Cyberangriff: Ablauf für Unternehmen in Deutschland
Cyberangriff in Deutschland: Beweise, Meldungen, Rechtsbeistand, Versicherung und Kommunikation im Überblick.
Dieser Artikel wurde maschinell übersetzt.
Diese Checkliste richtet sich an Unternehmen mit Tätigkeit in Deutschland, die einen Angriff vermuten. Maßgeblich für die Rechtsordnung sind Rechtsträger, betroffene Informationen und Geschäftstätigkeit, nicht die Lesesprache. Quellenstand: 20. Oktober 2026. Dies ist ein redaktioneller Mithril-Ablauf, kein amtliches Formular. Lassen Sie konkrete Pflichten fachkundig prüfen.
## 1. Reaktionsteam bestimmen und Fakten sichern
Bestimmen Sie Einsatzleitung, technische Leitung, juristische Prüfung, Kommunikation und Finanzkontakt. Wählen Sie bei möglicher Kompromittierung der Firmenkonten einen vertrauenswürdigen separaten Kontaktweg. Genehmigen Sie den technischen Umfang vor Erhebung oder Änderungen. Bewahren Sie Originale, Erhebungszeiten, Zeitzonen und Hashwerte auf; Zusammenfassungen und Übersetzungen erhalten eigene Versionen.
Erstellen Sie einen Mindeststand: Entdeckung und Kenntnisnahme, betroffene Dienste, bestätigte und vermutete Folgen, Belegverweise, offene Fragen und Verantwortliche. Unbekannter Datenabfluss oder eine unbekannte Personenzahl bleiben unbekannt. Technik, Recht, Meldungen, Kommunikation und Versicherung laufen parallel. Eine laufende Untersuchung darf die Frist einer anderen Aufgabe nicht verdecken.
## 2. Zuständige Stellen und Fristen prüfen
Bestimmen Sie über das DSK-Verzeichnis die zuständige Datenschutzaufsicht des Bundes oder eines Landes. Die BfDI ist nicht für jedes Unternehmen zuständig. Prüfen Sie bei Art. 33 DSGVO die Risikoausnahme und die Frist von 72 Stunden ab Kenntnis. [Datenschutzkonferenz — Competent supervisory authorities](https://www.datenschutzkonferenz-online.de/datenschutzaufsichtsbehoerden.html)
Nutzen Sie die organisatorische Checkliste des BSI für die technische Reaktion und prüfen Sie die einschlägigen Meldepflichten. Eine technische Meldung ersetzt weder die Datenschutzmeldung noch eine Strafanzeige. [BSI — Organisational incident checklist](https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/Unternehmen/Ich-habe-einen-IT-Sicherheitsvorfall-Checkliste-Organisatorisches/ich-habe-einen-it-sicherheitsvorfall-checkliste-organisatorisches.html)
Das verlinkte BayLDA-Formular gilt für dessen bayerische Zuständigkeit im nichtöffentlichen Bereich. Andere Unternehmen klären ihre eigene Aufsicht sowie zusätzliche sektorale und grenzüberschreitende Anforderungen. [BayLDA — Article 33 breach notification](https://www.lda.bayern.de/de/datenpanne.html)
## 3. Rechtsbeistand und Versicherung früh einbinden
Geben Sie dem Rechtsbeistand eine eingeschränkte Akte mit Chronologie, Belegverzeichnis, Lücken und Zuständigkeitsfragen. Prüfen Sie Berufsidentität, Interessenkonflikte, Mandat und Kosten. Klären Sie vor Beauftragung mit Versicherer oder Vermittler die Schadenanzeige, zugelassene Dienstleister und Zustimmungsvorbehalte. Anzeige, Leistungsantrag, Deckungsentscheidung und Zahlung sind getrennt. Belegen Sie Kosten, ohne Erstattung zu versprechen.
