Sollte man befallene Rechner sofort ausschalten?

Nein, das ist der klassische Fehler. Vom Netz trennen ja, ausschalten nein. Beim Herunterfahren geht der Arbeitsspeicher verloren, und dort liegen häufig genau die Informationen, die den Angriffsweg belegen: laufende Prozesse, offene Verbindungen, teils sogar Schlüsselmaterial. Ziehen Sie das Netzwerkkabel oder deaktivieren Sie WLAN, lassen Sie das Gerät aber eingeschaltet, bis geklärt ist, ob eine forensische Sicherung erfolgen soll.

Muss ein Cyberangriff der Polizei gemeldet werden?

Eine allgemeine Anzeigepflicht für Unternehmen gibt es nicht. Unabhängig davon ist die Einschaltung der Zentralen Ansprechstelle Cybercrime (ZAC) des jeweiligen Landeskriminalamts sinnvoll und kostenfrei. Sie berät auch dann, wenn noch unklar ist, ob Anzeige erstattet wird. Getrennt davon besteht die Meldepflicht nach Art. 33 DSGVO gegenüber der Datenschutzaufsicht, wenn personenbezogene Daten betroffen sind, sowie für regulierte Unternehmen die Meldepflicht nach NIS2.

Wann läuft die 72-Stunden-Frist an?

Mit der Kenntnis von der Verletzung des Schutzes personenbezogener Daten, also ab dem Moment, in dem hinreichende Sicherheit über den Vorfall besteht, nicht erst nach vollständiger Aufklärung. Wer die Frist nicht halten kann, meldet trotzdem und liefert nach: Eine unvollständige Meldung mit Begründung der Verzögerung ist zulässig und deutlich besser als eine verspätete.

Müssen Kunden über einen Angriff informiert werden?

Wenn ein hohes Risiko für die betroffenen Personen besteht, verlangt Art. 34 DSGVO die Benachrichtigung der Betroffenen. Unabhängig von der Rechtspflicht gibt es einen praktischen Grund: Kunden und Partner erfahren es meist ohnehin, oft über Dritte. Eine frühe, sachliche Information kostet weniger Vertrauen als eine späte Aufklärung durch andere. In der Bitkom-Studie berichten 21 Prozent der betroffenen Unternehmen, dass ihr Vorfall auch Geschäftspartner getroffen hat.

Wann muss die Cyberversicherung informiert werden?

So früh wie möglich, in der Regel unverzüglich nach Kenntnis. Viele Policen enthalten kürzere Fristen als das Gesetz und schreiben zusätzlich vor, dass bestimmte Maßnahmen nur nach Abstimmung mit dem Versicherer eingeleitet werden dürfen, etwa die Beauftragung eines Dienstleisters für die Wiederherstellung. Wer diese Reihenfolge nicht einhält, riskiert Kürzungen. Prüfen Sie die Meldewege Ihrer Police, bevor Sie sie brauchen.

Nach dem Cyberangriff: Beweise sichern, Behörden einschalten, richtig kommunizieren

Aktualisiert am 01.09.2026Lesezeit 7 Min.

Die kurze Antwort

Nach einem Cyberangriff entscheiden die ersten Stunden darüber, ob der Vorfall später aufklärbar ist. Der häufigste teure Fehler ist gut gemeint: Systeme sofort neu aufsetzen und damit alle Spuren vernichten. In der Bitkom-Studie 2026 klärten 68 Prozent der Unternehmen ihren Vorfall über Log-Dateien auf, und 29 Prozent der Betroffenen können einen Angriff überhaupt nicht mehr belegen. Richtig ist: betroffene Systeme vom Netz trennen, aber nicht ausschalten und nicht neu installieren, Protokolle sofort sichern, dann parallel drei Spuren verfolgen. Erstens die Meldepflicht nach Art. 33 DSGVO innerhalb von 72 Stunden, wenn personenbezogene Daten betroffen sein könnten. Zweitens die Zentrale Ansprechstelle Cybercrime der Polizei, die kostenfrei unterstützt. Drittens die Cyberversicherung, deren Fristen oft kürzer sind als die gesetzlichen. Erst danach kommt der Wiederaufbau.

Die Bitkom-Studie zum Wirtschaftsschutz 2026 enthält eine Zahl, die für den Ernstfall wichtiger ist als der Milliardenschaden: 29 Prozent der betroffenen Unternehmen vermuten einen Angriff, können ihn aber nicht belegen. Vor einem Jahr waren es 10 Prozent. Und 68 Prozent derjenigen, die ihren Vorfall aufklären konnten, taten das über Log-Dateien.

Zusammengenommen heißt das: Die Aufklärung entscheidet sich an Daten, die entweder in den ersten Stunden gesichert werden oder für immer weg sind. Dieser Beitrag beschreibt, was in dieser Phase zu tun ist, welche Meldungen wohin gehen und welche Fehler am teuersten sind.

