Die ersten 48 Stunden nach einem Cybervorfall: Reihenfolge, Fristen, Meldepflichten

Ein Cyberangriff wird selten als Angriff bemerkt. Meistens beginnt er damit, dass etwas nicht funktioniert: Dateien lassen sich nicht mehr öffnen, Kunden erhalten E-Mails, die niemand geschrieben hat, oder die Buchhaltung meldet eine Überweisung, die so nie freigegeben wurde. Ab diesem Moment läuft die Uhr. In aller Regel sind es 72 Stunden nach Art. 33 DSGVO, für Einrichtungen unter dem BSIG bei einem erheblichen Sicherheitsvorfall nur 24 Stunden. Wer dann erst klärt, wer zu informieren ist und wer entscheiden darf, verbraucht die Zeit, die für saubere Entscheidungen nötig wäre.

Dieser Beitrag beschreibt die ersten 48 Stunden in der Reihenfolge, in der sie ablaufen, und trennt gesetzliche Pflicht von bewährter Praxis.

Kurzantwort

In den ersten 48 Stunden gilt die Reihenfolge: eindämmen, Beweise sichern, Meldepflichten prüfen, kontrolliert kommunizieren. Betroffene Systeme werden vom Netz getrennt, aber nicht ausgeschaltet. Ausschalten vernichtet Spuren im Arbeitsspeicher, die später zeigen, wie der Angreifer hereingekommen ist. Sind personenbezogene Daten betroffen, läuft nach Art. 33 DSGVO eine Frist von 72 Stunden ab Kenntnis zur Meldung an die zuständige Datenschutz-Aufsichtsbehörde. Nur wer als besonders wichtige oder wichtige Einrichtung unter § 32 BSIG fällt, muss bei einem erheblichen Sicherheitsvorfall zusätzlich binnen 24 Stunden eine Erstmeldung an die gemeinsame Meldestelle von BSI und BBK absetzen. Für Unternehmen mit 10 bis 75 Mitarbeitenden ist das die Ausnahme.

Wann beginnt die Frist: beim Angriff oder bei der Entdeckung?

Bei der Entdeckung. Die 72-Stunden-Frist des Art. 33 DSGVO beginnt, sobald Sie Kenntnis haben. Nach den Leitlinien 9/2022 des Europäischen Datenschutzausschusses ist das der Fall, wenn ein hinreichender Grad an Gewissheit darüber besteht, dass ein Sicherheitsvorfall personenbezogene Daten betrifft. Sie beginnt nicht mit dem Tag, an dem der Angreifer eingedrungen ist, und auch nicht erst nach Abschluss der Untersuchung.

Zwei Details werden dabei regelmäßig übersehen.

Die Frist läuft durch. Sie ist nach Stunden bemessen, nicht nach Werktagen, und endet auch an einem Sonn- oder Feiertag. Ein Vorfall, der Freitag um 15 Uhr auffällt, ist Montag um 15 Uhr fällig. Wer erst am Montagmorgen mit der Bewertung beginnt, hat rund 65 der 72 Stunden schon verbraucht. Für Sachverhalt, Bewertung und Meldung bleiben dann wenige Stunden.

Eine kurze Verifizierung ist zulässig, eine lange nicht. Ein bloßer Verdacht löst die Frist noch nicht aus. Diese Phase darf aber nicht dazu dienen, den Fristbeginn hinauszuschieben. Genau das prüfen Aufsichtsbehörden im Nachhinein anhand Ihrer eigenen Dokumentation.

Stunde 0 bis 6: eindämmen, ohne die Beweise zu zerstören

Der erste Reflex ist fast immer, den betroffenen Rechner auszuschalten. Das BSI empfiehlt ausdrücklich das Gegenteil: Gerät nicht herunterfahren, sondern vom Netz trennen, im Zweifel durch Ziehen des Netzwerkkabels und Abschalten des WLAN. Beim Ausschalten geht der Arbeitsspeicher verloren, und dort liegen häufig genau die Informationen, die später belegen, wie der Zugriff erfolgte. Aus demselben Grund sollte nicht als erste Maßnahme ein Virenscanner laufen: Eine Bereinigung verändert Spuren, bevor sie gesichert wurden.

