSGVO

Die DSGVO wird relevant, wenn durch einen Cyberangriff eine Verletzung des Schutzes personenbezogener Datenentsteht. Dazu kann es beispielsweise kommen, wenn Angreifer Kunden-, Mitarbeiter- oder Bewerberdaten einsehen, entwenden, verändern oder löschen.

Dabei geht es nicht ausschließlich um klassischen Datendiebstahl. Eine Datenschutzverletzung kann die Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten betreffen. Auch ein Ransomware-Angriff, bei dem entsprechende Daten verschlüsselt und vorübergehend nicht mehr verfügbar sind, kann deshalb datenschutzrechtlich relevant sein.

Typische Beispiele sind:

• Zugriff auf eine Kundendatenbank,
• kompromittierte E-Mail-Postfächer mit personenbezogenen Informationen,
• Diebstahl von Zugangsdaten,
• Verschlüsselung personenbezogener Daten durch Ransomware,
• unbefugte Veränderung oder Löschung entsprechender Informationen.

Liegt eine Datenschutzverletzung vor, muss das Unternehmen das daraus resultierende Risiko bewerten. Nach Art. 33 DSGVO muss eine Verletzung grundsätzlich der zuständigen Aufsichtsbehörde gemeldet werden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Ist eine Meldung erforderlich, muss sie grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden der Verletzung erfolgen. Bei einem voraussichtlich hohen Risiko kann zusätzlich eine Information der betroffenen Personen nach Art. 34 DSGVO notwendig sein.

Unternehmen sollten die datenschutzrechtliche Bewertung deshalb frühzeitig in ihren Incident-Response-Prozess integrieren. Auch die Entscheidung, dass keine Meldung erforderlich ist, sollte nachvollziehbar dokumentiert werden.

NIS2-Meldepflicht und Anforderungen des BSI-Gesetzes

Neben der DSGVO sind für zahlreiche Unternehmen die Meldepflichten nach NIS2 und dem BSI-Gesetz relevant. Mit der Umsetzung der europäischen NIS2-Richtlinie wurde der Kreis der Unternehmen erweitert, die besondere Anforderungen an ihre Cybersicherheit erfüllen und erhebliche Sicherheitsvorfälle melden müssen.

Betroffen sein können unter anderem Unternehmen aus den Bereichen Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, IT-Dienste, Wasser, Abfallwirtschaft, Post- und Kurierdienste sowie bestimmte Bereiche des verarbeitenden Gewerbes. Ob ein Unternehmen tatsächlich unter die Vorgaben fällt, hängt jedoch von den gesetzlichen Kriterien ab. Neben der Branche können insbesondere Unternehmensgröße und konkrete Tätigkeit entscheidend sein.

Eine Meldung ist nicht bei jedem erfolglosen Angriffsversuch erforderlich. Entscheidend ist insbesondere, ob ein erheblicher Sicherheitsvorfall vorliegt. Relevant sind beispielsweise Vorfälle, die schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen beziehungsweise verursachen können oder andere Personen erheblich beeinträchtigen.

Für meldepflichtige Unternehmen ist ein gestuftes Verfahren vorgesehen. Besonders wichtig sind dabei die folgenden Fristen:

• innerhalb von 24 Stunden: frühe Meldung des erheblichen Sicherheitsvorfalls,
• innerhalb von 72 Stunden: weitere beziehungsweise aktualisierte Meldung mit zusätzlichen Erkenntnissen,
• spätestens einen Monat nach der 72-Stunden-Meldung: grundsätzlich eine Abschlussmeldung.

Die vollständige technische Aufklärung des Cyberangriffs muss für die erste Meldung noch nicht abgeschlossen sein. Unternehmen sollten deshalb bereits im Incident-Response-Plan festlegen, wer einen möglichen erheblichen Sicherheitsvorfall bewertet, die Fristen überwacht und die Kommunikation mit dem BSI koordiniert.

Meldepflichten für KRITIS und besonders wichtige Einrichtungen

Besondere Anforderungen gelten für Unternehmen und Organisationen, deren Leistungen für Wirtschaft, Staat oder Gesellschaft von hoher Bedeutung sind. Dazu gehören insbesondere Betreiber kritischer Infrastrukturen (KRITIS)sowie Unternehmen, die nach dem BSI-Gesetz als besonders wichtige oder wichtige Einrichtungen gelten.

Ob ein Unternehmen in eine dieser Kategorien fällt, sollte bereits vor einem Sicherheitsvorfall geprüft werden. Die Einordnung kann unter anderem von Branche, Unternehmensgröße, konkreter Tätigkeit und der Bedeutung der angebotenen Dienste abhängen.

Für betroffene Unternehmen beschränkt sich die gesetzliche Verantwortung nicht auf die Meldung von Cyberangriffen. Sie müssen auch geeignete Maßnahmen zum Management von Cyberrisiken etablieren. Die Meldepflicht ist damit ein Bestandteil eines umfassenderen Sicherheits- und Risikomanagements.

In der Praxis sollten betroffene Unternehmen insbesondere festlegen:

• welche Sicherheitsvorfälle intern eskaliert werden,
• wer über eine mögliche Meldung entscheidet,
• wer den Kontakt zum BSI übernimmt,
• welche Informationen kurzfristig verfügbar sein müssen,
• wie Meldefristen überwacht und dokumentiert werden.

Gerade bei kritischen Dienstleistungen kann ein Cyberangriff Auswirkungen weit über das eigene Unternehmen hinaus haben. Klare Verantwortlichkeiten und vorbereitete Meldeprozesse sind deshalb entscheidend, um im Ernstfall schnell reagieren zu können.

DORA-Meldepflicht bei Cyberangriffen im Finanzsektor

Für Unternehmen des Finanzsektors ist zusätzlich der Digital Operational Resilience Act (DORA) relevant. Die EU-Verordnung gilt seit dem 17. Januar 2025 und enthält umfassende Anforderungen an die digitale operationale Resilienz von Finanzunternehmen.

DORA betrifft unter anderem verschiedene Kreditinstitute, Zahlungsdienstleister, Versicherungsunternehmen und weitere regulierte Finanzunternehmen. Ein wesentlicher Bestandteil ist der Umgang mit schwerwiegenden IKT-bezogenen Vorfällen.

Unternehmen müssen relevante Vorfälle anhand vorgegebener Kriterien klassifizieren. Dabei können beispielsweise die Dauer und geografische Ausbreitung des Vorfalls, die Anzahl betroffener Kunden, die Beeinträchtigung wichtiger Dienste, Datenverluste und wirtschaftliche Auswirkungen eine Rolle spielen.

Wird ein Vorfall als schwerwiegend eingestuft, sind die vorgesehenen Meldeprozesse gegenüber der zuständigen Aufsicht einzuhalten.

Besonders wichtig ist auch hier das Zusammenspiel verschiedener Regelwerke. Werden bei einem schwerwiegenden Cyberangriff auf ein Finanzunternehmen beispielsweise personenbezogene Kundendaten entwendet, können DORA und DSGVO gleichzeitig relevant sein.

Finanzunternehmen sollten daher einen zentralen Incident-Response-Prozess etablieren, der technische Maßnahmen und regulatorische Prüfungen miteinander verbindet. Dadurch lässt sich vermeiden, dass ein Vorfall zwar technisch bearbeitet wird, parallel bestehende gesetzliche Meldepflichten jedoch zu spät erkannt werden.

Wann muss ein Cyberangriff nach der DSGVO gemeldet werden?

