Cyberangriff im Mittelstand: Wenn zur IT-Krise die Rechtskrise kommt
Verschlüsselte Rechner, gestohlene Daten oder eine manipulierte Rechnung: Nach einem Cyberangriff müssen kleine und mittlere Unternehmen unter Zeitdruck handeln. Während die IT den Schaden begrenzt, muss die Geschäftsleitung Meldepflichten prüfen, Beweise sichern lassen und den Betrieb organisieren. Ein vorbereiteter Notfallplan hilft, zusätzliche Schäden durch Fehlentscheidungen zu vermeiden.
Der Bildschirm zeigt eine Lösegeldforderung, Aufträge lassen sich nicht mehr öffnen, Mitarbeiter können nicht arbeiten. Gleichzeitig wollen Kunden wissen, wann ihre Lieferung kommt. Für viele Mittelständler beginnt ein Cyberangriff mit einem Betriebsstillstand. Doch während Techniker versuchen, die Systeme wieder unter Kontrolle zu bringen, laufen bereits andere Aufgaben an: Welche Daten sind betroffen? Wer muss informiert werden? Was verlangt die Versicherung? Und wer entscheidet über das weitere Vorgehen?
Der Digitalverband SIBB macht anlässlich des European Cybersecurity Month anhand anonymisierter Fälle aus der anwaltlichen Praxis auf diese zweite Krise aufmerksam. Die entscheidende Frage für Unternehmen lautet: Sind Zuständigkeiten und Abläufe auch dann noch klar, wenn das Firmennetz ausfällt?
1. Verantwortung klären und einen sicheren Kommunikationsweg schaffen
Ein Cyberangriff gehört sofort auf den Tisch der Geschäftsleitung. Technische Eindämmung, Datenschutz, Betriebsfortführung und Kommunikation müssen zusammengeführt werden. Auch ein kleiner Betrieb braucht dafür eine benannte Einsatzleitung und eine Vertretung. Der externe IT-Dienstleister kann die technische Arbeit übernehmen; unternehmerische Entscheidungen bleiben bei der Geschäftsführung.
**Besteht der Verdacht, dass E-Mail-Konten kompromittiert wurden, können Angreifer interne Nachrichten mitlesen. Absprachen über Passwörter, Wiederherstellung oder Zahlungsfreigaben sollten deshalb über einen als sicher geprüften Ersatzkanal erfolgen. Das BSI empfiehlt, frühzeitig eine zuständige Gruppe einzurichten und festzulegen, wer welche Entscheidungen trifft. **
2. Den Angriff eindämmen und Spuren erhalten
**Betroffene Systeme müssen gegebenenfalls schnell vom Netzwerk getrennt werden, um die Ausbreitung zu begrenzen. Zugleich können unüberlegte Eingriffe wichtige Spuren vernichten. Rechner sofort zu löschen oder neu aufzusetzen, kann die Ursachenklärung erschweren und dazu führen, dass der ursprüngliche Angriffsweg offen bleibt. Das weitere Vorgehen sollte deshalb mit qualifizierten IT-Fachleuten abgestimmt werden. **
Von Beginn an gehört ein einfaches Ereignisprotokoll dazu: Wann wurde was entdeckt? Welche Systeme waren betroffen? Wer wurde verständigt? Welche Maßnahmen wurden aus welchem Grund beschlossen? Eine solche Dokumentation erleichtert die technische Aufarbeitung und macht Entscheidungen später nachvollziehbar.
