Cyberangriff im Unternehmen: Strafanzeige, Meldepflichten, eigene Haftung
Nach dem Angriff laufen drei Uhren gleichzeitig: die der Forensik, die der Meldepflichten und die der Strafverfolgung. Was in welcher Reihenfolge zu entscheiden ist, warum Anzeige und Meldung nicht dasselbe sind und wie ein Unternehmen vermeidet, vom Opfer zum Beschuldigten zu werden.
Allgemeine Information zur Rechtslage, Rechtsstand 18. Oktober 2026. Keine Beratung im Einzelfall.
Ein Unternehmen, das Opfer eines Cyberangriffs wird, hat keine allgemeine Pflicht zur Strafanzeige, aber in der Regel mehrere Meldepflichten mit kurzen Fristen: die Meldung einer Datenschutzverletzung an die Aufsichtsbehörde binnen 72 Stunden (Artikel 33 DSGVO), sektorale Meldungen an das BSI für Betreiber kritischer Anlagen und wichtiger Einrichtungen, Anzeigen gegenüber Versicherern und Vertragspartnern. Die Strafanzeige ist freiwillig, meist sinnvoll und oft Bedingung der Versicherung; sie öffnet aber die eigene IT für Ermittler. Deshalb gehören Forensik, Meldungen, Anzeige und Kommunikation in eine Hand.
Drei Uhren: Forensik, Meldung, Strafverfolgung
Forensik sichert den Zustand, bevor Wiederherstellung und Aufräumen Spuren vernichten: forensische Abbilder betroffener Systeme, Protokolle, Netzwerkdaten, die Kommunikation der Angreifer. Ohne diese Sicherung lassen sich weder der Umfang des Vorfalls bestimmen noch Meldungen begründen noch später Ansprüche abwehren.
Meldungen laufen nach Fristen, die mit Kenntnis beginnen und nicht mit Abschluss der Aufklärung. Die DSGVO verlangt die Meldung an die Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden”, nachdem die Verletzung bekannt wurde; Informationen dürfen schrittweise nachgereicht werden (Artikel 33 Absatz 4 DSGVO). Bei Ransomware ist eine Verletzung regelmäßig gegeben, weil die Verfügbarkeit personenbezogener Daten beeinträchtigt ist, auch ohne Abfluss. Besteht ein hohes Risiko für die Betroffenen — etwa bei Abfluss von Zugangsdaten, Gesundheits- oder Finanzdaten —, sind auch sie zu benachrichtigen (Artikel 34 DSGVO).
Strafverfolgung beginnt mit der Anzeige und läuft danach ohne Einfluss des Anzeigenden; zurücknehmen lässt sie sich nicht. Ansprechpartner sind die Zentralen Ansprechstellen Cybercrime (ZAC) der Landeskriminalämter, die auf Unternehmensfälle eingerichtet sind.
Meldepflichten im Überblick
| Pflicht | Adressat | Frist | Wer |
|---|---|---|---|
| Datenschutzverletzung | Datenschutzaufsicht des Landes | 72 Stunden ab Kenntnis | jeder Verantwortliche |
| Benachrichtigung Betroffener | betroffene Personen | unverzüglich | bei hohem Risiko |
| IT-Sicherheitsvorfall | BSI | nach BSI-Gesetz, gestuft (Erstmeldung binnen 24 Stunden) | Betreiber kritischer Anlagen, besonders wichtige und wichtige Einrichtungen nach der NIS-2-Umsetzung |
| Sektorale Meldungen | BaFin, Bundesnetzagentur u. a. | sektorspezifisch | Finanz-, Energie-, Telekommunikationsunternehmen |
| Schadenanzeige | Cyber-/Betriebsversicherer | laut Police, oft 24 bis 72 Stunden | Versicherungsnehmer |
| Information Vertragspartner | Auftraggeber, Auftragsverarbeiter, Lieferanten | laut Vertrag, bei Auftragsverarbeitung unverzüglich (Artikel 33 Absatz 2 DSGVO) | je nach Rolle |
Die Umsetzung der NIS-2-Richtlinie hat den Kreis der meldepflichtigen Unternehmen deutlich erweitert; ob ein Unternehmen erfasst ist, hängt von Sektor und Größe ab und sollte vor dem Vorfall geklärt sein, nicht währenddessen.
