Was musst Du nach einem Hackerangriff auf Dein Unternehmen tun?
In Kürze
• Beweise und Logfiles sofort sichern, betroffene Systeme vom Netzwerk trennen, nicht ausschalten
• Meldung an die Datenschutzaufsichtsbehörde innerhalb von 72 Stunden, die Frist läuft auch am Wochenende weiter (Art. 33 DSGVO)
• Bei hohem Risiko müssen zusätzlich die betroffenen Personen informiert werden (Art. 34 DSGVO)
• Anzeige bei Polizei oder Zentralstelle Cybercrime hilft bei Beweissicherung und gegenüber der Versicherung
• Bußgeld bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei versäumter Meldung (Art. 83 Abs. 4 DSGVO)
Inhalt
1. Was muss ich als Unternehmen sofort nach einem Hackerangriff tun?
2. Wie erkenne ich, ob beim Hackerangriff personenbezogene Daten betroffen sind?
3. Wie lange habe ich Zeit, einen Hackerangriff bei der Datenschutzbehörde zu melden?
4. Muss ich einen Hackerangriff auch der Polizei melden?
5. Wie kommuniziere ich einen Hackerangriff richtig, intern und extern?
6. Beispiel: Erpressungssoftware bei der Musterhandel GmbH
7. Häufige Fragen
Wenn Systeme plötzlich ausfallen oder eine Lösegeldforderung auf dem Bildschirm erscheint, zählt jede Stunde. Welche Entscheidungen Du in den ersten Tagen triffst, entscheidet oft darüber, ob ein Bußgeld droht und wie schnell der Betrieb wieder läuft. Der folgende Überblick zeigt die wichtigsten Schritte in der richtigen Reihenfolge.
1. Was muss ich als Unternehmen sofort nach einem Hackerangriff tun?
Sofort nach einem Hackerangriff musst Du betroffene Systeme vom Netzwerk trennen und Beweise sichern. Diese Sicherung gehört zu Deiner Pflicht, angemessene technische und organisatorische Maßnahmen nachzuweisen (Art. 32,Art. 5 Abs. 2 DSGVO).
Ein häufiger Fehler ist, betroffene Rechner sofort komplett auszuschalten. Dabei gehen flüchtige Spuren im Arbeitsspeicher verloren. Diese Spuren sind später sowohl für die Strafanzeige als auch für die Dokumentationspflicht gegenüber der Aufsichtsbehörde wichtig (Art. 33 Abs. 5 DSGVO). Besser ist es, die Netzwerkverbindung zu kappen, den Rechner aber laufen zu lassen und den Zeitpunkt der Entdeckung genau zu notieren.
Notiere außerdem, welche Systeme und welche Daten betroffen sein könnten, und ziehe früh externe Fachleute für digitale Beweissicherung hinzu. Der genaue Zeitpunkt, zu dem Du von dem Angriff erfahren hast, ist wichtig. Ab diesem Moment beginnt die Frist für die Meldung an die Aufsichtsbehörde zu laufen.
Informiere parallel dazu die Geschäftsleitung und, falls vorhanden, die Datenschutzbeauftragte oder den Datenschutzbeauftragten im Unternehmen. So stellst Du sicher, dass die weiteren Schritte, von der Risikobewertung bis zur Meldung, koordiniert ablaufen und niemand doppelt oder widersprüchlich handelt.
2. Wie erkenne ich, ob beim Hackerangriff personenbezogene Daten betroffen sind?
Personenbezogene Daten sind betroffen, sobald identifizierbare Namen oder Kontaktdaten auf den angegriffenen Systemen lagen. Das gilt für Daten von Kund:innen, Mitarbeitenden oder Geschäftspartner:innen gleichermaßen (Art. 4 Nr. 1 DSGVO). Prüfe deshalb als Erstes, welche Datenbanken und Verzeichnisse auf den betroffenen Systemen gespeichert waren.
Ein verbreiteter Irrtum ist, dass nur ein tatsächlicher Datendiebstahl zählt. Nach der gesetzlichen Definition zählt bereits die Verschlüsselung von Daten durch Erpressungssoftware als Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO). Grund dafür ist, dass dadurch die Verfügbarkeit der Daten eingeschränkt wird, selbst wenn niemand die Daten kopiert hat. Für die Meldepflicht kommt es zusätzlich darauf an, ob ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht.
Behalte deshalb auch nach der ersten Analyse im Blick, ob gestohlene Daten später im Darknet oder in einschlägigen Foren auftauchen. Das verändert die Risikobewertung mitunter auch dann noch, wenn die Meldefrist bereits abgelaufen ist. In diesem Fall kann eine ergänzende Mitteilung an die Aufsichtsbehörde erforderlich werden.