3. Meldepflichten sofort prüfen – die 72 Stunden sind keine Wartezeit
**Sind personenbezogene Daten betroffen, muss das Unternehmen das Risiko für die betroffenen Menschen bewerten. Dazu gehören beispielsweise Kunden-, Beschäftigten- oder Bewerberdaten. Eine Datenschutzverletzung setzt keinen nachgewiesenen Datendiebstahl voraus: Auch der Verlust der Verfügbarkeit oder die Veränderung personenbezogener Daten kann darunterfallen. **
**Eine erforderliche Meldung an die zuständige Datenschutzaufsicht muss unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung erfolgen. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die Frist erlaubt deshalb weder pauschales Abwarten noch gilt sie automatisch für jeden Cyberangriff. **
**Für die erste Meldung muss die Untersuchung noch nicht abgeschlossen sein. Fehlende Angaben können schrittweise nachgereicht werden. Besteht voraussichtlich ein hohes Risiko für die betroffenen Menschen, kann zusätzlich deren unverzügliche Benachrichtigung erforderlich sein. Auch eine Entscheidung gegen eine Meldung muss nachvollziehbar dokumentiert werden. **
4. Manipulierte Rechnungen als eigenes Risiko behandeln
Nicht jeder Angriff legt Rechner lahm. In einem vom SIBB geschilderten Fall lasen Täter den E-Mail-Verkehr eines Unternehmens mit und änderten bei einer Rechnung die Bankverbindung. Die Zahlung ging an die Angreifer; der Betrug fiel erst durch die Nachfrage des tatsächlichen Zahlungsempfängers auf.
Dagegen hilft eine klare Zahlungsregel: Neue oder geänderte Bankverbindungen werden über einen zweiten, unabhängig gewählten Kommunikationsweg bestätigt – beispielsweise durch einen Anruf unter einer bereits bekannten Telefonnummer. Eine Rückfrage im möglicherweise kompromittierten E-Mail-Verlauf bietet diese Absicherung nicht. Bei größeren Beträgen empfiehlt sich zusätzlich eine zweite Freigabe. Wird eine Fehlüberweisung entdeckt, sollte die Bank sofort kontaktiert werden, um mögliche Sicherungs- oder Rückrufmaßnahmen zu prüfen.
5. Versicherung und Vertragspartner früh einbeziehen
Wer eine Cyberversicherung hat, sollte deren Notfallnummer und Vertragsunterlagen außerhalb des Firmennetzes verfügbar halten. Im Ernstfall ist zu prüfen, welche Anzeige-, Abstimmungs- und Mitwirkungspflichten vereinbart wurden und ob bestimmte Dienstleister einzuschalten sind. Auch Kundenverträge können Informationspflichten enthalten. Eine Datenschutzmeldung ersetzt diese Prüfung nicht.
Für die Kommunikation gilt: bestätigte Tatsachen, offene Fragen und nächste Schritte auseinanderhalten. Eine vorschnelle Entwarnung kann Vertrauen beschädigen, wenn später weitere Schäden bekannt werden.
6. Den Notfallplan außerhalb des Firmennetzes aufbewahren
Ein Plan hilft wenig, wenn er auf dem verschlüsselten Server liegt. Telefonnummern, Zuständigkeiten und grundlegende Abläufe müssen auch ohne die gewohnte IT erreichbar sein. Zur Vorbereitung gehört außerdem die Frage, wie Aufträge, Lieferungen und Zahlungen vorübergehend organisiert werden können.
**Ein kurzer Probelauf zeigt häufig mehr als ein umfangreiches Handbuch: An einem Montagmorgen sind Server und E-Mail ausgefallen. Wer ruft wen an? Wer darf einen Notfalldienst beauftragen? Wer spricht mit Kunden? Welche Daten müssen zuerst wiederhergestellt werden? Das BSI stellt dafür organisatorische Checklisten und Hilfen zur Behandlung schwerer IT-Sicherheitsvorfälle bereit. **
Fazit: Handlungsfähigkeit muss vor dem Angriff entstehen
Ein erfolgreicher Cyberangriff bedeutet nicht automatisch, dass die Geschäftsführung persönlich haftet. Ob Haftung entsteht, hängt von den konkreten Pflichten, möglichen Versäumnissen und deren Folgen ab. Für die betriebliche Vorbereitung ist die Konsequenz trotzdem eindeutig: Technischer Schutz allein reicht nicht. Mittelständler brauchen erreichbare Ansprechpartner, klare Entscheidungswege, geprüfte Zahlungsabläufe und einen Notfallplan, der auch ohne Firmennetz funktioniert. Wer das vorbereitet und regelmäßig durchspielt, kann im Ernstfall schneller und nachvollziehbarer handeln.