Ein Cyberangriff wird aus Sicht der DSGVO relevant, wenn personenbezogene Daten betroffen sind. Dazu gehören beispielsweise Namen, E-Mail-Adressen, Telefonnummern, Kunden- und Mitarbeiterdaten, IP-Adressen, Zugangsdaten oder Zahlungsinformationen.

Allerdings muss nicht jeder Angriff auf ein System, auf dem personenbezogene Daten verarbeitet werden, automatisch der Datenschutzaufsichtsbehörde gemeldet werden. Entscheidend ist, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und welches Risiko daraus für die betroffenen Personen entsteht.

Unternehmen sollten dazu drei zentrale Fragen beantworten:

1. Sind personenbezogene Daten von dem Cybervorfall betroffen?
2. Wurde deren Vertraulichkeit, Integrität oder Verfügbarkeit verletzt?
3. Welches Risiko entsteht daraus für die betroffenen Personen?

Ergibt die Bewertung eine Meldepflicht nach Art. 33 DSGVO, muss die zuständige Datenschutzaufsichtsbehörde grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden der Verletzung informiert werden.

Die technische Untersuchung und die datenschutzrechtliche Bewertung sollten deshalb parallel erfolgen. Unternehmen sollten nicht erst auf den vollständigen Abschluss einer forensischen Analyse warten, bevor sie mit der Prüfung der Meldepflicht beginnen.

Wann gilt ein Cyberangriff als Datenschutzverletzung?

Eine Datenschutzverletzung liegt nicht erst dann vor, wenn Angreifer nachweislich eine komplette Kundendatenbank veröffentlichen. Nach der DSGVO kann bereits eine Sicherheitsverletzung relevant sein, durch die personenbezogene Daten vernichtet, verloren, verändert, unbefugt offengelegt oder für unbefugte Personen zugänglich werden.

Für die Bewertung sind insbesondere drei Bereiche wichtig:

• Vertraulichkeit: Unbefugte Personen erhalten Zugriff auf personenbezogene Daten.
• Integrität: Personenbezogene Daten werden unberechtigt verändert oder manipuliert.
• Verfügbarkeit: Daten werden gelöscht, verschlüsselt oder sind anderweitig nicht mehr verfügbar.

Ein kompromittiertes E-Mail-Konto kann beispielsweise eine Datenschutzverletzung darstellen, wenn Angreifer Zugriff auf Kundenkommunikation, Rechnungen oder Bewerbungsunterlagen erhalten. Auch ein Ransomware-Angriff kann relevant sein, wenn personenbezogene Daten verschlüsselt werden und dadurch nicht mehr verfügbar sind.

Unternehmen sollten deshalb nicht ausschließlich prüfen, ob Daten nachweislich gestohlen wurden. Entscheidend ist, ob die Sicherheit personenbezogener Daten durch den Vorfall beeinträchtigt wurde.

Wann besteht eine Meldepflicht gegenüber der Datenschutzbehörde?

Wurde eine Datenschutzverletzung festgestellt, muss im nächsten Schritt das Risiko für die betroffenen Personen bewertet werden. Nach Art. 33 DSGVO besteht grundsätzlich eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Für diese Risikobewertung sind unter anderem folgende Faktoren relevant:

• Art und Sensibilität der betroffenen Daten,
• Umfang der kompromittierten Informationen,
• Anzahl der betroffenen Personen,
• Wahrscheinlichkeit eines Datenmissbrauchs,
• mögliche finanzielle oder persönliche Schäden,
• vorhandene Schutzmaßnahmen wie eine wirksame Verschlüsselung.

Ein Datenabfluss mit Zugangsdaten und Zahlungsinformationen ist beispielsweise anders zu bewerten als ein Vorfall mit wenigen, wenig sensiblen Informationen und sehr geringem Missbrauchsrisiko.

Kommt das Unternehmen zu dem Ergebnis, dass eine Meldung erforderlich ist, beginnt die bereits genannte 72-Stunden-Frist eine zentrale Rolle zu spielen. Sind noch nicht alle Informationen verfügbar, können Angaben grundsätzlich schrittweise nachgereicht werden.

Auch wenn keine Meldung erfolgt, sollte die Entscheidung nachvollziehbar dokumentiert werden. So lässt sich später darlegen, welcher Sachverhalt geprüft wurde, wie das Risiko bewertet wurde und warum das Unternehmen von einer Meldung abgesehen hat.

Wann müssen betroffene Personen über einen Cyberangriff informiert werden?

Neben der Meldung an die Datenschutzaufsichtsbehörde kann nach einem Cyberangriff eine weitere Pflicht entstehen: Unter bestimmten Voraussetzungen müssen die betroffenen Personen selbst informiert werden.

Nach Art. 34 DSGVO ist dies grundsätzlich erforderlich, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Das kann beispielsweise der Fall sein, wenn besonders sensible oder missbrauchsanfällige Informationen in die Hände von Angreifern gelangen.

Die Benachrichtigung sollte in klarer und verständlicher Sprache erfolgen. Betroffene sollten insbesondere erfahren:

• was passiert ist,
• welche Daten betroffen sein können,
• welche möglichen Folgen bestehen,
• welche Maßnahmen das Unternehmen ergriffen hat,
• welche Schutzmaßnahmen die Betroffenen selbst treffen können,
• an wen sie sich bei Fragen wenden können.

Wurden beispielsweise Zugangsdaten entwendet, kann ein schneller Passwortwechsel notwendig sein. Bei kompromittierten Zahlungsinformationen können weitere Schutzmaßnahmen erforderlich werden.

Nicht jede Datenschutzverletzung führt automatisch zu einer Benachrichtigung der betroffenen Personen. Die DSGVO sieht Ausnahmen vor, etwa wenn geeignete technische Schutzmaßnahmen dazu führen, dass die betroffenen Daten für unbefugte Personen nicht zugänglich sind. Auch diese Entscheidung sollte nachvollziehbar dokumentiert werden.

Welche Meldefristen müssen Unternehmen bei Cyberangriffen beachten?

Bei der Meldepflicht nach einem Cyberangriff zählt nicht nur, ob eine Meldung erforderlich ist, sondern auch, wann sie erfolgen muss. Je nach Rechtsgrundlage gelten unterschiedliche Fristen.

Besonders relevant sind die 72-Stunden-Frist der DSGVO sowie das gestufte Meldeverfahren nach NIS2 beziehungsweise dem BSI-Gesetz. Für regulierte Branchen können weitere Fristen hinzukommen.

Das Problem: Eine technische Untersuchung kann mehrere Tage oder Wochen dauern. Gesetzliche Meldefristen können dagegen bereits wenige Stunden nach Bekanntwerden eines relevanten Vorfalls zu laufen beginnen.

Deshalb sollten technische Analyse und regulatorische Bewertung parallel stattfinden. Unternehmen sollten insbesondere dokumentieren:

• wann der Cybervorfall entdeckt wurde,
• wann erste belastbare Erkenntnisse vorlagen,
• wann interne Verantwortliche informiert wurden,
• welche Meldepflichten geprüft wurden,
• wann die jeweiligen Meldungen erfolgt sind.

Eine zentrale Fristenübersicht hilft besonders dann, wenn mehrere Meldepflichten gleichzeitig greifen. So lässt sich vermeiden, dass beispielsweise eine DSGVO-Meldung vorbereitet wird, während eine kürzere Frist aus einem anderen Regelwerk übersehen wird.

72-Stunden-Meldefrist bei Datenschutzverletzungen nach DSGVO

Nach Art. 33 DSGVO muss eine meldepflichtige Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Datenschutzaufsichtsbehörde gemeldet werden.

Die 72 Stunden sollten dabei nicht als Wartefrist verstanden werden. Sobald ein Unternehmen ausreichende Kenntnis von einer relevanten Datenschutzverletzung hat, sollte die Bewertung beginnen und eine erforderliche Meldung vorbereitet werden.