Halte die Ergebnisse dieser Prüfung schriftlich fest, auch wenn Du am Ende zu dem Schluss kommst, dass keine personenbezogenen Daten betroffen sind. Diese Dokumentation belegt gegenüber der Aufsichtsbehörde, dass Du den Vorfall sorgfältig geprüft hast.
3. Wie lange habe ich Zeit, einen Hackerangriff bei der Datenschutzbehörde zu melden?
Du hast 72 Stunden Zeit, den Vorfall der Datenschutzaufsichtsbehörde zu melden. Die Frist beginnt, sobald Du von der Verletzung Kenntnis erlangt hast, und läuft auch an Wochenenden weiter (Art. 33 Abs. 1 DSGVO).
Die Meldepflicht entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt. Selbst dann musst Du den Vorfall intern dokumentieren, damit Du die Entscheidung gegenüber der Aufsichtsbehörde später begründen kannst (Art. 33 Abs. 5 DSGVO). Führt die Verletzung voraussichtlich sogar zu einem hohen Risiko, kommt zusätzlich die Pflicht hinzu, die betroffenen Personen selbst zu benachrichtigen (Art. 34 DSGVO).
Versäumst Du die Frist oder meldest Du unvollständig, drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Es gilt jeweils der höhere Betrag (Art. 83 Abs. 4 DSGVO). Kannst Du innerhalb von 72 Stunden noch nicht alle Informationen liefern, darfst Du sie schrittweise nachreichen, solltest die erste Meldung aber trotzdem fristgerecht absenden.
Zuständig ist in der Regel die Datenschutzaufsichtsbehörde des Bundeslandes, in dem Dein Unternehmen seinen Hauptsitz hat. Bei Unsicherheit über die richtige Behörde lieber zu früh als zu spät melden und die Zuständigkeit notfalls im Nachgang klären lassen.
4. Muss ich einen Hackerangriff auch der Polizei melden?
Eine gesetzliche Pflicht zur Strafanzeige besteht für die meisten Unternehmen nicht. Trotzdem lohnt sich die Anzeige fast immer. Ein Hackerangriff erfüllt regelmäßig mehrere Straftatbestände, etwa das Ausspähen von Daten, die Datenveränderung oder die Computersabotage (§ 202a, § 303a, § 303b StGB).
Die Anzeige kannst Du bei jeder Polizeidienststelle oder direkt bei der Staatsanwaltschaft erstatten (§ 158 StPO). Meist geht das am schnellsten über eine der auf Cyberkriminalität spezialisierten Zentralstellen der Landeskriminalämter. Das amtliche Aktenzeichen aus dem Verfahren dient später oft als Nachweis gegenüber der Cyberversicherung und als Beleg dafür, dass Du den Vorfall ernst genommen hast.
Betreibst Du eine kritische Infrastruktur, etwa im Energiesektor oder im Gesundheitswesen, kommt eine zusätzliche Pflicht hinzu. Du musst den Vorfall dann auch dem Bundesamt für Sicherheit in der Informationstechnik melden (§ 32 BSIG). Diese Pflicht besteht unabhängig von der Meldung an die Datenschutzaufsichtsbehörde und läuft mit einer eigenen, meist kürzeren Frist.
Über LawYeah kannst Du eine spezialisierte Anwältin oder einen Anwalt für Datenschutz und Informationstechnologierecht finden. Sie oder er kann einschätzen, ob eine solche Sonderpflicht für Dein Unternehmen gilt und wie die Anzeige am besten vorbereitet wird.
5. Wie kommuniziere ich einen Hackerangriff richtig, intern und extern?
Extern bist Du zur Benachrichtigung verpflichtet, sobald ein hohes Risiko für Betroffene besteht. Diese Pflicht ergibt sich aus Art. 34 DSGVO, intern lohnt sich eine abgestimmte Sprachregelung schon vor der ersten offiziellen Meldung. Die Benachrichtigung muss in klarer und einfacher Sprache erklären, was passiert ist und welche Folgen zu erwarten sind. Außerdem muss sie nennen, welche Maßnahmen Du ergriffen hast und an wen sich Betroffene wenden können (Art. 34 Abs. 2 i. V. m. Art. 33 Abs. 3 DSGVO).
Ein häufiger Fehler ist, dass verschiedene Personen im Unternehmen unterschiedliche, teils widersprüchliche Angaben nach außen geben. Bestimme deshalb frühzeitig eine feste Ansprechperson für Presse, Kund:innen und Mitarbeitende. Halte außerdem alle Aussagen schriftlich fest, damit sie sich mit der Dokumentation gegenüber der Aufsichtsbehörde deckt.
Ein Hackerangriff ist auch ein Vertrauensthema: Wer offen und zeitnah informiert, statt Informationen zurückzuhalten, sichert langfristig eher das Vertrauen von Kund:innen und Geschäftspartner:innen. Ein Unternehmen, das erst auf Nachfrage reagiert, verliert dieses Vertrauen dagegen häufig dauerhaft.
