Im Notfall richtig reagieren
Wenn die technische Infrastruktur ausfälltEin Cyberangriff kann Abläufe innerhalb weniger Minuten stoppen. Wer für den Ernstfall vorbereitet ist und nach einem klaren Notfallplan handelt, kann Schäden begrenzen und schneller wieder Kontrolle gewinnen.
Eugen Schmitz, KI-generiert mit Adobe Firefly
Ein Cyberangriff kommt selten mit Vorwarnung. Häufig beginnt er unscheinbar: Dateien lassen sich plötzlich nicht mehr öffnen, Programme reagieren ungewöhnlich oder gewohnte Systeme sind nicht erreichbar. Wenige Minuten später wird klar, dass es sich dabei nicht etwa um eine technische Störung, sondern um ein ernstzunehmendes Sicherheitsrisiko handelt. Gerade in Bauunternehmen kann sich ein IT-Ausfall schnell auf laufende Projekte auswirken: Baustellen können nicht mehr auf aktuelle Unterlagen zugreifen, Lieferanten warten auf Rückmeldungen, Rechnungen bleiben liegen. Aus einem IT-Problem wird so innerhalb kurzer Zeit ein Betriebsproblem.
Auffälligkeiten ernst nehmen und intern sofort melden
Im Ernstfall zählt Geschwindigkeit – aber nicht Hektik. Vermutete Sicherheitsrisiken für die Cybersicherheit des Unternehmens sollten intern sofort gemeldet werden. Gerade erste Hinweise wirken oft harmlos und werden deshalb leicht unterschätzt.
Wichtig ist: nicht auf eigene Faust experimentieren. Verdächtige Anhänge erneut zu öffnen, Systeme mehrfach neu zu starten oder Dateien testweise zu verschieben, kann den Schaden vergrößern oder wichtige Spuren für die spätere Analyse zerstören. Wer eine Auffälligkeit bemerkt, sollte deshalb umgehend die verantwortlichen IT-Mitarbeitenden in Kenntnis setzten. Anschließend übernehmen die im Notfallplan festgelegten Ansprechpartner.
Notfall-Team aktivieren
Sobald sich ein Verdacht nicht sicher ausschließen lässt, sollte das vorbereitete Notfall-Team aktiviert werden. Dazu gehören je nach Unternehmensgröße interne IT-Verantwortliche, die Geschäftsleitung sowie externe IT-Sicherheitsdienstleistende und bei Bedarf spezialisierte rechtliche Berater.
Eugen Schmitz, KI-generiert mit Adobe Firefly
Deshalb sollten Zuständigkeiten und Kontakte bereits im Vorfeld festgelegt werden. Im Ernstfall bleibt oft keine Zeit, Verantwortlichkeiten erst zu klären oder kurzfristig Unterstützung zu suchen. Wer dann bereits weiß, wer welche Aufgaben übernimmt und wer welche Entscheidungen trifft, spart wertvolle Zeit.
Ausbreitung stoppen und Überblick gewinnen
Die nächsten Schritte dienen dazu, den Schaden zu begrenzen und eine weitere Ausbreitung zu verhindern. Betroffene Systeme können gezielt vom Netzwerk getrennt, externe Zugänge vorübergehend gesperrt oder einzelne Bereiche kontrolliert abgeschaltet werden.
Gerade in Bauunternehmen ist das wichtig: Büroarbeitsplätze, mobile Geräte auf Baustellen, Cloud-Zugänge und externe Dienstleister sind oft eng miteinander verbunden. Je schneller klar ist, welche Systeme betroffen sind und welche nicht, desto gezielter lässt sich der Angriff eindämmen.
Spuren sichern statt vorschnell aufräumen
So verständlich der Wunsch nach schneller Normalität ist: Betroffene Systeme sollten nicht vorschnell bereinigt oder neu installiert werden. Protokolle, Fehlermeldungen und andere technische Spuren helfen IT-Forensikern, Ursache, Ablauf und Umfang des Angriffs nachzuvollziehen. Wer hier zu früh eingreift, kann wichtige Spuren verändern oder löschen und erschwert damit die Analyse und gezielte Behebung.