Bei komplexen Cyberangriffen steht innerhalb dieser Zeit häufig noch nicht endgültig fest, welche Systeme kompromittiert wurden oder ob Angreifer sämtliche vermuteten Daten tatsächlich kopiert haben. Eine vollständig abgeschlossene forensische Untersuchung ist für eine erste Meldung jedoch nicht erforderlich.

Sind bestimmte Informationen noch nicht verfügbar, können diese grundsätzlich schrittweise nachgereicht werden. Wichtig ist, den aktuellen Kenntnisstand transparent darzustellen und zwischen bestätigten Erkenntnissen und noch offenen Fragen zu unterscheiden.

Erfolgt eine erforderliche Meldung später als 72 Stunden, muss die Verzögerung begründet werden. Unternehmen sollten daher bereits im Incident-Response-Plan festlegen, wer die DSGVO-Meldefrist überwacht und wer für die Vorbereitung sowie Freigabe der Meldung verantwortlich ist.

NIS2-Meldefristen: 24 Stunden, 72 Stunden und Abschlussmeldung

Für Unternehmen, die den entsprechenden Meldepflichten nach dem BSI-Gesetz unterliegen, gilt bei erheblichen Sicherheitsvorfällen ein mehrstufiges Meldeverfahren. Dadurch können erste Informationen frühzeitig übermittelt und im weiteren Verlauf ergänzt werden.

Die wichtigsten Zeitpunkte sind:

• Innerhalb von 24 Stunden: Eine frühe Erstmeldung über den erheblichen Sicherheitsvorfall.
• Innerhalb von 72 Stunden: Eine aktualisierte Meldung mit weiteren Erkenntnissen und einer ersten Bewertung des Vorfalls.
• Spätestens einen Monat nach der 72-Stunden-Meldung: Grundsätzlich eine Abschlussmeldung mit weiterführenden Informationen zum Sicherheitsvorfall.

Das Verfahren berücksichtigt, dass das vollständige Ausmaß eines Cyberangriffs in den ersten Stunden häufig noch nicht bekannt ist. Bei einem Ransomware-Angriff kann beispielsweise bereits feststehen, dass zentrale Systeme ausgefallen sind, während ein möglicher Datenabfluss noch untersucht wird.

Für Unternehmen bedeutet das: Die erste Meldung muss nicht die gesamte forensische Untersuchung vorwegnehmen. Entscheidend ist, die gesetzlichen Fristen einzuhalten und neue Erkenntnisse im weiteren Meldeprozess zu ergänzen.

Was tun, wenn innerhalb der Meldefrist Informationen fehlen?

Fehlende Informationen gehören bei komplexen Cyberangriffen zum Normalfall. Unternehmen sollten eine erforderliche Meldung deshalb nicht allein deswegen aufschieben, weil noch nicht alle technischen Details bekannt sind.

Stattdessen sollte der aktuell gesicherte Kenntnisstand übermittelt werden. Dazu können beispielsweise der Zeitpunkt der Entdeckung, die bisher bekannte Angriffsmethode, betroffene Systeme, mögliche Auswirkungen und bereits eingeleitete Gegenmaßnahmen gehören.

Noch ungeklärte Sachverhalte sollten eindeutig als solche gekennzeichnet werden. Ist beispielsweise noch nicht bekannt, ob Daten tatsächlich abgeflossen sind, sollte dies transparent dargestellt werden, statt eine ungesicherte Aussage zu treffen.

Neue Erkenntnisse können anschließend im Rahmen der vorgesehenen Folge- oder Ergänzungsmeldungen übermittelt werden. Hilfreich ist hierfür ein fortlaufendes Incident-Protokoll, das dokumentiert, welche Informationen zu welchem Zeitpunkt vorlagen und welche Entscheidungen darauf basierend getroffen wurden.

Welche Unternehmen müssen einen Cyberangriff an das BSI melden?

Nicht jedes Unternehmen in Deutschland muss einen Cyberangriff automatisch beim Bundesamt für Sicherheit in der Informationstechnik (BSI) melden. Entscheidend ist zunächst, ob das Unternehmen unter die entsprechenden Vorgaben des BSI-Gesetzes fällt und ob der konkrete Vorfall die Voraussetzungen für eine Meldung erfüllt.

Durch die Umsetzung von NIS2 ist der Kreis der betroffenen Unternehmen deutlich größer geworden. Neben klassischen KRITIS-Betreibern können auch zahlreiche weitere Unternehmen aus gesellschaftlich und wirtschaftlich wichtigen Bereichen erfasst sein.

Dazu zählen – abhängig von den jeweiligen gesetzlichen Voraussetzungen – beispielsweise Unternehmen aus den Bereichen:

• Energie und Verkehr,
• Gesundheitswesen,
• Trinkwasser und Abwasser,
• digitale Infrastruktur und IT-Dienste,
• Post- und Kurierdienste,
• Abfallwirtschaft,
• bestimmte Bereiche des verarbeitenden Gewerbes.

Ob ein Unternehmen tatsächlich betroffen ist, hängt nicht allein von seiner Branche ab. Auch Kriterien wie Unternehmensgröße und konkrete Tätigkeit können entscheidend sein.

Unternehmen sollten ihre Betroffenheit deshalb bereits im Vorfeld prüfen und dokumentieren. Wer erst während eines laufenden Cyberangriffs feststellt, dass das eigene Unternehmen unter die Meldepflicht fällt, verliert möglicherweise wertvolle Zeit.

Gleichzeitig gilt: Auch ein betroffenes Unternehmen muss nicht jeden einzelnen Angriffsversuch melden. Entscheidend ist insbesondere, ob ein erheblicher Sicherheitsvorfall vorliegt. Diese Bewertung sollte deshalb fester Bestandteil des internen Incident-Response-Prozesses sein.

Welche Unternehmen unter die NIS2-Meldepflicht fallen

Die NIS2-Meldepflicht betrifft Unternehmen und Einrichtungen aus zahlreichen gesellschaftlich und wirtschaftlich wichtigen Bereichen. In Deutschland unterscheidet das BSI-Gesetz insbesondere zwischen besonders wichtigen Einrichtungen und wichtigen Einrichtungen.

Ob ein Unternehmen darunter fällt, hängt von den gesetzlichen Kriterien ab. Relevant sind insbesondere:

• Branche und konkrete Geschäftstätigkeit,
• Anzahl der Beschäftigten,
• Jahresumsatz und Jahresbilanzsumme,
• Art und Bedeutung der angebotenen Dienste,
• mögliche gesetzliche Sonderregelungen.

Unternehmen sollten deshalb nicht allein anhand ihrer Branche entscheiden, ob sie betroffen sind. Auch Organisationen, die bislang nicht als klassische KRITIS-Betreiber galten, können unter die neuen Anforderungen fallen.

Die eigene Betroffenheit sollte regelmäßig überprüft werden – beispielsweise bei Unternehmenswachstum, neuen Geschäftsbereichen oder Veränderungen der angebotenen Dienstleistungen. Ist ein Unternehmen betroffen, müssen die entsprechenden Meldeprozesse und Verantwortlichkeiten bereits vor einem möglichen Cyberangriff festgelegt werden.

Wann ein Cyberangriff als erheblicher Sicherheitsvorfall gilt

Auch für Unternehmen, die unter die entsprechenden Vorgaben des BSI-Gesetzes fallen, ist nicht jeder Cyberangriff automatisch meldepflichtig. Entscheidend ist insbesondere, ob ein erheblicher Sicherheitsvorfall vorliegt.