Strafanzeige: Nutzen und Nebenwirkungen
Für die Anzeige sprechen: Versicherungsbedingungen, die sie verlangen; die Möglichkeit, dass Ermittler Zahlungsströme stoppen oder Infrastruktur beschlagnahmen; die Beweiskraft eines behördlichen Verfahrens gegenüber Kunden und Aufsicht; und die statistische Sichtbarkeit, die Ermittlungsressourcen lenkt.
Zu bedenken ist, was die Anzeige auslöst. Die Ermittler brauchen Zugang zu Systemen und Protokollen; sie fragen nach Patchständen, Zugriffsrechten, Protokollierung, Backups. Ergibt sich daraus ein Bild unzureichender Absicherung, kann das Folgen haben: gegenüber der Datenschutzaufsicht (Artikel 32 DSGVO, Bußgeld), gegenüber Versicherern (Obliegenheiten), gegenüber Vertragspartnern (Schadensersatz) und für die Geschäftsleitung (§ 43 GmbHG, § 93 AktG: IT-Sicherheit ist Organisationspflicht). Zeigt sich, dass Beschäftigte beteiligt waren — fahrlässig durch Fehlverhalten oder vorsätzlich als Innentäter —, wird aus dem Opferunternehmen ein Umfeld mit Beschuldigten, und das Unternehmen muss arbeitsrechtlich, datenschutzrechtlich und gegenüber den Ermittlern zugleich handeln.
Ob und wann angezeigt wird, ist deshalb eine Entscheidung, die mit dem Stand der Forensik und der eigenen Risikolage abgestimmt sein sollte. Die Anzeige selbst kann knapp sein; der Umfang der Mitwirkung danach ist gestaltbar, und bei Durchsuchungs- oder Herausgabeverlangen gelten die Regeln zur Beschlagnahme.
Beschäftigte im Verdacht
Innentäter oder Beschäftigte, deren Zugangsdaten missbraucht wurden, sind die häufigste Schnittstelle zwischen Opferrolle und Strafverfahren. Hier gelten drei Regeln: Eigene Ermittlungen des Unternehmens — Auswertung von Protokollen, E-Mails, Geräten — sind nur in den Grenzen des Datenschutz- und Arbeitsrechts zulässig (§ 26 BDSG, Mitbestimmung); Beschäftigte, die als Beschuldigte in Betracht kommen, haben dieselben Rechte wie jeder Beschuldigte, einschließlich des Rechts zu schweigen, auch gegenüber dem Arbeitgeber in Bezug auf strafbares Verhalten; und die Weitergabe von Erkenntnissen an Ermittler ist zu dokumentieren, weil sie später Gegenstand von Verwertungsfragen wird.
Was eine koordinierte Bearbeitung leistet
Forensiker, Datenschutzbeauftragter, IT-Leitung, Kommunikation, Versicherer und Rechtsberater arbeiten mit unterschiedlichen Zielen: Wiederherstellung, Fristwahrung, Reputation, Deckung, Haftungsvermeidung. Ohne Koordination widersprechen sich Meldungen, gehen Beweise verloren oder werden Aussagen gemacht, die später gegen das Unternehmen verwendet werden. Ein strafrechtlich geschulter Blick auf den Vorfall sorgt dafür, dass die Meldungen vollständig, aber nicht geständig sind, dass die Mitwirkung gegenüber Ermittlern den eigenen Schutz wahrt und dass bei Beschuldigten im eigenen Haus Opfer- und Beschuldigtenrechte auseinandergehalten werden. Wer die Technik dabei selbst liest, erkennt früh, welche Lücke der Angreifer genutzt hat — und was davon in welche Meldung gehört.
Kurzfassung
Keine Anzeigepflicht, aber Meldepflichten mit kurzen Fristen: Datenschutzaufsicht 72 Stunden, BSI für erfasste Einrichtungen, Versicherer und Vertragspartner nach Vertrag. Strafanzeige ist sinnvoll, öffnet aber die eigene IT; Absicherungslücken und Beschäftigte im Verdacht machen aus dem Opfer schnell einen Beteiligten. Forensik zuerst, dann koordinierte Meldungen, dann Anzeige — in einer Hand.
Dieser Beitrag unterrichtet allgemein über die Rechtslage und ersetzt keine Beratung im Einzelfall.