In diese Phase gehören:

• Betroffene Systeme isolieren, nicht ausschalten
• Forensische Sicherung einschließlich Speicherabbild veranlassen, bevor bereinigt wird
• Alle Zugangsdaten, die auf betroffenen Systemen gespeichert oder dort eingegeben wurden, als vollständig kompromittiert behandeln. Bei betroffenem Active Directory gilt das für das gesamte Netz
• Prüfen, ob ein aktuelles, unversehrtes und vom Netz getrenntes Backup existiert
• Ein Protokoll beginnen: wer hat wann was festgestellt, wer hat was entschieden

Dieses Protokoll ist kein Formalismus. Es ist später die Grundlage für die Meldung an die Behörde, für die Schadenanzeige beim Versicherer und für den Nachweis, dass angemessen reagiert wurde.

Stunde 6 bis 24: feststellen, was tatsächlich abgeflossen sein kann

Hier entscheidet sich die Qualität aller weiteren Schritte. Die Frage „welche Daten sind betroffen?” beantwortet man in Microsoft 365 aus Protokolldaten, und die sind nicht unbegrenzt verfügbar.

In der Standardkonfiguration werden Ereignisse im einheitlichen Überwachungsprotokoll 180 Tage aufbewahrt; dieser Wert gilt seit Oktober 2023, vorher waren es 90 Tage. Die Anmeldeprotokolle in Microsoft Entra ID sind deutlich kürzer verfügbar: 30 Tage mit den Plänen P1 oder P2, ohne diese Lizenzierung nur 7 Tage. Wer einen Vorfall entdeckt, der zwei Monate zurückreicht, kann die entscheidende Frage unter Umständen gar nicht mehr beantworten. Dann muss man vom ungünstigeren Fall ausgehen, mit allen Konsequenzen für Meldung und Benachrichtigung.

Hinzu kommt: Microsoft 365 enthält kein Backup. Gelöschte Elemente werden nach 14 Tagen endgültig entfernt, gelöschte Postfächer nach 30 Tagen, die Papierkörbe von SharePoint und OneDrive umfassen über beide Stufen zusammen 93 Tage. Hat ein Angreifer gezielt gelöscht, ist das Zeitfenster für eine Wiederherstellung damit fest umrissen.

Welche Meldung trifft wen?

Zur Einordnung: Die 24-Stunden-Frist nach § 32 BSIG gilt nicht für jedes Unternehmen und auch nicht für jeden Vorfall. Sie setzt dreierlei voraus: Sie sind in einem der in den Anlagen 1 oder 2 des BSIG gelisteten Sektoren tätig, Sie haben mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme liegen jeweils über 10 Mio. Euro, und es liegt ein erheblicher Sicherheitsvorfall im Sinne des § 32 Abs. 1 BSIG vor. Für einen erheblichen Teil mittelständischer Unternehmen ist deshalb Art. 33 DSGVO die bindende Pflicht. Ob Sie unter das BSIG fallen, sollten Sie vor einem Vorfall geklärt haben und nicht während eines Vorfalls.

Stunde 24 bis 48: die Meldung vorbereiten und absetzen

Eine Meldung nach Art. 33 DSGVO braucht keine abgeschlossene Aufklärung. Das Gesetz erlaubt ausdrücklich eine schrittweise Meldung, wenn nicht alle Informationen gleichzeitig vorliegen. Der Mindestinhalt umfasst die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, eine Kontaktstelle, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Wird die Frist überschritten, muss die Meldung eine Begründung der Verzögerung enthalten.

Auch der umgekehrte Fall zählt: Kommen Sie zu dem Ergebnis, dass keine Meldepflicht besteht, müssen Sie diese Bewertung trotzdem dokumentieren. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation aller Verletzungen, auch der nicht gemeldeten. Fehlt sie, steht bei einer späteren Prüfung Aussage gegen Aussage.

Setzt Ihr Dienstleister Systeme für Sie ein, gilt zusätzlich Art. 33 Abs. 2 DSGVO: Der Auftragsverarbeiter muss Ihnen einen Vorfall unverzüglich melden. Melden gegenüber der Behörde müssen aber Sie.