Ein Sicherheitsvorfall kann erheblich sein, wenn er beispielsweise schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann. Auch erhebliche materielle oder immaterielle Schäden für andere Personen können für die Bewertung relevant sein.

Hinweise auf einen möglicherweise erheblichen Sicherheitsvorfall können beispielsweise sein:

• Ausfall geschäftskritischer Systeme oder Dienstleistungen,
• erhebliche Einschränkungen des Geschäftsbetriebs,
• Kompromittierung zentraler IT-Systeme,
• erhebliche wirtschaftliche Auswirkungen,
• weitreichende Folgen für Kunden oder Geschäftspartner.

Ein abgewehrter automatisierter Angriff ohne Auswirkungen auf Systeme und Dienste ist daher anders zu bewerten als ein Ransomware-Angriff, der zentrale Unternehmensprozesse für mehrere Stunden oder Tage lahmlegt.

Die Bewertung sollte möglichst früh erfolgen. Unternehmen sollten nicht auf die vollständige forensische Aufklärung warten, bevor sie prüfen, ob ein Vorfall die Schwelle zur Erheblichkeit erreicht.

Was gilt, wenn mehrere Meldepflichten gleichzeitig bestehen?

Ein Cyberangriff kann mehrere gesetzliche Meldepflichten gleichzeitig auslösen. Das ist beispielsweise möglich, wenn ein von NIS2 beziehungsweise dem BSI-Gesetz erfasstes Unternehmen durch Ransomware erheblich beeinträchtigt wird und die Angreifer gleichzeitig personenbezogene Kundendaten entwenden.

Dann müssen verschiedene Anforderungen parallel betrachtet werden. Je nach Unternehmen können insbesondere relevant sein:

• DSGVO bei Verletzungen personenbezogener Daten,
• BSI-Gesetz bei erheblichen Sicherheitsvorfällen,
• DORA bei betroffenen Finanzunternehmen,
• weitere branchenspezifische oder vertragliche Informationspflichten.

Eine Meldung an eine Stelle bedeutet dabei nicht automatisch, dass sämtliche anderen Pflichten erfüllt sind. Die Regelwerke können unterschiedliche Meldefristen, Voraussetzungen und Meldestellen vorsehen.

Unternehmen sollten deshalb für jeden größeren Cybervorfall eine zentrale Meldeprüfung durchführen. Eine vorbereitete Matrix kann dabei beispielsweise folgende Punkte enthalten:

Rechtsgrundlage | Meldeauslöser | Frist | Meldestelle | Verantwortlicher

So lässt sich schnell erkennen, welche Pflichten parallel bestehen und welche Frist zuerst beachtet werden muss. Gleichzeitig verhindert eine zentrale Koordination, dass unterschiedliche Abteilungen widersprüchliche Informationen an Behörden oder andere Stellen übermitteln.

Wo und bei welcher Behörde muss ein Cyberangriff gemeldet werden?

Wo Unternehmen einen Cyberangriff melden müssen, hängt von der jeweiligen Rechtsgrundlage ab. Eine einzige Meldestelle, über die automatisch sämtliche gesetzlichen Pflichten erfüllt werden, gibt es nicht. Bei einem größeren Sicherheitsvorfall können daher mehrere Behörden und weitere Stellen relevant sein.

Für meldepflichtige erhebliche Sicherheitsvorfälle nach dem BSI-Gesetz ist insbesondere das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig. Bei einer meldepflichtigen Verletzung personenbezogener Daten muss dagegen die zuständige Datenschutzaufsichtsbehörde informiert werden. Für regulierte Branchen können weitere Aufsichtsstellen hinzukommen.

Unternehmen sollten deshalb bereits in ihrem Incident-Response-Plan dokumentieren, welche Meldestelle für welche Art von Vorfall zuständig ist. Kontaktdaten und Meldewege sollten regelmäßig aktualisiert werden, damit im Ernstfall keine Zeit mit der Suche nach dem richtigen Ansprechpartner verloren geht.

Cyberangriff beim Bundesamt für Sicherheit in der Informationstechnik melden

Das BSI ist die zentrale Cybersicherheitsbehörde des Bundes und für betroffene Unternehmen eine wichtige Meldestelle bei erheblichen Sicherheitsvorfällen.

Unternehmen, die den entsprechenden gesetzlichen Meldepflichten unterliegen, müssen die vorgesehenen Meldewege und Fristen beachten. Dabei sollte intern eindeutig geregelt sein, wer die Kommunikation mit dem BSI übernimmt und wer diese Person im Notfall vertritt.

Für die Meldung sollten die verfügbaren Informationen zum Sicherheitsvorfall strukturiert zusammengetragen werden. Dazu gehören beispielsweise:

• Zeitpunkt der Entdeckung,
• Art des Sicherheitsvorfalls,
• betroffene Systeme und Dienste,
• bekannte oder mögliche Auswirkungen,
• bereits eingeleitete Gegenmaßnahmen,
• weitere verfügbare Erkenntnisse zum Angriff.

Gerade bei der ersten Meldung müssen noch nicht sämtliche technischen Details abschließend geklärt sein. Wichtig ist, den aktuellen Kenntnisstand korrekt wiederzugeben und neue Erkenntnisse im weiteren Verlauf zu ergänzen.

Datenschutzverletzung bei der zuständigen Aufsichtsbehörde melden

Liegt eine meldepflichtige Verletzung des Schutzes personenbezogener Daten vor, muss diese nach Art. 33 DSGVO an die zuständige Datenschutzaufsichtsbehörde gemeldet werden.

Welche Aufsichtsbehörde zuständig ist, hängt unter anderem vom Unternehmen und dessen Sitz ab. Bei vielen privatwirtschaftlichen Unternehmen ist die jeweilige Landesdatenschutzbehörde zuständig.

Die Meldung sollte insbesondere beschreiben:

• welche Art von Datenschutzverletzung vorliegt,
• welche Personen und Daten betroffen sind,
• welche Folgen wahrscheinlich sind,
• welche Gegenmaßnahmen bereits getroffen wurden,
• wer für Rückfragen erreichbar ist.

Sind einzelne Angaben innerhalb der 72-Stunden-Frist noch nicht verfügbar, können Informationen grundsätzlich schrittweise ergänzt werden. Unternehmen sollten dabei klar zwischen bestätigten Erkenntnissen und noch laufenden Untersuchungen unterscheiden.

Eine enge Zusammenarbeit zwischen IT-Sicherheit und Datenschutz ist hier besonders wichtig: Die IT liefert die technischen Erkenntnisse zum Angriff, während daraus die datenschutzrechtlichen Auswirkungen und Risiken für die betroffenen Personen bewertet werden.

Wann Polizei, weitere Behörden und Cyberversicherung informiert werden sollten

Neben dem BSI und der Datenschutzaufsichtsbehörde können nach einem Cyberangriff weitere Stellen relevant sein. Dazu gehören insbesondere Strafverfolgungsbehörden, branchenspezifische Aufsichtsstellen und die Cyberversicherung.

Bei Ransomware, Datendiebstahl, Erpressung oder anderen kriminellen Cyberangriffen kann eine Strafanzeige sinnvoll sein. Unternehmen können sich beispielsweise an die Polizei beziehungsweise die zuständigen spezialisierten Ansprechstellen für Cybercrime wenden. Eine Strafanzeige ersetzt jedoch keine möglicherweise bestehende gesetzliche Meldung an das BSI oder die Datenschutzaufsichtsbehörde.

