Es beginnt oft an einem Freitagabend, wenn die IT-Abteilung dünn besetzt ist: Dateien lassen sich nicht mehr öffnen, auf den Bildschirmen erscheint eine Textdatei mit Zahlungsaufforderung, das Warenwirtschaftssystem steht. Ransomware-Angriffe treffen längst nicht mehr nur Konzerne — Ermittler und das Bundesamt für Sicherheit in der Informationstechnik (BSI) beobachten seit Jahren eine Verlagerung auf mittlere und kleine Betriebe, deren Abwehr schwächer und deren Zahlungsbereitschaft im Zweifel höher ist. Der Digitalverband Bitkom bezifferte den jährlichen Gesamtschaden durch Datendiebstahl, Spionage und Sabotage zuletzt auf rund 267 Milliarden Euro. Wie glimpflich ein Angriff ausgeht, entscheidet sich in den ersten Stunden — und daran, ob es einen Plan gab, bevor er gebraucht wurde.
Die ersten 48 Stunden: isolieren, sichern, entscheiden
Die erste Regel widerspricht dem Reflex vieler Geschäftsführer: nicht aufräumen. Wer infizierte Rechner neu aufsetzt oder hektisch Systeme herunterfährt, vernichtet Spuren, die Forensiker später brauchen — und riskiert, dass die Angreifer unbemerkt im Netz bleiben. Stattdessen gilt: betroffene Systeme vom Netzwerk trennen (Netzwerkkabel ziehen, WLAN deaktivieren), aber möglichst eingeschaltet lassen. Backups sofort physisch oder logisch vom Netz nehmen, bevor auch sie verschlüsselt werden. Parallel braucht es einen Krisenstab mit klaren Rollen: Wer entscheidet, wer dokumentiert, wer spricht mit Dienstleistern, Behörden und Kunden?
Zur ehrlichen Bestandsaufnahme gehört die Frage, wie lange der Betrieb ohne IT arbeitsfähig bleibt — mit Papierlisten, Telefon und improvisierten Prozessen. Und: Kommunikationswege prüfen. Wenn Angreifer im E-Mail-System sitzen, darf die Krisenkommunikation nicht über eben dieses System laufen. Bewährt haben sich vorab eingerichtete Messenger-Gruppen oder schlicht eine Telefonkette. Wer eine Cyberversicherung hat, sollte deren Hotline in den ersten Stunden anrufen — viele Policen knüpfen Leistungen an die unverzügliche Meldung und stellen zugleich Incident-Response-Dienstleister.
Meldepflichten: DSGVO, NIS-2 und die Frage der Fristen
Neben der technischen Abwehr läuft eine juristische Uhr. Sind personenbezogene Daten betroffen — bei verschlüsselten oder abgeflossenen Kunden- und Personaldaten regelmäßig der Fall —, verlangt Art. 33 DSGVO die Meldung an die zuständige Datenschutzaufsicht binnen 72 Stunden nach Bekanntwerden. Besteht ein hohes Risiko für die Betroffenen, etwa weil Bankdaten oder Gesundheitsinformationen abgeflossen sind, müssen nach Art. 34 DSGVO auch die betroffenen Personen selbst informiert werden.
Mit der deutschen Umsetzung der europäischen NIS-2-Richtlinie sind die Pflichten für Zehntausende Unternehmen noch einmal deutlich verschärft worden: Wichtige und besonders wichtige Einrichtungen — darunter viele Mittelständler aus Fertigung, Chemie, Logistik oder Lebensmittelproduktion — müssen sich beim BSI registrieren und erhebliche Sicherheitsvorfälle in einem gestaffelten Verfahren melden: Erstmeldung binnen 24 Stunden, ausführlichere Folgemeldung binnen 72 Stunden, Abschlussbericht nach einem Monat. Für Betreiber kritischer Anlagen gelten nach §§ 31, 39 BSIG zusätzlich besondere Anforderungen an die technischen Vorkehrungen samt Nachweispflichten gegenüber dem BSI. Wer unsicher ist, ob der eigene Betrieb unter die neuen Schwellenwerte fällt, sollte das nicht erst im Krisenfall klären — die Einordnung gehört in dieselbe Kategorie wie die übrigen Compliance-Pflichten des Mittelstands.
Kompakt
- Sofortmaßnahmen: Systeme isolieren, nicht löschen, Backups vom Netz trennen, Krisenstab bilden
- DSGVO: Meldung an die Datenschutzaufsicht binnen 72 Stunden (Art. 33 DSGVO)
- NIS-2: gestaffelte Meldung ans BSI — 24 Stunden, 72 Stunden, Abschlussbericht nach einem Monat
- Anzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) des jeweiligen Landeskriminalamts
- BSI und Sicherheitsbehörden raten von Lösegeldzahlungen ab
BSI und ZAC: Wer im Ernstfall wirklich hilft
Viele Betriebe zögern, Behörden einzuschalten — aus Sorge vor Reputationsschäden oder Betriebsstillstand durch Ermittlungen. Die Praxis widerlegt beide Befürchtungen. Jedes Landeskriminalamt unterhält eine Zentrale Ansprechstelle Cybercrime (ZAC) für Unternehmen: Dort nehmen spezialisierte Ermittler Anzeigen entgegen, sichern Beweise koordiniert mit der IT-Forensik und beschlagnahmen keine Server, die für den Weiterbetrieb gebraucht werden. Das BSI stellt mit seinen Notfalldokumenten und der Allianz für Cyber-Sicherheit konkrete Checklisten bereit; für kleinere Unternehmen gibt es zudem regionale Unterstützung über die IHKs. Eine Strafanzeige ist im Übrigen häufig Voraussetzung dafür, dass die Cyberversicherung zahlt.
