Wann der ‚IT-Vorfall' rechtlich relevant wird
Viele Vorfälle starten harmlos: ein gemeldeter Phishing-Klick, ein verdächtiger Login aus dem Ausland, ein offen liegender Storage-Bucket. Die rechtliche Relevanz hängt nicht vom Angriffsweg ab, sondern davon, ob personenbezogene Daten betroffen sein können, ob NIS2-Pflichten ausgelöst werden und ob Vertragsverpflichtungen gegenüber Kunden bestehen (Auftragsverarbeitung Art. 28 DSGVO).
Die Praxiserfahrung: Wer einen Vorfall früh anwaltlich einordnen lässt, vermeidet die teuren Konstellationen, in denen eine vermeintlich kleine Auffälligkeit Wochen später ein Bußgeldverfahren auslöst.
Was wir konkret übernehmen
Wir starten mit einem strukturierten Erstgespräch (60 bis 90 Minuten), in dem wir die rechtliche Lage einschätzen und Sofortmaßnahmen festlegen. Wenn meldepflichtige Tatbestände vorliegen, erstellen wir die Meldungen fristgerecht. Wenn nicht, dokumentieren wir die Entscheidung in einer Form, die im Nachgang Bestand hat.
Bei länger laufenden Vorfällen koordinieren wir Forensik, Versicherer, Datenschutzbeauftragten und Geschäftsleitung in regelmäßigen Lageterminen.
Konkretes Leistungsversprechen
- Rechtliche Lageeinschätzung binnen 2 Stunden
- Meldepflichtprüfung DSGVO / NIS2 / sektorspezifisch
- Erstellung erforderlicher Meldungen
- Auftragsverarbeitungs-Kommunikation Art. 28 DSGVO
- Geschäftsleitungs-Risikoeinschätzung
- Begleitung Versicherer und Forensik
- Dokumentation für interne und externe Prüfungen
- Übergabe in Regelbetrieb mit Lessons-Learned
Fallszenarien aus der Praxis
Anonymisierte, repräsentative Mandatsverläufe. Keine Erfolgsversprechen.
Ergebnis: Lageeinschätzung ergibt zwei Auftraggeber als potenziell betroffen, Art. 33-Meldung an LfDI, Information beider Kunden nach Art. 28, keine Bußgeldverfolgung.
Ergebnis: Risikoanalyse nach Art. 34 ergibt keine Benachrichtigungspflicht (Empfänger vertrauensvoll), Meldung an Aufsichtsbehörde mit dokumentierter Ermessensabwägung, keine Sanktion.
Honorar
| Leistung | Bandbreite | Hinweis |
|---|---|---|
| Strukturierte Lageeinschätzung | ab 850 € netto | 90 Minuten Termin plus schriftliche Zusammenfassung |
| Vorfallspauschale | ab 2.500 € netto | Bei meldepflichtigem Vorfall ohne Großschadenlage |
| Stundensatz | 220 bis 320 € netto/h | Bei längerer Begleitung oder Behördenkorrespondenz |
Bandbreiten netto, zzgl. USt. Verbindliche Vereinbarung vor Mandatsbeginn schriftlich.
Häufige Fragen
- Wann ist ein IT-Vorfall überhaupt rechtlich relevant?
- Sobald personenbezogene Daten betroffen sein können (DSGVO), das Unternehmen NIS2-pflichtig ist und die Verfügbarkeit/Integrität wesentlicher Dienste betroffen ist, oder Auftragsverarbeitungsverträge eine Informationspflicht vorsehen. Wir prüfen alle drei Ebenen in der Lageeinschätzung.
- Was kostet eine rechtliche Lageeinschätzung?
- Eine strukturierte Lageeinschätzung mit 90-Minuten-Termin und schriftlicher Zusammenfassung beginnt bei 850 € netto. Wird daraus ein meldepflichtiger Vorfall, läuft die Begleitung über eine Vorfallspauschale ab 2.500 €.
- Übernehmen Sie auch nur die Beratung, ohne Mandat im Vorfall?
- Ja. In vielen Fällen reicht ein einzelnes Beratungsgespräch mit schriftlichem Memo. Wir steuern den Vorfall nur dann operativ, wenn Sie das wünschen.
- Wie schnell sind Sie verfügbar?
- Über die 24/7-Notfallnummer melden wir uns binnen 60 Minuten zurück. Eine erste schriftliche Lageeinschätzung liegt in der Regel binnen 4 Stunden vor.
Mehr Hintergrund im Ratgeber
Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.
