Ein Cyberangriff trifft Unternehmen häufig ohne Vorwarnung. Systeme sind verschlüsselt, Kundendaten könnten betroffen sein, Mitarbeitende können nicht mehr arbeiten, Täter drohen mit der Veröffentlichung sensibler Informationen oder fordern Lösegeld. In dieser Situation müssen Geschäftsführung, IT, Datenschutzbeauftragte und externe Dienstleister schnell und koordiniert handeln.
Schlun & Elseven Rechtsanwälte unterstützt Unternehmen bei Cyberangriffen bei der rechtlichen Bewertung, der Einhaltung datenschutzrechtlicher Meldepflichten, der Kommunikation mit Behörden und Versicherern sowie bei der Koordination IT-forensischer Maßnahmen. Unser Ziel ist es, rechtliche Risiken zu begrenzen, Fristen einzuhalten, Beweise zu sichern und das Unternehmen in der akuten Krisensituation handlungsfähig zu halten.
Cyberangriff: Warum schnelles Handeln entscheidend ist
Bei Cyberangriffen laufen rechtliche und wirtschaftliche Risiken parallel. Während die IT-Abteilung versucht, Systeme zu isolieren und wiederherzustellen, müssen rechtliche Pflichten geprüft und dokumentiert werden. Besonders relevant ist die DSGVO: Liegt eine Verletzung des Schutzes personenbezogener Daten vor, muss das Unternehmen prüfen, ob eine Meldung an die zuständige Datenschutzaufsichtsbehörde erforderlich ist. In meldepflichtigen Fällen muss die Meldung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden erfolgen.
Diese Frist macht eine schnelle rechtliche Bewertung erforderlich. Gleichzeitig darf die Meldung nicht unüberlegt oder unvollständig erfolgen. Sie muss den Vorfall, die betroffenen Daten, die wahrscheinlichen Folgen und die bereits ergriffenen oder geplanten Maßnahmen nachvollziehbar darstellen. Auch wenn eine Meldung zunächst nur vorläufig möglich ist, sollte sie rechtlich sauber aufbereitet sein.
Typische Fälle, bei denen wir Unternehmen unterstützen
Cyberangriffe können sehr unterschiedliche Formen haben. Für Unternehmen besonders relevant sind insbesondere:
Absicherung für das Unternehmen im Falle eines Angriffs
Bei Ransomware werden Systeme, Server oder Daten verschlüsselt. Häufig fordern Täter ein Lösegeld für die angebliche Wiederherstellung des Zugriffs. In vielen Fällen drohen sie zusätzlich mit der Veröffentlichung gestohlener Daten. Unternehmen müssen dann schnell prüfen, welche Daten betroffen sind, ob Meldepflichten bestehen, wie mit der Erpressung umzugehen ist und welche Kommunikation gegenüber Behörden, Versicherern, Kunden und Mitarbeitenden erforderlich ist.
Datenabfluss und Veröffentlichung sensibler Informationen
Besonders kritisch sind Angriffe, bei denen personenbezogene Daten, Geschäftsgeheimnisse, Mandantendaten, Patientendaten, Finanzdaten oder vertrauliche Unternehmensunterlagen abgeflossen sein könnten. Hier ist eine genaue rechtliche und technische Analyse erforderlich. Entscheidend ist, ob Daten tatsächlich betroffen sind, welche Kategorien von Daten betroffen sind und welche Risiken für betroffene Personen oder das Unternehmen bestehen.
Phishing und kompromittierte E-Mail-Konten
Phishing-Angriffe führen häufig dazu, dass Zugangsdaten abgegriffen und E-Mail-Konten kompromittiert werden. Täter können anschließend interne Kommunikation mitlesen, Zahlungsanweisungen manipulieren oder vertrauliche Informationen abgreifen. Auch hier muss geprüft werden, ob personenbezogene Daten betroffen sind und ob eine Datenschutzmeldung erforderlich ist.
CEO-Fraud und Zahlungsbetrug
Beim CEO-Fraud geben sich Täter als Geschäftsführung, Vorgesetzte oder Geschäftspartner aus und veranlassen Mitarbeitende zu Zahlungen oder zur Herausgabe sensibler Informationen. Neben strafrechtlichen Fragen stellen sich hier häufig arbeitsrechtliche, versicherungsrechtliche und haftungsrechtliche Fragen.