Kommunikation: koordiniert statt schnell

Das BSI rät, Ruhe zu bewahren und nicht übereilt zu handeln, und empfiehlt eine abgestimmte Kommunikation, um eine verfrühte Veröffentlichung zu vermeiden. Praktisch heißt das: eine benannte Person spricht nach außen, Mitarbeitende erhalten eine kurze, ehrliche Sprachregelung, und niemand bestätigt gegenüber Kunden oder Presse einen Datenabfluss, bevor er belegt ist. Umgekehrt gilt: Sobald ein hohes Risiko für Betroffene feststeht, ist deren Benachrichtigung nach Art. 34 DSGVO Pflicht und kein Ermessen. Das entfällt nur, wenn die Daten etwa durch Verschlüsselung wirksam geschützt waren oder das hohe Risiko durch nachfolgende Maßnahmen beseitigt wurde.

Typische Fehler in den ersten 48 Stunden

1. Systeme ausschalten oder sofort neu aufsetzen. Der Druck, schnell wieder produktiv zu sein, vernichtet die Grundlage für jede spätere Bewertung und damit auch für die Frage, ob überhaupt gemeldet werden muss.
2. Die Frist ab Abschluss der Untersuchung rechnen. Sie läuft ab Kenntnis, nicht ab Klarheit.
3. Warten, bis alles bekannt ist. Eine unvollständige, fristgerechte Meldung mit Nachlieferung ist der verspäteten vollständigen vorzuziehen.
4. Zugangsdaten nur teilweise zurücksetzen. Bleibt ein Konto unberührt, ist der Angreifer nach der Bereinigung wieder im System.
5. Den Versicherer spät informieren. § 30 VVG verlangt eine unverzügliche Anzeige; viele Policen setzen zudem voraus, dass der Versicherer die Dienstleister für die Schadenbearbeitung mitbestimmt.
6. Keine Anzeige erstatten. Die ZAC der Polizei ist für Unternehmen der zentrale Ansprechpartner; in Bayern erreichbar unter 089 1212 3300.
7. Nichts dokumentieren. Ohne Protokoll lässt sich weder die Rechtzeitigkeit noch die Angemessenheit der Reaktion belegen.

Was Sie heute festlegen können

Die meisten dieser Punkte lassen sich nicht während eines Vorfalls entscheiden. Was vorab auf eine Seite gehört: wer im Ernstfall entscheidet und wer vertritt; die Telefonnummern von Dienstleister, Datenschutzbeauftragtem, Versicherer und ZAC; die Feststellung, ob § 32 BSIG für Sie gilt; ein Weg, die Aufbewahrungsdauer der Protokolldaten in Microsoft 365 zu verlängern; und ein Backup, das getrennt vom produktiven Netz liegt und dessen Wiederherstellung mindestens einmal geprüft wurde.

Diese eine Seite entsteht an einem ruhigen Vormittag. Am Tag des Vorfalls ist sie nicht mehr zu schreiben, weil dann alles gleichzeitig zu klären wäre: wer entscheidet, wer zu informieren ist und wie weit die Protokolle zurückreichen.