Auch die Cyberversicherung sollte frühzeitig berücksichtigt werden. Versicherungsverträge können konkrete Vorgaben dazu enthalten, wann ein Sicherheitsvorfall gemeldet werden muss und welche externen Dienstleister eingebunden werden dürfen. Werden diese Bedingungen nicht beachtet, kann dies im späteren Schadenprozess problematisch werden.

Für den Ernstfall empfiehlt sich daher eine vorbereitete Kontaktliste mit Behörden, Versicherung, externen Incident-Response-Dienstleistern und weiteren relevanten Ansprechpartnern.

Welche Informationen muss die Meldung eines Cyberangriffs enthalten?

Welche Angaben erforderlich sind, hängt von der jeweiligen Rechtsgrundlage und Meldestelle ab. Dennoch gibt es einige Informationen, die Unternehmen nach einem Cyberangriff möglichst früh zusammentragen sollten.

Dazu gehören insbesondere:

• Zeitpunkt: Wann wurde der Cyberangriff entdeckt?
• Art des Vorfalls: Handelt es sich beispielsweise um Ransomware, Phishing oder einen unbefugten Systemzugriff?
• Betroffene Systeme: Welche Server, Anwendungen, Konten oder Dienste sind betroffen?
• Betroffene Daten: Sind personenbezogene oder andere vertrauliche Informationen betroffen?
• Auswirkungen: Welche Folgen bestehen für den Geschäftsbetrieb, Kunden oder andere Betroffene?
• Umfang: Wie viele Systeme, Personen oder Datensätze sind nach aktuellem Stand betroffen?
• Gegenmaßnahmen: Welche Maßnahmen wurden bereits zur Eindämmung und Behebung eingeleitet?
• Ansprechpartner: Wer steht für Rückfragen zur Verfügung?

Unternehmen sollten ausschließlich gesicherte Erkenntnisse als Tatsachen darstellen. Ist beispielsweise noch unklar, ob Daten tatsächlich entwendet wurden, sollte genau diese Unsicherheit kommuniziert werden.

Hilfreich ist eine zentrale Dokumentation, die während der Untersuchung kontinuierlich aktualisiert wird. So arbeiten IT, Informationssicherheit, Datenschutz und Geschäftsführung mit demselben Kenntnisstand und notwendige Folge- oder Ergänzungsmeldungen können schneller vorbereitet werden.

Cyberangriff richtig melden: Schritt-für-Schritt-Anleitung für Unternehmen

Bei einem Cyberangriff müssen technische Eindämmung, interne Kommunikation und die Prüfung gesetzlicher Meldepflichten parallel erfolgen. Ein vorbereiteter Ablauf verhindert, dass wichtige Aufgaben unter Zeitdruck übersehen werden.

Ein sinnvoller Prozess lässt sich in fünf Schritte gliedern:

1. Cyberangriff erkennen und eindämmen
Betroffene Systeme werden kontrolliert isoliert, kompromittierte Konten gesichert und relevante Protokolldaten für die weitere Untersuchung erhalten.

2. Betroffene Systeme und Daten identifizieren
Das Unternehmen prüft, welche Systeme, Konten, Daten und Geschäftsprozesse betroffen sind und ob Hinweise auf einen Datenabfluss bestehen.

3. Meldepflichten und Fristen prüfen
DSGVO, BSI-Gesetz und gegebenenfalls weitere regulatorische Vorgaben werden anhand des konkreten Vorfalls bewertet. Die jeweils geltenden Fristen werden dokumentiert.

4. Meldung fristgerecht durchführen
Besteht eine Meldepflicht, erfolgt die Meldung mit dem aktuell verfügbaren Kenntnisstand. Noch offene Informationen werden entsprechend gekennzeichnet und später ergänzt.

5. Cybervorfall vollständig dokumentieren
Erkenntnisse, Entscheidungen, Maßnahmen und Meldungen werden nachvollziehbar festgehalten. Nach Abschluss des Vorfalls sollte zudem analysiert werden, welche Sicherheitsmaßnahmen verbessert werden müssen.

Entscheidend ist, diese Schritte nicht als streng nacheinander ablaufende Phasen zu verstehen. Während IT-Spezialisten beispielsweise noch untersuchen, welche Systeme kompromittiert wurden, kann die regulatorische Bewertung bereits beginnen. Dadurch lassen sich kurze Meldefristen einhalten, ohne die technische Reaktion auf den Cyberangriff zu verzögern.

Schritt 1 – Cyberangriff erkennen und unmittelbar eindämmen

Nach der Entdeckung eines Cyberangriffs besteht die erste Aufgabe darin, eine weitere Ausbreitung zu verhindern und zusätzliche Schäden zu begrenzen. Abhängig von der Angriffssituation können beispielsweise kompromittierte Systeme isoliert, Benutzerkonten gesperrt oder verdächtige Netzwerkverbindungen blockiert werden.

Dabei sollte möglichst kontrolliert vorgegangen werden. Werden Systeme vorschnell gelöscht, zurückgesetzt oder neu installiert, können wichtige Spuren für die spätere forensische Untersuchung verloren gehen.

Parallel sollten die vorgesehenen internen Eskalationswege aktiviert werden. Neben IT und Informationssicherheit können je nach Schwere des Vorfalls Datenschutz, Geschäftsführung, Compliance sowie externe Incident-Response-Spezialisten einzubeziehen sein.

Bereits in dieser frühen Phase sollte dokumentiert werden, wann der Cyberangriff entdeckt wurde, welche ersten Erkenntnisse vorlagen und welche Maßnahmen durchgeführt wurden. Diese Informationen werden später sowohl für die technische Aufarbeitung als auch für die Prüfung möglicher Meldepflichten benötigt.

Schritt 2 – Betroffene Systeme und Daten identifizieren

Nach der ersten Eindämmung muss möglichst schnell geklärt werden, welchen Umfang der Cyberangriff tatsächlich hat. Dabei reicht es nicht, nur offensichtlich betroffene Geräte zu betrachten.

Unternehmen sollten unter anderem prüfen:

• Welche Server, Anwendungen und Endgeräte sind betroffen?
• Welche Benutzer- oder Administratorkonten wurden kompromittiert?
• Auf welche Daten konnten Angreifer möglicherweise zugreifen?
• Sind personenbezogene oder besonders sensible Daten betroffen?
• Gibt es Hinweise auf einen Datenabfluss?
• Welche geschäftskritischen Prozesse sind beeinträchtigt?

Besonders wichtig ist die Untersuchung eines möglichen Datenabflusses. Bei Ransomware-Angriffen werden Daten beispielsweise häufig nicht nur verschlüsselt, sondern möglicherweise zuvor kopiert.

Kann ein Datenabfluss zunächst weder bestätigt noch ausgeschlossen werden, sollte dies entsprechend dokumentiert werden. Fehlende Beweise für einen Datenabfluss bedeuten in einer frühen Untersuchungsphase nicht automatisch, dass keiner stattgefunden hat.

Die gewonnenen Erkenntnisse bilden anschließend die Grundlage für die Bewertung der gesetzlichen Meldepflichten.

Schritt 3 – Meldepflichten und gesetzliche Fristen prüfen

Sobald erste belastbare Informationen über den Cyberangriff vorliegen, müssen die möglichen Meldepflichten systematisch geprüft werden. Dieser Prozess sollte parallel zur weiteren technischen Untersuchung stattfinden.

Eine einfache Prüfreihenfolge hilft bei der Orientierung:

1. Sind personenbezogene Daten betroffen?
   Dann muss eine mögliche Meldepflicht nach DSGVO geprüft werden.
2. Fällt das Unternehmen unter NIS2 beziehungsweise das BSI-Gesetz?
   Dann ist zu bewerten, ob ein erheblicher Sicherheitsvorfall vorliegt.
3. Unterliegt das Unternehmen weiteren regulatorischen Anforderungen?
   Für Finanzunternehmen kann beispielsweise DORA relevant sein.
4. Bestehen zusätzliche Informationspflichten?
   Auch Cyberversicherung, Kundenverträge oder andere Vereinbarungen können Vorgaben für den Umgang mit Sicherheitsvorfällen enthalten.

