Die Uhr läuft ab der ersten Minute: Meldepflichten und Cyberversicherung im Ernstfall

Ein typischer Verlauf aus der Incident-Response-Praxis

In den ersten Stunden eines Cyberangriffs dreht sich fast alles um die Technik: Welche Systeme sind betroffen? Wie lässt sich die Ausbreitung stoppen? Sind die Backups intakt? Das ist richtig und notwendig. Doch parallel beginnen Fristen zu laufen, die mit der Technik zunächst wenig zu tun haben – gegenüber Behörden, Datenschutzaufsicht und Cyberversicherung.

Der folgende Verlauf ist aus wiederkehrenden Mustern in Incident-Response-Einsätzen zusammengesetzt, Details sind verfremdet. Er zeigt, wie aus verständlichen Prioritäten im Krisenmodus verpasste Meldefristen und Konflikte mit dem Versicherer werden können – und was Unternehmen vorab regeln sollten.

Der Verlauf: Erst die Technik, dann der Rest

Ein Industrieunternehmen mit rund 1.200 Mitarbeitenden stellt an einem Freitagabend ungewöhnliche Aktivitäten auf mehreren Servern fest. Die IT-Bereitschaft trennt betroffene Systeme vom Netz und arbeitet das Wochenende durch. Ein bekannter IT-Dienstleister wird kurzfristig beauftragt, beim Wiederaufbau zu helfen. Die Geschäftsführung wird am Samstag telefonisch informiert, die Lage gilt als „im Griff“.

Am Montag zeigt sich, dass auch ein Fileserver mit Personaldaten betroffen ist und Daten abgeflossen sein könnten. Erst jetzt wird der Datenschutzbeauftragte eingebunden. Am Dienstag meldet sich das Unternehmen bei seiner Cyberversicherung. Die Fragen des Versicherers sind unangenehm: Warum erfolgt die Schadenanzeige erst nach mehreren Tagen? Wer hat den Dienstleister beauftragt, und war das abgestimmt? Welche Spuren wurden vor dem Wiederaufbau gesichert?

Gleichzeitig stellt sich heraus, dass das Unternehmen als wichtige Einrichtung unter die NIS2-Umsetzung fällt. Die Frist für die frühe Erstmeldung an das BSI ist zu diesem Zeitpunkt bereits verstrichen.

Welche Fristen im Cybervorfall typischerweise laufen

Je nach Unternehmen, Branche und Art des Vorfalls greifen unterschiedliche Pflichten. Die wichtigsten im Überblick:

• NIS2 / BSI-Gesetz: Für betroffene Einrichtungen gilt bei erheblichen Sicherheitsvorfällen eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnis, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat später.
• DSGVO: Verletzungen des Schutzes personenbezogener Daten sind der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden, sofern ein Risiko für Betroffene nicht unwahrscheinlich ist. Bei hohem Risiko müssen auch die Betroffenen informiert werden.
• DORA: Für Finanzunternehmen gelten eigene, teils noch kürzere Meldefristen für schwerwiegende IKT-Vorfälle.
• Cyberversicherung: Die meisten Policen verlangen eine unverzügliche Schadenanzeige und enthalten Obliegenheiten, etwa zur Abstimmung bei der Beauftragung externer Dienstleister oder vor Verhandlungen und Zahlungen an Angreifer.

Entscheidend ist: Die Fristen beginnen in der Regel mit der Kenntnis des Vorfalls – nicht erst, wenn das Lagebild vollständig ist. Eine Erstmeldung darf und muss oft auf unvollständiger Informationsbasis erfolgen und wird später ergänzt.

Warum Meldungen im Krisenmodus untergehen

In der Aufarbeitung zeigte sich, dass niemand die Meldepflichten bewusst ignoriert hatte. Sie lagen schlicht bei niemandem. Die IT konzentrierte sich auf Eindämmung und Wiederanlauf. Die Geschäftsführung verließ sich auf die Einschätzung, dass die Lage beherrscht sei. Datenschutz und Rechtsberatung erfuhren erst Tage später vom Vorfall. Und die Versicherungspolice lag in einem Ordner, auf den während des Vorfalls niemand Zugriff hatte.