Quellen

• Art. 33 Abs. 1 DSGVO: Meldung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde; die Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt; bei Fristüberschreitung ist eine Begründung der Verzögerung beizufügen. Abs. 2: Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich. Abs. 3: Mindestinhalt der Meldung (Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, Kontaktstelle, wahrscheinliche Folgen, ergriffene Maßnahmen). Abs. 4: schrittweise Meldung zulässig. Abs. 5: Dokumentationspflicht für alle Verletzungen, auch der nicht gemeldeten. dsgvo-gesetz.de
• Art. 34 DSGVO: Benachrichtigung der betroffenen Personen bei voraussichtlich hohem Risiko; Ausnahmen u. a. bei wirksamem technischem Schutz wie Verschlüsselung oder wenn das hohe Risiko durch nachfolgende Maßnahmen beseitigt wurde. dsgvo-gesetz.de
• EDSA-Leitlinien 9/2022: Eine Verletzung gilt dem Verantwortlichen als bekannt, sobald er einen hinreichenden Grad an Gewissheit über das Vorliegen eines Sicherheitsvorfalls erlangt hat; die 72-Stunden-Frist beginnt mit der Kenntnisnahme, nicht mit dem Vorfall selbst. edpb.europa.eu
• Die nach Stunden bemessene 72-Stunden-Frist läuft ohne Unterbrechung durch und endet auch an Wochenenden und Feiertagen (Beispiel: Kenntnis Freitag 15:00 Uhr, Fristende Montag 15:00 Uhr). dr-datenschutz.de
• § 32 BSIG: Meldepflicht besteht nur bei einem erheblichen Sicherheitsvorfall im Sinne des § 32 Abs. 1 BSIG; gestaffelte Fristen mit Erstmeldung binnen 24 Stunden ab Kenntnis, Folgemeldung binnen 72 Stunden ab Kenntnis mit Bestätigung/Aktualisierung und erster Bewertung von Schwere und Auswirkungen, Abschlussmeldung binnen eines Monats nach der Meldung. Adressat ist die vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle. Adressatenkreis: besonders wichtige und wichtige Einrichtungen sowie Betreiber kritischer Anlagen. gesetze-im-internet.de
• § 28 Abs. 2 BSIG: Wichtige Einrichtung ist, wer in einem Sektor der Anlagen 1 oder 2 tätig ist und mindestens 50 Beschäftigte hat oder einen Jahresumsatz UND eine Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweist (kumulativ). gesetze-im-internet.de
• BSI-Checkliste Technik: Gerät nicht herunterfahren oder ausschalten, sofern eine technische Analyse beabsichtigt ist; Netzwerkkabel ziehen; forensische Sicherung inklusive Speicherabbild vor Einsatz von Virenschutzprogrammen; alle auf betroffenen Systemen gespeicherten oder eingegebenen Zugangsdaten als vollständig kompromittiert behandeln; bei betroffenem Active Directory das gesamte Netz als kompromittiert ansehen; Neuinstallation statt gezielter Bereinigung. bsi.bund.de
• BSI-Checkliste Organisatorisches: Ruhe bewahren und nicht übereilt handeln; Krisenstab mit klaren Rollen bilden; Geschäftsführung, IT-Betrieb und Datenschutzbeauftragten unverzüglich informieren; koordinierte Kommunikation zur Vermeidung verfrühter Veröffentlichung; Meldung an die Datenschutz-Aufsichtsbehörde bei betroffenen personenbezogenen Daten; Anzeige bei den Zentralen Ansprechstellen Cybercrime der Polizei. bsi.bund.de
• BSI „Ransomware: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall”, Handreichung für IT-Verantwortliche in KMU; Beweissicherung durch Systemabbilder und Protokolldaten, kein Lösegeld zahlen, Wiederherstellung aus intakten Backups nach Bereinigung des Netzes. bsi.bund.de
• Microsoft Purview Audit (Standard): Standard-Aufbewahrungsdauer für Überwachungsprotokolle beträgt 180 Tage; für Datensätze ab dem 17. Oktober 2023 gilt dieser Wert, zuvor waren es 90 Tage. learn.microsoft.com
• Microsoft Entra ID Datenaufbewahrung: Anmelde- und Überwachungsprotokolle werden im kostenlosen Tarif 7 Tage, mit Microsoft Entra ID P1 oder P2 30 Tage aufbewahrt. learn.microsoft.com
• Exchange Online: Elemente im Ordner „Wiederherstellbare Elemente” werden standardmäßig nach 14 Tagen endgültig gelöscht (konfigurierbar bis 30 Tage). learn.microsoft.com
• SharePoint und OneDrive: Aufbewahrung gelöschter Elemente im Papierkorb 93 Tage ab Löschung aus dem ursprünglichen Speicherort; OneDrive eines gelöschten Benutzers wird nach 7 Tagen in den Websitesammlungs-Papierkorb verschoben und dort 93 Tage aufbewahrt. learn.microsoft.com
• § 30 VVG: Der Versicherungsnehmer hat den Eintritt des Versicherungsfalles, nachdem er von ihm Kenntnis erlangt hat, dem Versicherer unverzüglich anzuzeigen. gesetze-im-internet.de
• Zentrale Ansprechstelle Cybercrime (ZAC) der Bayerischen Polizei für Unternehmen und Behörden, erreichbar unter 089 1212 3300 und zac@polizei.bayern.de. zac.polizei.bayern.de
• Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) bietet für nicht-öffentliche Stellen in Bayern ein Online-Formular zur Meldung von Datenschutzverletzungen nach Art. 33 DSGVO an. lda.bayern.de