Für jede relevante Meldepflicht sollte dokumentiert werden, welche Frist gilt, wann sie begonnen hat, welche Meldestelle zuständig ist und wer intern die Verantwortung trägt.

Besonders bei mehreren parallelen Meldepflichten ist eine zentrale Übersicht sinnvoll. So lässt sich verhindern, dass eine Meldung vorbereitet wird, während eine andere – möglicherweise kürzere Frist übersehen wird.

Schritt 4 – Cyberangriff fristgerecht bei der zuständigen Stelle melden

Ergibt die Prüfung eine gesetzliche Meldepflicht, sollte die Meldung über den vorgesehenen Meldeweg innerhalb der geltenden Frist erfolgen. Unternehmen sollten dabei nicht auf den vollständigen Abschluss der forensischen Untersuchung warten, wenn dadurch eine Meldefrist überschritten würde.

Die erste Meldung basiert daher auf dem aktuell gesicherten Kenntnisstand. Noch offene Fragen können entsprechend gekennzeichnet und – soweit vorgesehen – später ergänzt werden.

Vor der Übermittlung sollte kurz geprüft werden:

• Ist die richtige Meldestelle ausgewählt?
• Wird die gesetzliche Frist eingehalten?
• Sind bestätigte Erkenntnisse und Vermutungen klar getrennt?
• Sind die wesentlichen Auswirkungen beschrieben?
• Ist ein verantwortlicher Ansprechpartner angegeben?
• Wird ein Nachweis über die erfolgte Meldung intern gespeichert?

Bei mehreren parallelen Meldepflichten sollte die Kommunikation zentral koordiniert werden. Dadurch lassen sich widersprüchliche Angaben gegenüber unterschiedlichen Behörden vermeiden.

Schritt 5 – Cybervorfall und getroffene Entscheidungen dokumentieren

Eine nachvollziehbare Dokumentation gehört zu einem professionellen Umgang mit Cyberangriffen. Sie sollte nicht nur technische Erkenntnisse enthalten, sondern auch zeigen, wann welche Entscheidungen getroffen und welche Meldepflichten geprüft wurden.

Dokumentiert werden sollten insbesondere der Zeitpunkt der Entdeckung, betroffene Systeme und Daten, eingeleitete Gegenmaßnahmen, interne Eskalationen sowie erfolgte Meldungen und Nachmeldungen.

Besonders wichtig: Auch die Entscheidung, einen Cybervorfall nicht zu melden, sollte nachvollziehbar begründet werden. So kann später dargestellt werden, welche Informationen zum Entscheidungszeitpunkt vorlagen und warum die Voraussetzungen für eine Meldung nach der vorgenommenen Bewertung nicht erfüllt waren.

Nach Abschluss des Vorfalls sollte die Dokumentation außerdem genutzt werden, um Schwachstellen im Incident-Response-Prozess zu identifizieren und Abläufe für zukünftige Sicherheitsvorfälle zu verbessern.

Praxisbeispiele: Wann müssen Unternehmen einen Cyberangriff melden?

Ob ein Cyberangriff meldepflichtig ist, wird anhand konkreter Situationen besonders verständlich. Entscheidend ist nicht allein die Angriffsmethode, sondern welche Daten und Systeme betroffen sind, welche Folgen entstehen und welche gesetzlichen Vorgaben für das Unternehmen gelten.

Vier typische Beispiele zeigen die Unterschiede:

Ransomware-Angriff:
Werden zentrale Unternehmenssysteme verschlüsselt, muss zunächst das Ausmaß des Vorfalls untersucht werden. Sind personenbezogene Daten betroffen, kann die DSGVO relevant sein. Bei einem von den entsprechenden Vorgaben des BSI-Gesetzes erfassten Unternehmen muss zusätzlich geprüft werden, ob ein erheblicher Sicherheitsvorfall vorliegt. Ein möglicher Datenabfluss ist ebenfalls zu untersuchen.

Diebstahl von Kunden- oder Mitarbeiterdaten:
Erhalten Angreifer Zugriff auf eine Datenbank und kopieren personenbezogene Informationen, liegt eine Verletzung der Vertraulichkeit nahe. Das Unternehmen muss das Risiko für die betroffenen Personen bewerten und eine mögliche Meldung nach Art. 33 DSGVO prüfen. Bei einem hohen Risiko kann zusätzlich eine Benachrichtigung der Betroffenen erforderlich sein.

Phishing und kompromittiertes E-Mail-Konto:
Eine erhaltene und erfolgreich abgewehrte Phishing-Mail ist anders zu bewerten als ein tatsächlich kompromittiertes Konto. Konnten Angreifer auf E-Mails mit Kunden-, Mitarbeiter- oder anderen personenbezogenen Daten zugreifen, muss eine mögliche Datenschutzverletzung geprüft werden.

DDoS-Angriff:
Ein reiner DDoS-Angriff führt nicht zwangsläufig zu einem Abfluss personenbezogener Daten. Bei einem regulierten Unternehmen kann ein länger andauernder Ausfall eines wichtigen Dienstes jedoch als erheblicher Sicherheitsvorfall relevant werden.

Die Beispiele zeigen: Es gibt keine pauschale Meldeentscheidung anhand des Angriffstyps. Ein Vorfall muss immer anhand seiner tatsächlichen beziehungsweise möglichen Auswirkungen und der für das Unternehmen geltenden Regelungen bewertet werden.

Welche Folgen drohen, wenn ein Cyberangriff nicht gemeldet wird?

Wird ein meldepflichtiger Cyberangriff nicht, verspätet oder unvollständig gemeldet, können für Unternehmen zusätzliche rechtliche und wirtschaftliche Risiken entstehen. Die konkreten Konsequenzen richten sich danach, gegen welche gesetzliche Verpflichtung verstoßen wurde.

Neben möglichen Bußgeldern können aufsichtsrechtliche Maßnahmen, zusätzlicher Prüfungsaufwand und Reputationsschäden hinzukommen. Problematisch ist insbesondere, wenn ein Unternehmen einen Vorfall frühzeitig erkannt, die Prüfung der Meldepflicht jedoch aufgrund unklarer Zuständigkeiten oder fehlender Prozesse verzögert hat.

Auch bei Datenschutzverletzungen kann nicht nur der ursprüngliche Sicherheitsvorfall relevant sein. Aufsichtsbehörden können ebenfalls berücksichtigen, wie das Unternehmen nach Bekanntwerden der Verletzung reagiert hat und ob die gesetzlichen Melde- und Dokumentationspflichten eingehalten wurden.

Unternehmen sollten eine Meldung deshalb nicht als reine Formalität betrachten. Ein funktionierender Prozess für Erkennung, Bewertung, Eskalation und Meldung gehört zu einem wirksamen Incident Management.

Welche Bußgelder bei Verstößen gegen Meldepflichten drohen können

Die mögliche Höhe eines Bußgeldes hängt von der jeweiligen Rechtsgrundlage und den Umständen des Einzelfalls ab. Sowohl die DSGVO als auch das BSI-Gesetz sehen Sanktionen für bestimmte Verstöße gegen gesetzliche Pflichten vor.

Dabei können unter anderem die Schwere und Dauer des Verstoßes, die Auswirkungen des Vorfalls sowie der Umgang des Unternehmens mit dem Sicherheitsereignis eine Rolle spielen.