Für den technischen Wiederanlauf gibt es getrennte Anleitungen: den Ransomware-Notfallplan für KMU und das IT-Notfallhandbuch. Hier geht es um das, was daneben und parallel laufen muss.

Die erste Stunde: trennen, nicht löschen

Der teuerste Fehler nach einem Angriff ist gut gemeint. Jemand setzt den befallenen Rechner sofort neu auf, um schnell wieder arbeiten zu können. Damit sind alle Spuren vernichtet: der Weg des Angreifers, der Zeitpunkt des Erstzugriffs, die Frage, ob Daten abgeflossen sind. Ohne diese Antworten lässt sich später weder gegenüber der Aufsichtsbehörde noch gegenüber der Versicherung etwas belegen.

Die richtige Reihenfolge in der ersten Stunde:

Trennen, nicht ausschalten. Netzwerkkabel ziehen, WLAN deaktivieren, betroffene Systeme isolieren. Das Gerät bleibt eingeschaltet. Beim Herunterfahren geht der Arbeitsspeicher verloren, und dort liegen oft die aussagekräftigsten Spuren.

Zugänge von außen schließen. VPN-Zugänge, Fernwartungszugänge und externe Anmeldungen deaktivieren, Passwörter zentraler Konten zurücksetzen. Das gilt besonders für Administratorkonten und Dienstkonten.

Protokolle sofort sichern. Logs von Firewall, Servern, Virenschutz und Microsoft 365 an einen sicheren Ort kopieren, bevor sie rotieren oder gelöscht werden. Das ist der Punkt, an dem am häufigsten Zeit verloren geht, weil niemand weiß, wo diese Daten liegen.

Beobachtungen mitschreiben. Wer hat wann was bemerkt, welche Meldung stand auf dem Bildschirm, wann wurde welche Maßnahme ergriffen. Ein einfaches Protokoll mit Uhrzeiten. Es wird für Behörden, Versicherung und die eigene Aufarbeitung gebraucht und lässt sich später nicht rekonstruieren.

Drei Spuren, die parallel laufen

Nach der Sofortsicherung laufen drei Vorgänge nebeneinander. Sie haben unterschiedliche Fristen und unterschiedliche Adressaten, und keiner davon wartet auf die technische Wiederherstellung.

Spur	Adressat	Frist	Zweck
Datenschutz	zuständige Landesdatenschutzbehörde	72 Stunden ab Kenntnis (Art. 33 DSGVO)	gesetzliche Meldepflicht bei personenbezogenen Daten
Strafverfolgung	Zentrale Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts	keine Frist, aber je früher desto besser	Beratung, Spurensicherung, Strafverfolgung
Versicherung	Cyberversicherer beziehungsweise Makler	oft unverzüglich, laut Police	Deckung sichern, Dienstleister freigeben lassen

Dazu kommt für Unternehmen im Anwendungsbereich der NIS2-Richtlinie eine eigene, deutlich engere Meldekette an das BSI mit einer Erstmeldung binnen 24 Stunden. Ob Ihr Unternehmen betroffen ist, klärt der Beitrag zu den NIS2-Pflichten für KMU.

Datenschutz: die 72 Stunden

Die Frist beginnt mit der Kenntnis von der Verletzung, nicht mit der abgeschlossenen Aufklärung. Gemeldet wird an die Aufsichtsbehörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat.

Wichtig für die Praxis: Eine Meldung ist auch dann abzugeben, wenn noch nicht alles bekannt ist. Die DSGVO sieht ausdrücklich vor, dass Informationen schrittweise nachgereicht werden können. Wer wartet, bis alles geklärt ist, verpasst die Frist und muss die Verzögerung zusätzlich begründen.

Zu melden ist unter anderem, welche Kategorien personenbezogener Daten betroffen sind und wie viele Personen ungefähr. Genau hier zahlt sich die Beweissicherung aus. Wer nicht belegen kann, worauf zugegriffen wurde, muss vom größtmöglichen Umfang ausgehen. Was sonst noch zu den laufenden Pflichten gehört, steht im Beitrag zu den DSGVO-Pflichten für KMU.

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Polizei: die ZAC einschalten

Jedes Landeskriminalamt betreibt eine Zentrale Ansprechstelle Cybercrime für Unternehmen. Sie ist kostenfrei, berät auch vor einer förmlichen Anzeige und kennt die aktuellen Angriffsmuster.

Der praktische Nutzen wird unterschätzt. In der Bitkom-Studie haben 50 Prozent aller befragten Unternehmen bei der Aufklärung Unterstützung von Behörden erhalten, nach 35 Prozent im Vorjahr und 24 Prozent zwei Jahre zuvor. Die Zurückhaltung aus Sorge vor Reputationsschäden ist überholt, und die Behörden sehen oft auf einen Blick, mit welcher Angriffswelle man es zu tun hat.