Angriffe auf Dienstleister und Auftragsverarbeiter
Nicht immer erfolgt der Angriff direkt auf das eigene Unternehmen. Häufig sind externe IT-Dienstleister, Cloud-Anbieter, Softwareanbieter oder andere Auftragsverarbeiter betroffen. Auch dann muss das Unternehmen prüfen, welche eigenen Pflichten bestehen, ob eine Meldung erforderlich ist und welche Informationen vom Dienstleister eingefordert werden müssen.
Datenschutzrechtliche Pflichten nach einem Cyberangriff
Nach einem Cyberangriff muss zunächst festgestellt werden, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt. Personenbezogene Daten können beispielsweise Kunden-, Mitarbeiter-, Bewerber-, Mandanten-, Patienten-, Nutzer- oder Lieferantendaten sein.
Liegt eine solche Verletzung vor, muss das Unternehmen prüfen:
- Welche Daten sind betroffen?
- Wie viele Personen sind betroffen?
- Waren die Daten verschlüsselt oder anderweitig geschützt?
- Wurden Daten nur vorübergehend unzugänglich oder tatsächlich abgegriffen?
- Besteht ein Risiko für die Rechte und Freiheiten betroffener Personen?
- Ist eine Meldung an die Datenschutzaufsichtsbehörde erforderlich?
- Müssen auch die betroffenen Personen informiert werden?
- Welche internen Dokumentationspflichten bestehen?
Diese Prüfung sollte sorgfältig dokumentiert werden. Auch wenn im Ergebnis keine Meldung erforderlich ist, muss die Entscheidung nachvollziehbar begründet werden können.
IT-Forensik und rechtliche Koordination
Die technische Analyse eines Cyberangriffs ist Aufgabe spezialisierter IT-Forensiker. Zugleich muss die forensische Aufarbeitung rechtlich sinnvoll koordiniert werden. Es sollte dokumentiert werden, welche Systeme betroffen sind, wann der Angriff entdeckt wurde, welche Maßnahmen ergriffen wurden und welche Erkenntnisse zur Ursache und zum Umfang des Angriffs bestehen.
Wir arbeiten bei Bedarf mit erfahrenen IT-forensischen Experten zusammen und begleiten die rechtliche Einordnung der technischen Feststellungen. Dadurch können Unternehmen sicherstellen, dass technische Maßnahmen, Beweissicherung, Datenschutzprüfung und externe Kommunikation aufeinander abgestimmt erfolgen.
Kommunikation mit Behörden, Versicherern und Betroffenen
Nach einem Cyberangriff ist Sensibilität bei der Kommunikation geboten. Unpräzise oder widersprüchliche Aussagen können rechtliche Risiken erhöhen, Versicherungsfragen erschweren oder das Vertrauen von Kunden und Geschäftspartnern beeinträchtigen.
Wir unterstützen Unternehmen bei der rechtlichen Vorbereitung und Abstimmung der Kommunikation mit:
- Datenschutzaufsichtsbehörden,
- Ermittlungsbehörden,
- Cyberversicherern,
- IT-Dienstleistern,
- Kunden und Geschäftspartnern,
- Mitarbeitenden,
- betroffenen Personen,
- sowie sonstigen internen und externen Stakeholdern.
Haftung, Versicherung und Schadensbegrenzung
Cyberangriffe können erhebliche wirtschaftliche Schäden verursachen. Dazu zählen Betriebsunterbrechungen, Wiederherstellungskosten, Kosten für IT-Forensik, Kosten für Kommunikation, mögliche Bußgelder, Schadensersatzansprüche und Reputationsschäden.
Ob eine Cyberversicherung eintritt, hängt häufig davon ab, welche Sicherheitsmaßnahmen vorhanden waren, welche Obliegenheiten im Versicherungsvertrag geregelt sind und wie der Vorfall gemeldet und dokumentiert wurde. Deshalb sollte die Kommunikation mit Versicherern frühzeitig rechtlich begleitet werden.