Neben finanziellen Sanktionen sind weitere Folgen möglich. Dazu gehören beispielsweise behördliche Anordnungen, zusätzliche Nachweispflichten und eine intensivere aufsichtsrechtliche Prüfung.

Für Unternehmen sollte die mögliche Sanktion jedoch nicht der einzige Grund für einen funktionierenden Meldeprozess sein. Klare Verantwortlichkeiten und vorbereitete Abläufe helfen vor allem dabei, während eines Cyberangriffs handlungsfähig zu bleiben und regulatorische Fehler unter hohem Zeitdruck zu vermeiden.

Warum auch eine Entscheidung gegen die Meldung dokumentiert werden sollte

Nicht jeder Cyberangriff muss gemeldet werden. Trotzdem sollte nachvollziehbar festgehalten werden, warum ein Unternehmen zu diesem Ergebnis gekommen ist.

Eine solche Dokumentation sollte insbesondere enthalten:

• wann der Vorfall bekannt wurde,
• welche Systeme und Daten betroffen waren,
• welche Auswirkungen festgestellt wurden,
• welche gesetzlichen Meldepflichten geprüft wurden,
• wie die Risikobewertung ausgefallen ist,
• warum eine Meldung erfolgt oder darauf verzichtet wurde.

Das ist besonders im Datenschutz relevant, da Datenschutzverletzungen entsprechend dokumentiert werden müssen. Gleichzeitig verbessert eine strukturierte Dokumentation die interne Nachvollziehbarkeit und erleichtert die Bewertung vergleichbarer Vorfälle in Zukunft.

Welche Fehler sollten Unternehmen bei der Meldung von Cyberangriffen vermeiden?

Viele Fehler entstehen nicht durch fehlendes technisches Wissen, sondern durch unklare Abläufe und Verantwortlichkeiten. Besonders unter Zeitdruck können dadurch wichtige Meldefristen versäumt werden.

Zu den häufigsten Fehlern gehören:

• Auf vollständige Informationen warten: Die forensische Untersuchung kann länger dauern als die gesetzliche Meldefrist.
• Meldefristen verwechseln: DSGVO, BSI-Gesetz und branchenspezifische Vorgaben können unterschiedliche Fristen vorsehen.
• Nur eine Rechtsgrundlage prüfen: Ein Cyberangriff kann mehrere Meldepflichten gleichzeitig auslösen.
• Verantwortlichkeiten nicht festlegen: Es sollte vorab klar sein, wer bewertet, entscheidet und meldet.
• Entscheidungen nicht dokumentieren: Auch eine begründete Entscheidung gegen eine Meldung sollte nachvollziehbar festgehalten werden.
• Cyberversicherung zu spät einbeziehen: Versicherungsverträge können eigene Informations- und Verfahrenspflichten enthalten.

Ein vorbereiteter Incident-Response-Plan reduziert diese Risiken erheblich. Je klarer Eskalationswege, Verantwortlichkeiten, Meldefristen und Ansprechpartner definiert sind, desto weniger Entscheidungen müssen während eines laufenden Cyberangriffs improvisiert werden.

Was Unternehmen in den ersten 24 Stunden nach einem Cyberangriff tun sollten

Die ersten Stunden nach einem Cyberangriff sind besonders wichtig. In dieser Phase müssen Unternehmen den Angriff eindämmen, das Ausmaß des Vorfalls bestimmen und gleichzeitig prüfen, ob bereits gesetzliche Meldefristen für den Cyberangriff laufen.

Ein sinnvoller Ablauf umfasst vier zentrale Aufgaben:

1. Cyberangriff eindämmen: Betroffene Systeme kontrolliert isolieren, kompromittierte Konten sichern und eine weitere Ausbreitung verhindern.

2. Auswirkungen untersuchen: Betroffene Systeme, Daten und Geschäftsprozesse identifizieren und insbesondere einen möglichen Datenabfluss prüfen.

3. Meldepflicht bewerten: DSGVO, BSI-Gesetz und gegebenenfalls weitere regulatorische Anforderungen parallel prüfen.

4. Fristen und Kommunikation koordinieren: Zuständige Behörden, interne Verantwortliche und gegebenenfalls weitere Stellen bestimmen und notwendige Meldungen vorbereiten.

Das Ziel der ersten 24 Stunden besteht nicht darin, den gesamten Cyberangriff bereits vollständig aufzuklären. Vielmehr muss das Unternehmen handlungsfähig bleiben, weitere Schäden begrenzen und relevante Meldefristen sichern.

Wie können sich Unternehmen auf die Meldepflicht bei Cyberangriffen vorbereiten?

Der ungünstigste Zeitpunkt, um Zuständigkeiten, Behördenkontakte und Meldefristen zu klären, ist während eines laufenden Cyberangriffs. Unternehmen sollten die organisatorischen Voraussetzungen deshalb bereits im Vorfeld schaffen.

Ein zentraler Bestandteil ist ein Incident-Response-Plan. Dieser sollte nicht nur technische Maßnahmen beschreiben, sondern auch festlegen, wie ein Sicherheitsvorfall intern eskaliert und regulatorisch bewertet wird.

Besonders wichtig sind:

• klare Verantwortlichkeiten für IT, Informationssicherheit, Datenschutz und Geschäftsführung,
• definierte Eskalationsstufen für unterschiedliche Schweregrade,
• aktuelle Kontaktdaten relevanter Behörden und Dienstleister,
• eine Übersicht über gesetzliche Meldefristen,
• vorbereitete Prozesse für Erst-, Folge- und Abschlussmeldungen,
• regelmäßige Übungen und Aktualisierungen des Incident-Response-Plans.

Hilfreich ist außerdem eine Melde- und Eskalationsmatrix. Darin können Unternehmen festhalten, welche Rechtsgrundlage bei welchem Vorfall geprüft werden muss, welche Meldestelle zuständig ist und wer die Verantwortung übernimmt.

Solche Vorbereitungen sparen im Ernstfall wertvolle Zeit. Gleichzeitig reduzieren sie das Risiko, dass wichtige Pflichten übersehen werden, weil sich technische Teams vollständig auf die Eindämmung des Angriffs konzentrieren müssen.

Welche Meldepflicht gilt wann? DSGVO, NIS2, KRITIS und DORA im Vergleich

Welche Meldepflicht bei einem Cyberangriff greift, hängt vom betroffenen Unternehmen und den Auswirkungen des Vorfalls ab. Die folgende Übersicht dient als erste Orientierung:

Regelung	Wann relevant?	Zentrale Meldefrist	Meldestelle
DSGVO	Verletzung personenbezogener Daten mit entsprechendem Risiko	grundsätzlich möglichst innerhalb von 72 Stunden	zuständige Datenschutzaufsichtsbehörde
NIS2 / BSI-Gesetz	erheblicher Sicherheitsvorfall bei einer erfassten Einrichtung	erste Meldung innerhalb von 24 Stunden, weitere Meldung innerhalb von 72 Stunden	BSI
KRITIS / BSI-Gesetz	relevante Sicherheitsvorfälle bei betroffenen KRITIS-Betreibern	abhängig von den einschlägigen gesetzlichen Meldeanforderungen	BSI
DORA	schwerwiegender IKT-bezogener Vorfall bei erfassten Finanzunternehmen	gestuftes Meldeverfahren nach den geltenden DORA-Vorgaben	zuständige Finanzaufsicht

Die Tabelle ersetzt keine Prüfung des Einzelfalls. Sie zeigt jedoch, warum Unternehmen ihre regulatorische Situation bereits vor einem Cyberangriff kennen sollten.