## 4. Öffentlichkeit und Betroffene informieren
Erstellen Sie für jede Zielgruppe eine freigegebene Faktenversion. Eine öffentliche Erklärung nennt bestätigte Betriebsfolgen, Maßnahmen, offene Untersuchungen, Schutzschritte, verifizierten Kontakt und nächste Aktualisierung. Erfinden Sie weder Täterzuordnung noch Wiederanlaufdatum oder einen fehlenden Datenabfluss. Eine Pressemitteilung ersetzt nicht automatisch gesetzliche oder vertragliche Einzelbenachrichtigungen.
Entwurf: „Wir haben [bestätigtes Ereignis] am [Zeit und Zeitzone] festgestellt. [Bestätigte Folgen]. Wir führen [freigegebene Maßnahmen] durch und untersuchen [offene Punkte]. Betroffene können [geprüfte Schutzschritte] ergreifen. Kontakt: [verifizierter Weg]. Nächste Aktualisierung: [freigegebene Zeit].“ Ersetzen Sie alle Platzhalter durch belegte Angaben und dokumentieren Sie die Freigabe der genauen Version.
## 5. Den Agent-Entwurf für Vorbereitung nutzen
Der Mithril-Agent/Registry-Entwurf definiert zwölf Fähigkeiten zur Vorbereitung und Nachverfolgung: Inventar, belegte Zeitleiste, nächste Schritte, Pflichtenprüfung, adressatengerechte Entwürfe, Anwaltsbriefing, Kommunikation, Schadensaufstellung und Belegabgleich. Dieser Unternehmensablauf ist geplant. Die Veröffentlichung aktiviert weder Ausführung noch amtliche Schnittstellen. Berechtigte Menschen reichen ein und veröffentlichen; künftige delegierte Schnittstellen benötigen eine eigene Qualifikation.
## 6. Länderprozess herunterladen
Die BPMN-2.0-Datei ist ein nicht ausführbares Referenzmodell mit fünf parallelen Arbeitssträngen, menschlichen Entscheidungen, Prüferinnerungen und angenommenen Übergaben. Sie enthält den Quellenkontext dieses Landes und ist kein amtlicher Behördenprozess. Die aktuelle Mithril-Ausführungsmenge unterstützt nicht alle Elemente.
- [BPMN für Deutschland herunterladen (Deutsch)](https://blog.mithril.fund/processes/enterprise-cyber-response/v0.1.0/de/de.bpmn)
- [Geplanten Fähigkeitsvertrag lesen](https://blog.mithril.fund/processes/enterprise-cyber-response/v0.1.0/capabilities.json)
- [Versionen und Hashwerte ansehen](https://blog.mithril.fund/processes/enterprise-cyber-response/v0.1.0/manifest.json)
## 7. Aktionen und Eingangsbelege dokumentieren
Dokumentieren Sie je Aktion Empfänger, Zweck, Verantwortung, Quelle und Auslöser einer möglichen Frist, bestätigte Prüfzeit, freigegebenen Inhalt mit Version, Versand, amtlichen Eingangsbeleg und nächsten Schritt. Versand, Empfang, Annahme, Deckung und Erstattung sind verschieden. Klären Sie ein unbekanntes Ergebnis vor Wiederholung. Beenden Sie die operative Reaktion erst nach Wiederanlauffreigabe und angenommenen rechtlichen, behördlichen und versicherungsbezogenen Übergaben.
## Amtliche Quellen für dieses Land
- [Datenschutzkonferenz — Competent supervisory authorities](https://www.datenschutzkonferenz-online.de/datenschutzaufsichtsbehoerden.html)
- [BayLDA — Article 33 breach notification](https://www.lda.bayern.de/de/datenpanne.html)
- [BSI — Organisational incident checklist](https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/Unternehmen/Ich-habe-einen-IT-Sicherheitsvorfall-Checkliste-Organisatorisches/ich-habe-einen-it-sicherheitsvorfall-checkliste-organisatorisches.html)
[Weitere Länderleitfäden vergleichen](https://blog.mithril.fund/cyber-incident-response-by-country?lang=de)