Bereite deshalb schon vor einem Vorfall Textbausteine für die häufigsten Szenarien vor. Dazu gehört etwa eine Vorlage für die Benachrichtigung Betroffener und eine kurze interne Sprachregelung für Mitarbeitende. Im Ernstfall bleibt dann mehr Zeit für die inhaltliche Klärung statt für die Formulierung.
6. Beispiel: Erpressungssoftware bei der Musterhandel GmbH
Die Musterhandel GmbH, ein Onlinehändler mit 40 Mitarbeitenden, bemerkt am Montagmorgen, dem 7. September 2026, dass mehrere Server verschlüsselt sind und eine Lösegeldforderung auf den Bildschirmen erscheint. Die IT trennt die betroffenen Server sofort vom Netzwerk, ohne sie auszuschalten, und sichert die vorhandenen Logfiles. Am selben Tag stellen hinzugezogene Fachleute fest, dass die Angreifer vor der Verschlüsselung auf eine Kundendatenbank mit 3.400 Datensätzen zugegriffen haben. Darunter waren Namen, Mailadressen und Bestellhistorien.
Weil personenbezogene Daten betroffen sind und ein Risiko für die Kund:innen besteht, meldet die Geschäftsführung den Vorfall am Mittwoch, dem 9. September 2026, um 14 Uhr bei der zuständigen Datenschutzaufsichtsbehörde. Das liegt innerhalb der Frist von 72 Stunden (Art. 33 Abs. 1 DSGVO). Der Zugriff auf die Kundendaten führt voraussichtlich zu einem hohen Risiko für die Betroffenen. Deshalb informiert die Musterhandel GmbH zusätzlich alle 3.400 Kund:innen persönlich per Mail (Art. 34 DSGVO). Parallel erstattet sie Anzeige bei der Zentralstelle Cybercrime des zuständigen Landeskriminalamts.
Zwei Wochen später bestätigen die hinzugezogenen Fachleute, dass keine weiteren Systeme betroffen waren. Die Musterhandel GmbH dokumentiert den gesamten Ablauf von der Entdeckung bis zur Meldung in einer internen Akte. Anschließend passt sie ihr Sicherheitskonzept an, um einen erneuten Zugriff über denselben Weg zu verhindern.
7. Häufige Fragen
1. Muss ich einen Hackerangriff melden, wenn keine personenbezogenen Daten betroffen waren?
Nein, ohne personenbezogene Daten entfällt die Meldepflicht nach Art. 33 DSGVO. Prüfe trotzdem, ob eine andere Pflicht gilt, etwa als Betreiber kritischer Infrastruktur gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (§ 32 BSIG). Dokumentiere den Vorfall in jedem Fall auch intern.
2. Was passiert, wenn ich die Frist von 72 Stunden verpasse?
Dann drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Melde den Vorfall trotzdem umgehend nach, sobald Du ihn bemerkst, und begründe die Verspätung schriftlich gegenüber der zuständigen Aufsichtsbehörde.
3. Sollte ich bei einem Angriff mit Erpressungssoftware das geforderte Lösegeld zahlen?
Eine pauschale Antwort gibt es nicht: Eine Zahlung garantiert nicht, dass Daten wiederhergestellt oder gelöscht werden. Sie kann bei Zahlungen an sanktionierte Gruppen sogar eigene rechtliche Risiken schaffen. Spreche vor einer Entscheidung mit der Polizei und einer spezialisierten Anwältin oder einem spezialisierten Anwalt.
4. Übernimmt eine Cyberversicherung die Kosten nach einem Hackerangriff?
Das hängt vom Vertrag ab: Viele Policen decken Kosten für Beweissicherung, Wiederherstellung und Haftungsfälle. Sie verlangen dafür aber meist eine fristgerechte Meldung des Vorfalls laut Versicherungsbedingungen. Prüfe Deine Police deshalb frühzeitig, idealerweise schon vor einem Vorfall.
5. Haftet die Geschäftsführung persönlich für die Folgen eines Hackerangriffs?
Eine persönliche Haftung droht vor allem dann, wenn sich nachweisen lässt, dass angemessene Sicherheitsmaßnahmen von vornherein gefehlt haben. Sie droht nicht automatisch bei jedem erfolgreichen Angriff. Über LawYeah kannst Du unverbindlich klären lassen, wie die Rechtslage in Deinem Fall einzuschätzen ist.
Dieser Beitrag bietet allgemeine Informationen und ersetzt keine anwaltliche Beratung im Einzelfall. Rechtlich geprüft von Dr. Jonas Jacobsen, Fachanwalt für Informationstechnologierecht. Stand: September 2026.
Anwalt oder Anwältin gesucht? Fall in 2 Minuten schildern und passende Anwälte matchen auf LawYeah.