Besonders wichtig: Die Regelwerke können parallel gelten. Ein Cyberangriff auf ein reguliertes Unternehmen, bei dem gleichzeitig personenbezogene Daten entwendet werden, kann daher mehrere Meldungen an unterschiedliche Stellen erforderlich machen.

Häufig gestellte Fragen zur Meldepflicht bei Cyberangriffen

Rund um die Meldepflicht bei Cyberangriffen entstehen in der Praxis viele Fragen: Muss tatsächlich jeder Vorfall gemeldet werden? Welche Fristen gelten und welche Behörde ist zuständig? Besonders bei komplexen Sicherheitsvorfällen können zudem mehrere gesetzliche Anforderungen gleichzeitig greifen. Die folgenden Antworten fassen die wichtigsten Fragen zur Meldung von Cyberangriffen kompakt zusammen und geben Unternehmen eine erste Orientierung.

Muss jeder Cyberangriff gemeldet werden?

Nein. Nicht jeder Cyberangriff führt automatisch zu einer gesetzlichen Meldepflicht. Entscheidend sind die Auswirkungen des Vorfalls und die gesetzlichen Anforderungen, denen das Unternehmen unterliegt.

Sind personenbezogene Daten betroffen, muss eine mögliche Meldepflicht nach DSGVO geprüft werden. Bei Unternehmen, die unter die entsprechenden Vorgaben des BSI-Gesetzes fallen, kann ein erheblicher Sicherheitsvorfall eine Meldung an das BSI erforderlich machen. Für bestimmte Branchen gelten zusätzliche Anforderungen.

Innerhalb welcher Frist muss ein Cyberangriff gemeldet werden?

Die Frist hängt von der jeweiligen Rechtsgrundlage ab. Bei einer meldepflichtigen Datenschutzverletzung gilt nach Art. 33 DSGVO grundsätzlich eine Frist von möglichst 72 Stunden nach Bekanntwerden.

Für erhebliche Sicherheitsvorfälle nach den entsprechenden Vorgaben des BSI-Gesetzes ist ein gestuftes Verfahren vorgesehen. Eine frühe Meldung muss grundsätzlich innerhalb von 24 Stunden erfolgen, gefolgt von einer weiteren Meldung innerhalb von 72 Stunden und grundsätzlich einer späteren Abschlussmeldung.

Unternehmen sollten deshalb unmittelbar nach Bekanntwerden eines Cybervorfalls prüfen, welche Fristen für sie gelten.

Wo müssen Unternehmen einen Cyberangriff melden?

Die zuständige Meldestelle richtet sich nach der jeweiligen Meldepflicht. Erhebliche Sicherheitsvorfälle meldepflichtiger Einrichtungen werden über die vorgesehenen Meldewege an das BSI gemeldet. Datenschutzverletzungen sind dagegen bei der zuständigen Datenschutzaufsichtsbehörde zu melden.

Je nach Branche können weitere Aufsichtsstellen hinzukommen. Eine Meldung bei einer Behörde erfüllt nicht automatisch alle anderen möglicherweise bestehenden Meldepflichten.

Wann muss ein Cyberangriff an das BSI gemeldet werden?

Eine Meldung an das BSI kann erforderlich sein, wenn ein Unternehmen unter die entsprechenden Vorgaben des BSI-Gesetzes fällt und ein erheblicher Sicherheitsvorfall vorliegt.

Für die Bewertung sind insbesondere die Auswirkungen des Vorfalls relevant. Dazu können schwerwiegende Betriebsstörungen, erhebliche finanzielle Verluste oder erhebliche Auswirkungen auf andere Personen gehören.

Unternehmen sollten deshalb bereits vor einem Vorfall klären, ob sie zu den erfassten Einrichtungen gehören und welche internen Prozesse für eine BSI-Meldung gelten.

Muss ein Ransomware-Angriff gemeldet werden?

Ein Ransomware-Angriff ist nicht allein aufgrund der Angriffsmethode automatisch meldepflichtig. Entscheidend sind seine Auswirkungen.

Werden personenbezogene Daten verschlüsselt oder entwendet, kann eine Meldepflicht nach DSGVO entstehen. Handelt es sich bei einem betroffenen Unternehmen um eine nach dem BSI-Gesetz erfasste Einrichtung und verursacht der Angriff einen erheblichen Sicherheitsvorfall, kann zusätzlich eine Meldung an das BSI erforderlich sein.

Unternehmen sollten bei Ransomware insbesondere prüfen, ob neben der Verschlüsselung auch ein Datenabflussstattgefunden haben könnte.

Muss ein Cyberangriff bei der Polizei angezeigt werden?

Eine Strafanzeige bei der Polizei ist von regulatorischen Meldungen an das BSI oder eine Datenschutzaufsichtsbehörde zu unterscheiden. Bei kriminellen Cyberangriffen wie Ransomware, Erpressung oder Datendiebstahl kann die Einschaltung der Strafverfolgungsbehörden sinnvoll sein.

Eine Anzeige bei der Polizei ersetzt jedoch keine gesetzlich erforderliche Meldung an andere zuständige Stellen.

Können Meldepflichten nach DSGVO und NIS2 gleichzeitig gelten?

Ja. Ein Cyberangriff kann mehrere Meldepflichten gleichzeitig auslösen.

Wird beispielsweise ein von den entsprechenden Vorgaben des BSI-Gesetzes erfasstes Unternehmen Opfer eines erheblichen Ransomware-Angriffs und werden dabei personenbezogene Kundendaten entwendet, können sowohl die Meldepflichten nach dem BSI-Gesetz als auch die Anforderungen der DSGVO relevant sein.

Unternehmen sollten deshalb bei größeren Cybervorfällen immer alle einschlägigen Rechtsgrundlagen prüfen und die jeweiligen Fristen getrennt überwachen.

Fazit: Meldepflicht bei Cyberangriffen frühzeitig prüfen und richtig handeln

Bei einem Cyberangriff zählt nicht nur die technische Reaktion. Unternehmen müssen frühzeitig klären, ob eine Meldepflicht besteht, welche Fristen gelten und welche Behörden informiert werden müssen.

Besonders wichtig ist, dass DSGVO, NIS2 beziehungsweise BSI-Gesetz und branchenspezifische Anforderungen nicht isoliert betrachtet werden. Ein einzelner Sicherheitsvorfall kann mehrere Meldepflichten gleichzeitig auslösen.

Unternehmen sollten deshalb bereits vor einem Ernstfall klare Verantwortlichkeiten, Eskalationswege und Meldeprozesse definieren. Ein aktueller Incident-Response-Plan, eine Übersicht der relevanten Meldefristen und feste Ansprechpartner helfen dabei, unter Zeitdruck strukturiert zu handeln.

Wer erst während eines laufenden Cyberangriffs klärt, wer zuständig ist und welche Behörde informiert werden muss, verliert wertvolle Zeit. Gute Vorbereitung reduziert dieses Risiko und schafft die Grundlage für eine schnelle, koordinierte Reaktion.

Unterstützung bei der Vorbereitung auf Cyberangriffe und Meldepflichten

Ein funktionierender Incident-Response-Prozess hilft Unternehmen dabei, Cyberangriffe schneller zu erkennen, richtig zu eskalieren und regulatorische Anforderungen im Ernstfall zu berücksichtigen.

Sie möchten Ihre bestehenden Incident-Response- und Meldeprozesse überprüfen oder Ihr Unternehmen besser auf Cybervorfälle vorbereiten? Sprechen Sie uns an. Gemeinsam schaffen wir klare Prozesse und Verantwortlichkeiten, damit im Ernstfall keine wertvolle Zeit verloren geht.