Direktvergleich der Rollen
| Kriterium | Incident-Response-Dienstleister | Anwalt für Cyberrecht |
|---|---|---|
| Kernaufgabe | Angriff stoppen, Systeme isolieren, Forensik, Wiederherstellung | Rechtliche Steuerung: Meldungen, Versicherung, Haftung, Verhandlung |
| Reaktionszeit | Onsite oft 4 bis 24 Std., Remote schneller | 24/7-Soforthilfe innerhalb 60 Min., schriftliche Meldungen binnen 24 bis 72 Std. |
| Berufsrecht | Werkvertrag, keine Verschwiegenheitspflicht qua Gesetz | BRAO, § 43a Verschwiegenheit, Beschlagnahmeschutz § 97 StPO |
| Haftung | Vertraglich begrenzt, oft auf Auftragssumme | Berufshaftpflicht ab 250.000 € pro Fall, gesetzlich |
| Meldungen an Aufsicht/BSI | Liefert Technikdaten, schreibt Meldung nicht selbst | Verantwortet Formulierung und Einreichung |
| Lösegeld-Entscheidung | Operative Verhandlung möglich, keine rechtliche Bewertung | Sanktionslisten, § 129 StGB, Untreue, Steuerrecht, Freigabe |
| Versicherungsdeckung | Liefert Schadensumfang | Prüft Obliegenheiten, meldet Schaden, streitet Deckung durch |
| Kostenrahmen | 200 bis 350 €/h netto, Pauschalen ab 8.000 € | 220 bis 380 €/h netto, Pauschalen ab 4.500 € |
| Geschäftsleitungshaftung | Nicht zuständig | Prüft § 38 BSIG-E, dokumentiert Entlastung der Geschäftsleitung |
Wann reicht der IR-Dienstleister allein?
In sehr engen Fällen: Wenn ausschließlich technische Systeme betroffen sind, keine personenbezogenen Daten abgeflossen sind, keine Lösegeldforderung im Raum steht, keine NIS2-Betroffenheit besteht und keine Cyberversicherung beteiligt ist. In der Praxis trifft das auf weniger als 10 % der real auftretenden Vorfälle zu. Sobald auch nur eine Mitarbeiter-E-Mail-Adresse oder ein Kundenrecord betroffen ist, läuft die 72-Stunden-Frist nach Art. 33 DSGVO, und die Meldung muss rechtssicher formuliert werden.
Wann reicht der Anwalt allein?
Wenn der Angriff bereits gestoppt ist und nur noch die rechtliche Nachbereitung läuft: Bußgeldverfahren, Schadenersatzklagen Betroffener, Versicherungsstreit, Strafverfahren gegen Mitarbeiter. In der akuten Phase ersetzt der Anwalt die Forensik aber nicht.
Das richtige Zusammenspiel: drei Modelle
Modell A: Anwalt zuerst. Geschäftsleitung beauftragt den Anwalt, dieser beauftragt im eigenen Namen den IR-Dienstleister. Vorteil: Forensikbericht kann unter Anwaltsprivileg fallen (Beschlagnahmeschutz, eingeschränkte Vorlage im Zivilverfahren). Nachteil: Geringe Mehrkosten durch Durchleitung.
Modell B: Parallelbeauftragung. Beide werden gleichzeitig direkt vom Unternehmen beauftragt. Vorteil: maximale Geschwindigkeit. Nachteil: Forensikbericht ist nicht privilegiert, Schnittstelle muss klar definiert sein.
Modell C: Versicherer-Pool. Cyberversicherer benennt sowohl IR als auch Anwalt aus seinem Panel. Vorteil: Deckung gesichert, keine Vorfinanzierung. Nachteil: Versicherer hat Steuerungsinteresse, das nicht immer mit Ihrem deckungsgleich ist. Eine zweite Meinung durch eigenen Anwalt ist legitim und gedeckt, wenn rechtzeitig angezeigt.
Häufige Fehler aus der Praxis
- Erst IR beauftragen, dann nach 5 Tagen Anwalt holen, dann ist die 72-Stunden-Frist verstrichen.
- IR zahlt eigenmächtig Lösegeld ohne Sanktionslistenprüfung, Versicherung verweigert Deckung.
- Forensikbericht direkt an Aufsichtsbehörde übergeben, ohne anwaltliche Filterung sensibler Befunde.
- Geschäftsleitung dokumentiert eigene Entscheidungen nicht, später keine Entlastung möglich.
Häufige Fragen
- Brauche ich einen Anwalt zusätzlich zum IR-Dienstleister?
- Ja, sobald Meldepflichten, Lösegeldfragen, Versicherungsdeckung oder Geschäftsleitungshaftung im Raum stehen. Der IR-Dienstleister stoppt den Angriff technisch, der Anwalt sichert die rechtliche Position gegenüber Aufsicht, Versicherer und Betroffenen.
- Was kostet die Kombination?
- IR-Forensik liegt typischerweise bei 200 bis 350 €/h netto, anwaltliche Begleitung bei 220 bis 380 €/h netto. Bei einem mittleren Vorfall ist mit einer Gesamtsumme von 25.000 bis 120.000 € zu rechnen, je nach Umfang. Die Cyberversicherung deckt beides bei rechtzeitiger Anzeige.
- Wer kommuniziert mit dem BSI und der Aufsichtsbehörde?
- Die Meldung an Aufsichtsbehörde und BSI verantwortet rechtlich der Verantwortliche, also Ihr Unternehmen. Der Anwalt formuliert und reicht die Meldung ein, der IR-Dienstleister liefert die technischen Befunde. Eine technische Direktkommunikation ohne anwaltliche Freigabe ist riskant.
- Gilt die Anwalts-Verschwiegenheit auch für den IR-Bericht?
- Nur eingeschränkt. Der Forensikbericht selbst ist nicht anwaltsprivilegiert. Wenn er als Anlage zur rechtlichen Bewertung beim Anwalt erstellt wird (work-product), kann er unter § 43a BRAO und § 53 StPO geschützt sein. Die Beauftragungskette ist entscheidend.
- Kann der IR-Dienstleister auch verhandeln?
- Verhandlungsführung mit Tätern ist keine Rechtsdienstleistung im Sinne des RDG, solange keine rechtliche Bewertung erfolgt. Die Prüfung von Sanktionslisten, Untreue und Steuerrecht muss aber zwingend anwaltlich erfolgen. Saubere Trennung: IR verhandelt operativ, Anwalt zeichnet die Zahlung rechtlich frei.
- Wer haftet, wenn ein Fehler passiert?
- Der IR-Dienstleister haftet aus Werkvertrag mit typischer Haftungsbegrenzung auf die Auftragssumme. Der Anwalt haftet nach BRAO mit Pflichtversicherung von mindestens 250.000 € pro Fall. Geschäftsleitung haftet persönlich, wenn sie ohne anwaltliche Begleitung Meldepflichten verletzt.
Mehr Hintergrund
Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.