Zahlen oder nicht zahlen
Die Erpresser verlangen meist Kryptowährung und setzen kurze Fristen, oft verbunden mit der Drohung, gestohlene Daten zu veröffentlichen. BSI und Strafverfolgungsbehörden raten klar von Zahlungen ab — aus guten Gründen: Es gibt keine Garantie, dass die Entschlüsselung funktioniert, wer zahlt, markiert sich als lohnendes Ziel für Folgeangriffe, und jede Zahlung finanziert das kriminelle Geschäftsmodell.
In der Realität ist die Entscheidung dennoch eine Abwägung der Geschäftsleitung: Steht die Existenz des Betriebs auf dem Spiel, weil auch die Sicherungen verschlüsselt sind, wird mancher Mittelständler zahlen. Genau deshalb gehört die Entscheidungslogik in den Notfallplan — inklusive der Frage, wer sie trifft und wie sie dokumentiert wird. Denn eine Zahlung aus dem Gesellschaftsvermögen ohne sorgfältige Abwägung kann später haftungsrechtlich relevant werden; welche Absicherung Organe dabei haben, behandelt unser Beitrag zur D&O-Versicherung.
Was die Cyberversicherung deckt — und was nicht
Cyberpolicen übernehmen typischerweise die Kosten für IT-Forensik und Wiederherstellung, Betriebsunterbrechungsschäden, Krisenkommunikation, Rechtsberatung und die Abwehr von Drittansprüchen — also das, was nach einem Angriff am teuersten wird. Nicht gedeckt sind regelmäßig Bußgelder der Datenschutzaufsicht (soweit rechtlich überhaupt versicherbar), Schäden durch grob fahrlässig ignorierte Sicherheitslücken und häufig auch Lösegeldzahlungen selbst. Entscheidend sind die Obliegenheiten im Kleingedruckten: Viele Versicherer verlangen Mehr-Faktor-Authentifizierung, getestete Offline-Backups, zeitnahes Einspielen von Sicherheitsupdates und Mitarbeiterschulungen. Wer diese Anforderungen im Antrag bestätigt, aber nicht lebt, riskiert im Schadenfall die Leistungskürzung — die Police ersetzt also keine Sicherheitsarbeit, sie erzwingt sie.
Vorsorge: der Plan in der Schublade
Ein brauchbarer Notfallplan für einen mittelständischen Betrieb passt auf wenige Seiten: Alarmierungskette mit privaten Rufnummern, Rollen im Krisenstab, Liste der kritischen Systeme mit Wiederanlaufreihenfolge, Kontaktdaten von Forensik-Dienstleister, Versicherer, Datenschutzaufsicht und ZAC — ausgedruckt, denn im Ernstfall ist das Laufwerk verschlüsselt. Dazu gehören getestete Backups nach der 3-2-1-Regel (drei Kopien, zwei Medientypen, eine außer Haus) und mindestens eine jährliche Übung. Organisatorisch ist die Cyber-Vorsorge Teil des allgemeinen Risikomanagements der Geschäftsleitung, wie es auch ein Frühwarnsystem für Unternehmenskrisen verlangt — weitere Beiträge dazu bündelt unser Ressort Unternehmensführung.
Häufige Fragen zum Cyber-Notfall
Muss jeder Betrieb einen Cyberangriff melden?
Nein. Die 72-Stunden-Meldung nach Art. 33 DSGVO greift nur, wenn personenbezogene Daten betroffen sind und ein Risiko für die Betroffenen besteht — was bei Ransomware allerdings meist der Fall ist. Die NIS-2-Meldepflichten gelten nur für registrierungspflichtige wichtige und besonders wichtige Einrichtungen. Eine Strafanzeige ist immer freiwillig, aber dringend zu empfehlen.
Wie schnell kommt ein Betrieb nach einem Ransomware-Angriff wieder ans Laufen?
Das hängt fast vollständig von der Qualität der Backups ab. Mit intakten, getesteten Offline-Sicherungen sind Kernsysteme oft binnen weniger Tage wiederhergestellt; ohne sie ziehen sich Wiederaufbau und Forensik über Wochen bis Monate. Die Betriebsunterbrechung ist in den meisten Fällen der größte Einzelschaden.
Was kostet eine Cyberversicherung für den Mittelstand?
Die Prämie richtet sich nach Umsatz, Branche und Sicherheitsniveau; für kleinere Mittelständler beginnen Policen im niedrigen vierstelligen Bereich pro Jahr. Wichtiger als der Preis ist der Leistungsumfang — insbesondere Betriebsunterbrechung, Forensik-Kosten und der Zugriff auf ein 24/7-Notfallteam des Versicherers.