Unsere Rechtsanwälte unterstützen bei der Bewertung von Versicherungsfragen, Haftungsrisiken und möglichen Ansprüchen gegen Täter, Dienstleister oder sonstige Beteiligte.
Prävention nach dem Vorfall: Lessons Learned und Compliance
Nach der akuten Phase sollte der Cyberangriff strukturiert aufgearbeitet werden. Unternehmen sollten prüfen, welche technischen und organisatorischen Maßnahmen verbessert werden müssen, ob interne Prozesse angepasst werden sollten und ob bestehende Verträge mit IT-Dienstleistern, Auftragsverarbeitern oder Versicherern aktualisiert werden müssen.
Wir unterstützen Unternehmen auch nach der akuten Krisenphase bei:
- Datenschutz- und Compliance-Prüfungen,
- Überarbeitung interner Meldeprozesse,
- Erstellung oder Anpassung von Incident-Response-Plänen,
- Prüfung von Auftragsverarbeitungsverträgen,
- Prüfung von IT-Dienstleisterverträgen,
- rechtlicher Bewertung technischer und organisatorischer Maßnahmen,
- Vorbereitung auf mögliche behördliche Nachfragen.
Schlun & Elseven: Rechtsberatung bei Cyberangriffen
Ein Cyberangriff ist für Unternehmen eine rechtliche, technische und kommunikative Krisensituation. Wer schnell und strukturiert handelt kann jedoch Schäden begrenzen, Fristen einhalten und rechtliche Risiken reduzieren.
Schlun & Elseven Rechtsanwälte unterstützt Unternehmen bundesweit bei Cyberangriffen, Datenschutzvorfällen und IT-sicherheitsbezogenen Krisen. Unsere Rechtsanwälte verbinden rechtliche Beratung mit der Koordination technischer Expertise und begleiten Unternehmen von der ersten Einschätzung bis zur abschließenden Aufarbeitung des Vorfalls.
Ist Ihr Unternehmen aktuell von einem Cyberangriff betroffen? Zögern Sie nicht – jede verstrichene Stunde kann rechtliche und wirtschaftliche Folgen verschärfen. Kontaktieren Sie unsere Rechtsanwälte für eine sofortige Ersteinschätzung Ihrer Situation.
FAQs – Häufig gestellte Fragen bei Cyberangriffen auf Unternehmen
Nein, nicht jeder Cyberangriff muss automatisch gemeldet werden – nur wenn personenbezogene Daten betroffen sind und ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Ist beispielsweise nur eine verschlüsselte, nicht entwendete Datenbank betroffen, kann die Meldepflicht entfallen. Die Einschätzung des Risikos sollte jedoch stets rechtlich geprüft und dokumentiert werden.
Hinweis: Ist eine Meldung an die Datenschutzbehörde vonnöten, so muss sie innerhalb von 72 Stunden nach dem Vorfall erfolgen.
Eine verspätete Meldung kann grundsätzlich ein Bußgeld nach sich ziehen. Die Aufsichtsbehörden berücksichtigen bei der Bemessung jedoch, ob das Unternehmen die Verzögerung nachvollziehbar begründen kann und ob es im Übrigen kooperativ und sorgfältig gehandelt hat. Eine gut dokumentierte, verspätete Meldung ist rechtlich deutlich besser als keine Meldung.
Zu klären ist unter anderem: Welche Daten sind betroffen? Von wie vielen Personen? Waren die Daten verschlüsselt oder anderweitig geschützt? Wurden sie nur vorübergehend unzugänglich oder tatsächlich abgegriffen? Besteht ein Risiko für die Rechte und Freiheiten der betroffenen Personen?
Diese Prüfung sollte sorgfältig dokumentiert werden – auch wenn im Ergebnis keine Meldung erforderlich ist, muss die Entscheidung nachvollziehbar begründet werden können.
Praxisgruppe für IT-Recht & Cyberkriminalität
Schlun & Elseven Rechtsanwälte kontaktieren
Nutzen Sie gerne unser Online-Formular, um uns Ihr Anliegen zu schildern. Nach Erhalt Ihrer Anfrage werden wir eine kurze Ersteinschätzung vornehmen und Ihnen ein Kostenangebot zukommen lassen. Anschließend können Sie entscheiden, ob Sie uns den Auftrag erteilen möchten.
