Ein Cybervorfall ist ein sicherheitsrelevantes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von IT-Systemen, Daten oder digitalen Diensten beeinträchtigt. Dazu zählen unter anderem Ransomware-Angriffe, Datenlecks, unbefugte Systemzugriffe und gezielte Sabotageakte. Für viele Unternehmen und Behörden in Deutschland besteht bei solchen Ereignissen eine gesetzliche Meldepflicht. Dieser Artikel beantwortet die wichtigsten Fragen rund um Cybervorfälle, Meldewege und Fristen.
Rechtlich gilt ein Cybervorfall als jedes Ereignis, das die Sicherheit von Netz- und Informationssystemen kompromittiert und dadurch den Betrieb, die Datenintegrität oder die Verfügbarkeit digitaler Dienste beeinträchtigt. Die rechtliche Grundlage in Deutschland bilden das BSI-Gesetz (BSIG), die NIS2-Richtlinie der EU sowie branchenspezifische Regelwerke wie das SGB V oder das EnWG.
Konkret fallen folgende Ereignisse typischerweise unter den Begriff IT-Sicherheitsvorfall im rechtlichen Sinne:
Wichtig ist die Unterscheidung zwischen einem Sicherheitsereignis (Security Event) und einem Sicherheitsvorfall (Security Incident): Nicht jede Anomalie oder jeder Angriffsversuch stellt automatisch einen meldepflichtigen Cybervorfall dar. Entscheidend ist, ob tatsächlich ein Schaden eingetreten ist oder eine erhebliche Beeinträchtigung des Betriebs vorliegt bzw. droht.
In Deutschland sind vor allem Betreiber kritischer Infrastrukturen (KRITIS), Anbieter digitaler Dienste sowie Unternehmen, die unter die NIS2-Richtlinie fallen, zur Meldung von Cybervorfällen verpflichtet. Seit der Umsetzung von NIS2 in nationales Recht hat sich der Kreis der Meldepflichtigen erheblich erweitert.
Zur Meldung verpflichtet sind insbesondere:
Für alle anderen Unternehmen besteht keine allgemeine gesetzliche Meldepflicht gegenüber dem BSI. Allerdings können bei Datenschutzverletzungen parallele Meldepflichten gegenüber der zuständigen Datenschutzbehörde nach Art. 33 DSGVO bestehen, unabhängig von der Unternehmensgröße.
Disclaimer: Die konkrete Einstufung als meldepflichtige Einrichtung hängt von Sektor, Unternehmensgröße und weiteren Kriterien ab. Im Zweifelsfall empfiehlt sich eine rechtliche Prüfung.
Cybervorfälle werden in Deutschland primär beim Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet. Das BSI ist die zentrale Anlaufstelle für IT-Sicherheitsvorfälle auf Bundesebene und betreibt zu diesem Zweck ein eigenes Meldeverfahren über das BSI-Meldeportal.
Je nach Art des Vorfalls und betroffener Organisation können weitere Stellen relevant sein:
Die Meldung beim BSI erfolgt über das offizielle BSI-Meldeportal, das strukturierte Formulare für unterschiedliche Vorfallstypen bereitstellt. Für KRITIS-Betreiber steht zudem ein direkter Kommunikationskanal zum BSI-Lagezentrum zur Verfügung.
Die Meldefristen für Cybervorfälle richten sich nach der jeweiligen Rechtsgrundlage und dem Schweregrad des Vorfalls. Nach NIS2 gilt ein dreistufiges Meldesystem mit klar definierten Zeitfenstern, das eine schnelle Erstmeldung mit einer detaillierteren Folgemeldung kombiniert.
Die NIS2-Richtlinie sieht folgende Meldefristen vor:
Für Datenschutzverletzungen gilt nach Art. 33 DSGVO eine Frist von 72 Stunden nach Bekanntwerden der Verletzung. Diese Frist läuft unabhängig von den NIS2-Fristen und betrifft alle Verantwortlichen, die personenbezogene Daten verarbeiten, unabhängig von ihrer Größe oder Sektorzugehörigkeit.
Eine vollständige Cybervorfall-Meldung muss alle Informationen enthalten, die der zuständigen Behörde eine Lagebeurteilung und eine koordinierte Reaktion ermöglichen. Der genaue Umfang hängt vom Meldezeitpunkt ab, da die Anforderungen mit jeder Meldungsstufe steigen.
Für die Frühwarnung sind in der Regel folgende Angaben erforderlich:
Für die Erstmeldung und den Abschlussbericht kommen weitere Angaben hinzu:
Für eine strukturierte und effiziente Vorfallsbearbeitung ist es ratsam, intern einen Incident-Response-Prozess zu etablieren, der die Dokumentation aller relevanten Informationen von Beginn an sicherstellt.
Nach der Meldung eines Cybervorfalls beim BSI oder einer anderen zuständigen Behörde folgt in der Regel eine strukturierte Reaktionskette. Das BSI wertet die eingegangenen Meldungen aus, gibt Handlungsempfehlungen heraus und koordiniert bei schwerwiegenden Vorfällen die behördenübergreifende Reaktion.
Im Einzelnen können folgende Schritte folgen:
Parallel zur behördlichen Kommunikation sollte das betroffene Unternehmen intern den Incident-Response-Prozess konsequent weiterführen: Systeme isolieren, forensische Beweise sichern, Wiederherstellungsmaßnahmen einleiten und betroffene Kunden oder Partner informieren, sofern dies rechtlich geboten ist.
Ein Cybervorfall stellt Unternehmen unter erheblichen Zeit- und Handlungsdruck. Neben der technischen Schadensbegrenzung müssen gleichzeitig Meldepflichten eingehalten, Behörden informiert und interne Prozesse koordiniert werden. Wir bei der Concat AG unterstützen Sie dabei mit einem strukturierten Ansatz entlang des gesamten Incident-Response-Zyklus:
Warten Sie nicht, bis ein Cybervorfall eintritt. Nehmen Sie jetzt Kontakt auf und erfahren Sie, wie wir Ihre Organisation auf den Ernstfall vorbereiten und im Vorfallsfall an Ihrer Seite stehen.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von Turnstile laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr Informationen