Hinzu kam eine verbreitete Fehleinschätzung: Solange nicht klar ist, ob Daten abgeflossen sind, müsse man auch nichts melden. Tatsächlich verlangen DSGVO und NIS2 eine Bewertung auf Basis des aktuellen Kenntnisstands – nicht die Gewissheit am Ende der forensischen Analyse.

Die Folgen: Diskussionen statt Unterstützung

Die verspätete Schadenanzeige und die nicht abgestimmte Beauftragung des Dienstleisters führten zu einer langwierigen Klärung mit dem Versicherer. Je nach Vertragsgestaltung können Obliegenheitsverletzungen die Leistung kürzen – im Ernstfall genau dann, wenn das Unternehmen auf die Kostenübernahme für Forensik, Wiederherstellung und Betriebsunterbrechung angewiesen ist.

Gegenüber Aufsichtsbehörde und BSI musste das Unternehmen die Verzögerung begründen und nachvollziehbar dokumentieren, wann welche Erkenntnisse vorlagen. Das gelang nur teilweise, weil Entscheidungen der ersten Tage kaum festgehalten worden waren. Zudem hatte der schnelle Wiederaufbau Spuren überschrieben, die für die Frage nach einem Datenabfluss wichtig gewesen wären.

Was Unternehmen daraus lernen sollten

Meldepflichten und Versicherungsobliegenheiten sind kein Nachgang zur Technik, sondern gehören in die erste Stunde der Incident Response. Unternehmen sollten vorab festlegen:

• Klare Zuständigkeit: Eine benannte Person im Krisenstab verantwortet Meldungen und Fristen, unabhängig von der technischen Bearbeitung.
• Eine Meldepflichten-Matrix: Welche Pflichten gelten für das eigene Unternehmen, an wen wird gemeldet, mit welchen Fristen und über welchen Kanal?
• Ein Versicherungs-Datenblatt: Policennummer, Schadenhotline, Obliegenheiten, vorgegebene oder empfohlene Dienstleister – offline verfügbar.
• Frühe Einbindung von Datenschutz und Recht: bereits beim begründeten Verdacht, nicht erst bei bestätigtem Datenabfluss.
• Lückenlose Dokumentation ab Minute eins: Ein Incident-Logbuch mit Zeitpunkten, Erkenntnissen und Entscheidungen ist die Grundlage für jede spätere Meldung und für die Prüfung durch den Versicherer.
• Abstimmung vor Beauftragung: Welche Incident-Response-Dienstleister sind mit dem Versicherer abgestimmt? Diese Frage lässt sich vor dem Ernstfall in Ruhe klären, etwa über einen Retainer.

Zur Vorbereitung stehen in unseren Incident-Ready-Vorlagen unter anderem eine Meldepflichten-Matrix (PDF) und ein Cyberversicherungs-Datenblatt (PDF) kostenlos zum Download bereit. Einen Überblick über die regulatorischen Anforderungen bietet unser Beitrag zu NIS2, DORA und KRITIS.

Fazit: Die Uhr läuft ab der ersten Minute

In diesem Verlauf war die technische Reaktion schnell und engagiert. Das Problem lag daneben: Fristen und Obliegenheiten liefen ab, während alle mit der Technik beschäftigt waren. Wer Meldewege, Zuständigkeiten und die Abstimmung mit dem Versicherer vorab regelt, gewinnt im Ernstfall nicht nur Rechtssicherheit, sondern auch Handlungsfreiheit.

Argos Security unterstützt Unternehmen bei der Vorbereitung auf den Ernstfall und begleitet im Vorfall auch die Behördenmeldungen. Im akuten Verdachtsfall erreichen Sie unser Incident-Response-Team über die Notfallseite und die IR-Hotline +49 89 45 24 24-112.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall. Welche Pflichten konkret gelten, hängt von Unternehmen, Branche und Vertragsgestaltung ab.