Was ist der wichtigste Schritt in den ersten 60 Minuten?

Den Vorfall korrekt dokumentieren und die 72-Stunden-Frist nach Art. 33 DSGVO starten. Wer wann was bemerkt hat, entscheidet später, ob die Meldung rechtzeitig war.

Soll ich betroffene Systeme sofort ausschalten?

Nein. Ausschalten zerstört flüchtige Beweise im Arbeitsspeicher. Stattdessen vom Netzwerk trennen (Stecker ziehen oder VLAN isolieren) und Forensik anrufen.

Darf ich das Lösegeld zahlen, um den Betrieb wiederherzustellen?

Nicht ohne vorherige Sanktionslistenprüfung und Versichererfreigabe. Zahlungen an gelistete Personen oder Organisationen sind strafbar (EU-Verordnung 269/2014, OFAC SDN-Liste).

Muss ich Mitarbeitende sofort informieren?

Nicht alle, aber die Geschäftsleitung, IT, Datenschutzbeauftragten und Krisenstab unverzüglich. Breite Belegschaftskommunikation erst nach abgestimmter Sprachregelung.

Wann muss ich Kunden benachrichtigen?

Nach Art. 34 DSGVO bei voraussichtlich hohem Risiko unverzüglich. Die Beurteilung übernimmt der Datenschutzbeauftragte zusammen mit dem Anwalt nach der ersten Forensikbewertung.

Welche Frist gilt für die BSI-Meldung bei NIS2?

24 Stunden Frühwarnung, 72 Stunden Vorfallsmeldung, 30 Tage Abschlussbericht (§ 32 BSIG). Frühwarnung ist kurz und nichtbindend, Vorfallsmeldung detailliert.

Cyberangriff Checkliste: Die erste Stunde Schritt für Schritt

Die 12 Schritte mit Zeitfenster

1. Verdacht festhalten
0 bis 5 Min.
Wer hat was wann bemerkt? Notieren Sie Uhrzeit, Beobachtung, betroffenes System. Diese Notiz startet die 72-Stunden-Frist nach Art. 33 DSGVO bei Kenntniserlangung.
2. Geschäftsleitung informieren
5 bis 10 Min.
Geschäftsführung muss innerhalb der ersten 60 Minuten Kenntnis haben. Sonst greift § 38 BSIG-E (persönliche Haftung wegen unterlassener Überwachung).
3. Krisenstab aktivieren
10 bis 15 Min.
Mindestens: Geschäftsleitung, IT-Leitung, Datenschutzbeauftragter, Kommunikation. Telefonisch, nicht über betroffene Mail-Systeme.
4. Anwalt für Cyberrecht hinzuziehen
15 bis 20 Min.
24/7-Soforthilfe-Nummer wählen. Vor jeder Lösegeldverhandlung, vor jeder Aufsichtsmeldung, vor Forensik-Beauftragung.
5. Betroffene Systeme isolieren, nicht ausschalten
20 bis 30 Min.
Netzwerkstecker ziehen oder VLAN trennen. Ausschalten zerstört flüchtige Beweise im RAM. Forensik braucht den Live-Zustand.
6. Forensik beauftragen
30 bis 40 Min.
IR-Dienstleister mit ISO 27037 Erfahrung. Beauftragung möglichst über den Anwalt, damit Bericht unter Anwaltsprivileg fällt.
7. Cyberversicherer informieren
30 bis 45 Min.
Schadenanzeige innerhalb der vertraglichen Frist (oft 24 oder 48 Std.). Vorab nichts entscheiden, was Deckung gefährdet (kein Lösegeld, keine eigenmächtige Wiederherstellung).
8. Backups sichern und prüfen
30 bis 50 Min.
Offsite-Backup vom Netz trennen, Integrität prüfen. 3-2-1-Regel verifizieren: 3 Kopien, 2 Medien, 1 offsite/offline.
9. Beweise sichern
40 bis 60 Min.
RAM-Dump, Disk-Images, Log-Exports. Chain of Custody dokumentieren. Wichtig für spätere Strafanzeige (§ 202a, § 303a, § 303b StGB).
10. Kommunikation kanalisieren
45 bis 60 Min.
Eine Person spricht intern, eine extern. Keine Stellungnahmen ohne anwaltliche Freigabe. Vorsicht bei Pressemeldungen vor Aufsichtsmeldung.
11. Aufsichtsmeldung vorbereiten
Ab 60 Min.
Art. 33 DSGVO bei personenbezogenen Daten, § 32 BSIG bei NIS2-Betroffenheit. Anwalt formuliert, IT liefert Befunde.
12. Strafanzeige bei ZAC erwägen
Innerhalb 24 Std.
Zentrale Ansprechstelle Cybercrime des LKA. Sichert Strafverfolgung und ist oft Versicherungsobliegenheit. Anwalt prüft, ob jetzt oder nach erster Forensik.

Was Sie in den ersten 60 Minuten NICHT tun sollten

Systeme ausschalten oder neu starten (Beweisverlust)
Lösegeld eigenmächtig zahlen oder zusagen (Strafbarkeit, Versicherungsverlust)
Mit Angreifern ohne anwaltliche Begleitung kommunizieren
Eigenständig Aufsicht oder BSI informieren ohne anwaltliche Prüfung
Presse oder Social Media bedienen vor abgestimmter Sprachregelung
Forensikbericht an Dritte weitergeben (Aufsicht, Versicherer) ohne anwaltliche Filterung

Häufige Fragen

Was ist der wichtigste Schritt in den ersten 60 Minuten?: Den Vorfall korrekt dokumentieren und die 72-Stunden-Frist nach Art. 33 DSGVO starten. Wer wann was bemerkt hat, entscheidet später, ob die Meldung rechtzeitig war.
Soll ich betroffene Systeme sofort ausschalten?: Nein. Ausschalten zerstört flüchtige Beweise im Arbeitsspeicher. Stattdessen vom Netzwerk trennen (Stecker ziehen oder VLAN isolieren) und Forensik anrufen.
Darf ich das Lösegeld zahlen, um den Betrieb wiederherzustellen?: Nicht ohne vorherige Sanktionslistenprüfung und Versichererfreigabe. Zahlungen an gelistete Personen oder Organisationen sind strafbar (EU-Verordnung 269/2014, OFAC SDN-Liste).
Muss ich Mitarbeitende sofort informieren?: Nicht alle, aber die Geschäftsleitung, IT, Datenschutzbeauftragten und Krisenstab unverzüglich. Breite Belegschaftskommunikation erst nach abgestimmter Sprachregelung.
Wann muss ich Kunden benachrichtigen?: Nach Art. 34 DSGVO bei voraussichtlich hohem Risiko unverzüglich. Die Beurteilung übernimmt der Datenschutzbeauftragte zusammen mit dem Anwalt nach der ersten Forensikbewertung.
Welche Frist gilt für die BSI-Meldung bei NIS2?: 24 Stunden Frühwarnung, 72 Stunden Vorfallsmeldung, 30 Tage Abschlussbericht (§ 32 BSIG). Frühwarnung ist kurz und nichtbindend, Vorfallsmeldung detailliert.

Mehr Hintergrund

Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.