Dokumentation hilft im Ernstfall
Parallel dazu sollten alle wichtigen Schritte nachvollziehbar festgehalten werden. Wann wurde die Auffälligkeit bemerkt? Welche Systeme waren betroffen? Wer wurde informiert? Welche Maßnahmen wurden wann eingeleitet?
Diese Dokumentation hilft nicht nur intern. Sie kann später gegenüber Versicherern, Auftraggebern oder Behörden wichtig sein, um das Vorgehen und die getroffenen Maßnahmen nachvollziehbar zu belegen. Gleichzeitig erleichtert sie die technische Analyse und die weitere Aufarbeitung des Vorfalls.
Kommunikation bewusst steuern
Cybervorfälle sorgen schnell für Unsicherheit. Mitarbeitende müssen informiert werden, Kunden oder Geschäftspartner erwarten möglicherweise Auskunft – oder müssen aufgrund gesetzlicher oder vertraglicher Pflichten informiert werden. Umso wichtiger ist eine klare und abgestimmte Kommunikation.
Sinnvoll ist ein zentraler Ansprechpartner oder ein klar definierter Kreis, der Informationen bündelt und weitergibt. So lassen sich widersprüchliche oder vorschnelle Aussagen vermeiden und Informationen auf Grundlage des jeweils gesicherten Kenntnisstands kommunizieren.
Nach dem Vorfall beginnt die eigentliche Arbeit
Ist die akute Lage unter Kontrolle, beginnt die systematische Aufarbeitung. Sicherheitslücken müssen geschlossen, Systeme überprüft und Prozesse angepasst werden. Dabei zeigt sich häufig, an welchen Stellen technische oder organisatorische Schwächen bestanden und welche Maßnahmen verbessert werden müssen.
Auch der Notfallplan gehört auf den Prüfstand: Haben Meldewege funktioniert? Waren Ansprechpartner erreichbar und Zuständigkeiten eindeutig? Welche Maßnahmen haben sich bewährt, wo gab es Verzögerungen? Die Erkenntnisse aus dem Vorfall sollten genutzt werden, um Abläufe und Schutzmaßnahmen gezielt weiterzuentwickeln.
Ein Cyberangriff bleibt ein belastender Vorfall. Entscheidend ist aber nicht nur, ob ein Angriff gelingt, sondern auch, wie vorbereitet ein Unternehmen darauf reagiert. Wer klare Abläufe kennt, Zuständigkeiten festgelegt hat und strukturiert handelt, kann Schäden begrenzen und schneller wieder Kontrolle gewinnen.
ESET Deutschland GmbH
www.eset.de/NIS2
Rechtsanwalt Dr. Jens Eckhardt ist Fachanwalt für Informationstechnologie-Recht, Datenschutz-Auditor (TÜV) und IT-Compliance Manager (TÜV)
© Eckhardt Rechtsanwälte Partnerschaft mbB
Drei Fragen an Rechtsanwalt Dr. Jens Eckhardt
THIS: Was sollten Unternehmen unmittelbar nach einem Cyberangriff aus rechtlicher Sicht zuerst tun – und was möglichst nicht?
Dr. Jens Eckhardt: Mögliche Melde- und Informationspflichten samt Fristen identifizieren und den Vorfall unverzüglich aufklären. Einfach abzuwarten ist keine Option. Im Idealfall hat man sich vorbereitet und hat einen Notfallplan mit Abläufen und Ansprechpartnern entwickelt, den man abarbeiten kann.
THIS: Wann entstehen bei einem IT-Sicherheitsvorfall Meldepflichten gegenüber Behörden oder Informationspflichten gegenüber Kunden und Geschäftspartnern?
Dr. Jens Eckhardt: Bei einem „erheblichen Sicherheitsvorfall“ – was das ist, lässt sich technisch und juristisch prüfen – muss innerhalb von 24 Stunden eine Meldung an das BSI erfolgen. Liegt eine meldepflichtige Verletzung des Schutzes personenbezogener Daten vor, muss diese gemäß DSGVO unverzüglich, aber jedenfalls binnen 72 Stunden der zuständigen Datenschutzaufsichtsbehörde gemeldet werden.
THIS: Wann kann aus einem Cybervorfall auch ein persönliches Haftungsrisiko für die Geschäftsleitung entstehen?