Versicherung: die Reihenfolge einhalten

Cyberpolicen enthalten fast immer eigene Obliegenheiten: unverzügliche Meldung, Abstimmung vor der Beauftragung externer Dienstleister, teils vorgegebene Partner für Forensik und Wiederherstellung. Wer zuerst einen Dienstleister beauftragt und danach meldet, riskiert, auf den Kosten sitzen zu bleiben.

Was eine solche Police leistet und wo die typischen Ausschlüsse liegen, ordnet der Beitrag zur Cyberversicherung für KMU ein.

Kommunikation: früh, sachlich, aus einer Hand

Die Kommunikation wird regelmäßig unterschätzt, weil sie technisch nicht dringlich wirkt. Sie entscheidet aber darüber, wie der Vorfall in Erinnerung bleibt.

Intern zuerst. Die Belegschaft merkt sofort, dass etwas nicht stimmt. Ohne Information entstehen Gerüchte, und Mitarbeitende beantworten Kundenanfragen nach eigenem Gutdünken. Eine kurze, ehrliche Information mit klarer Ansage, wer nach außen spricht, verhindert das.

Eine Stimme nach außen. Eine benannte Person, in kleineren Unternehmen die Geschäftsführung. Alle Anfragen laufen dort zusammen.

Sachlich statt beschwichtigend. Was bekannt ist, was nicht bekannt ist, was gerade getan wird, wann die nächste Information kommt. Aussagen wie „es sind keine Daten abgeflossen" sind in der Frühphase fast immer ungedeckt und werden später zum Problem.

Betroffene Partner aktiv informieren. 21 Prozent der betroffenen Unternehmen berichten in der Studie, dass ihr Vorfall auch andere Unternehmen getroffen hat. Wenn Ihre Systeme mit denen von Kunden oder Lieferanten verbunden sind, gehört eine Warnung zu den ersten Schritten, nicht zu den letzten.

Wiederaufbau: nicht in dieselbe Lücke hinein

Der Wiederanlauf beginnt erst, wenn geklärt ist, wie der Angreifer hereingekommen ist. Wer die Systeme aus dem Backup zurückholt und die Ursache offen lässt, holt sich denselben Angriff ein zweites Mal, oft innerhalb weniger Wochen.

Isolieren und sichern
Betroffene Systeme vom Netz trennen, aber eingeschaltet lassen. Externe Zugänge schließen, Passwörter zentraler und privilegierter Konten zurücksetzen, Protokolle an einen sicheren Ort kopieren.
Lagebild und Protokoll anlegen
Wer hat wann was bemerkt, welche Systeme sind betroffen, welche Daten liegen dort. Alles mit Uhrzeiten mitschreiben. Dieses Protokoll ist die Grundlage für Behörden, Versicherung und Aufarbeitung.
Meldungen parallel starten
Datenschutzaufsicht innerhalb von 72 Stunden, ZAC des Landeskriminalamts, Cyberversicherung nach den Fristen der Police. Bei NIS2-Pflicht zusätzlich die Erstmeldung an das BSI binnen 24 Stunden.
Kommunikation ordnen
Belegschaft informieren, eine Stimme nach außen festlegen, betroffene Kunden und Partner aktiv warnen. Nur belegte Aussagen treffen und den nächsten Informationszeitpunkt nennen.
Ursache klären, bevor wiederhergestellt wird
Einstiegspunkt und Ausbreitungsweg bestimmen. Erst danach aus sauberen Sicherungen zurückspielen, sonst kommt der Angreifer über dieselbe Lücke zurück. Vor dem Zurückspielen prüfen, ob die Sicherung selbst unbelastet ist.
Nacharbeit verbindlich machen
Die gefundene Ursache in eine konkrete Maßnahme übersetzen, mit Verantwortlichem und Termin. Häufig sind es Erkennung, Zugriffsrechte oder ein offener Fernzugang, also genau die Punkte, die auch die Bitkom-Studie als Hauptursachen nennt.

Quelle: BSI: Top 10 Ransomware-Maßnahmen

Einordnung

Ein Vorfall ist unangenehm, aber beherrschbar. Was ihn teuer macht, sind die Entscheidungen der ersten Stunden: das voreilige Neuaufsetzen, die verpasste Frist, die Zusage an einen Kunden, die sich später als falsch herausstellt.

Alle drei Fehler entstehen unter Druck und ohne Vorbereitung. Deshalb ist der wirksamste Teil dieses Beitrags nicht der Ablauf selbst, sondern die Empfehlung, ihn vorher aufzuschreiben: drei Telefonnummern, eine benannte Person für die Kommunikation, ein Blatt Papier mit der Reihenfolge. Das kostet eine Stunde und ist im Ernstfall der Unterschied zwischen einem dokumentierten Vorfall und einer Vermutung.

Wenn Sie diesen Ablauf für Ihr Unternehmen festlegen wollen, bevor Sie ihn brauchen, sprechen Sie uns an. ITCC erarbeitet ihn gemeinsam mit Ihnen und hinterlegt ihn so, dass er auch ohne funktionierende IT verfügbar ist.