Dr. Jens Eckhardt: Persönliche Haftung droht, wenn die Geschäftsleitung ihre Pflichten verletzt und keine angemessenen Schutzmaßnahmen veranlasst hat. Maßstab sind Stand der Technik, Risiken und finanzielle Möglichkeiten. Führt ein Angriff zur Insolvenz, ist zudem der rechtzeitige Insolvenzantrag kritisch. Vorstand oder Geschäftsführer müssen sich selbst kümmern, IT-Sicherheit lässt sich nicht einfach wegdelegieren.
Claudia Bingel ist Head of Real Estate Construction beim Versicherungsmaklerhaus MRH Trowe
© MRH Trowe
Drei Fragen an Claudia Bingel
THIS: Welche ersten Schritte sollten Unternehmen nach einem Cyberangriff einleiten, damit Versicherungsschutz und Schadenbearbeitung möglichst reibungslos funktionieren?
Claudia Bingel: Unternehmen sollten den Vorfall unverzüglich dem Cyberversicherer melden, die vorgesehenen Notfallprozesse aktivieren, Schäden begrenzen, Beweise sichern und alle Maßnahmen dokumentieren. Die frühzeitige Einbindung von IT-Forensik- und Krisenexperten unterstützt die Ursachenanalyse und beschleunigt die Regulierung.
THIS: Welche typischen Fehler erschweren im Ernstfall die Regulierung?
Claudia Bingel: Häufige Ursachen sind verspätete Schadensmeldungen, unvollständige Angaben und mangelnde Dokumentation. Probleme entstehen zudem, wenn Systeme vor der Ursachenanalyse neu aufgesetzt oder Daten überschrieben werden. Kritisch sind auch Abweichungen zwischen den im Antrag angegebenen und den tatsächlich umgesetzten Sicherheitsmaßnahmen.
THIS: Welche Unterlagen oder Nachweise sollten Unternehmen im Ernstfall möglichst schnell griffbereit haben?
Claudia Bingel: Wichtig sind der Versicherungsvertrag einschließlich Notfallkontakten, Netzwerk- und Systemprotokolle, Backup-Dokumentationen sowie Nachweise zu Sicherheitsmaßnahmen. Hilfreich sind außerdem Notfall- und Wiederanlaufpläne, Vorfallsprotokolle und gegebenenfalls Meldungen an Behörden. Diese Unterlagen erleichtern Ursachenanalyse, Schadenbewertung und Regulierung.
Ein Cyberangriff kommt selten mit Vorwarnung. Umso wichtiger ist ein Notfallplan, der Abläufe, Zuständigkeiten und Ansprechpartner bereits im Vorfeld festlegt. Das spart im Ernstfall wertvolle Zeit und hilft, Schäden zu begrenzen:
IT regelmäßig überprüfen
Server, Cloud-Dienste, Zugriffsrechte, Sicherheitssoftware und Datensicherungen sollten regelmäßig kontrolliert und an neue Risiken angepasst werden. Dazu gehört auch ein Wiederherstellungstest: Lassen sich gesicherte Daten und Backups im Ernstfall tatsächlich einspielen?
Externe Hilfe frühzeitig festlegen
Spezialisierte IT-Sicherheitsdienstleister und Forensik-Partner sollten feststehen, bevor man sie braucht. Je nach Unternehmen sollten auch Ansprechpartner für rechtliche Fragen und die Cyberversicherung hinterlegt sein.
Zuständigkeiten und Meldewege festlegen
Wer informiert die Geschäftsleitung, den IT-Dienstleister, Mitarbeitende oder betroffene Partner? Wer prüft mögliche Meldepflichten gegenüber Behörden? Zuständigkeiten, Meldewege und wichtige Fristen sollten im Notfallplan klar definiert sein.
Notfallkontakte griffbereit halten
Wichtige Telefonnummern und Ansprechpartner müssen auch dann verfügbar sein, wenn zentrale Systeme nicht erreichbar sind – etwa auf Papier oder in einem sicheren Offline-Speicher.
Den Ernstfall durchspielen
Ein Notfallplan muss sich in der Praxis bewähren. Regelmäßige Probeläufe zeigen, ob Ansprechpartner erreichbar, Zuständigkeiten eindeutig und Abläufe praktikabel sind. So lassen sich Schwachstellen erkennen und beheben, bevor der Ernstfall eintritt.
