Wenn der Cyberangriff zur Chefsache wird

Veröffentlicht am 12.11.2026

Ein Angriff auf die IT ist nicht nur ein Problem für die Technik. Seit Dezember 2025 gilt in Deutschland ein neues Gesetz, das BSI-Gesetz (das Gesetz zum Bundesamt für Sicherheit in der Informationstechnik). Es nimmt auch die Chefetage in die Pflicht. Ob Ihr Betrieb erfasst ist, hängt von der Branche und der Größe ab. Ab 50 Beschäftigten oder mehr als zehn Millionen Euro Jahresumsatz und Bilanzsumme kann es schon zutreffen.

Was verlangt das Gesetz von der Geschäftsleitung?

Die Geschäftsleitung muss Schutzmaßnahmen umsetzen und überwachen. Dazu gehören ein Plan für Notfälle, regelmäßige Backups (Sicherungskopien Ihrer Daten), die Sicherheit der Zulieferer und die Multi-Faktor-Authentifizierung. Damit ist ein zweiter Nachweis gemeint, zum Beispiel ein Code auf dem Handy, zusätzlich zum Passwort. Wichtig: Die Maßnahmen müssen auch dokumentiert werden.

Warum fragen Behörden nach der Vorgeschichte?

Nach einem Angriff fragen Behörden zuerst, was die Leitung vorher veranlasst hat. Kam es zu Fehlern, kann ein Bußgeld auch die Verantwortlichen persönlich treffen. Deshalb zählen Ihre Unterlagen von Anfang an.

Wie läuft es nach einem Angriff ab?

Bei einem Angriff mit Ransomware (Erpressungssoftware, die Daten verschlüsselt) stellt die IT die Systeme wieder her. Gleichzeitig läuft die Forensik, also die Spurensuche: Wie kam der Angreifer hinein? Dann folgen die Meldungen. Laut Gesetz muss ein erheblicher Vorfall binnen 24 Stunden früh gemeldet werden, binnen 72 Stunden bewertet und spätestens einen Monat danach abschließend gemeldet werden. Sind personenbezogene Daten betroffen, verlangt die Datenschutz-Grundverordnung meist eine Meldung binnen 72 Stunden.

Was gehört in die Dokumentation?

Halten Sie schriftlich fest: - den Zustand der Backups, - die Ausfallkosten, - die Einschätzung der Forensik, - die Abstimmung mit Ihrem Cyberversicherer, - eine Prüfung, ob Zahlungsempfänger auf einer EU-Sanktionsliste stehen.

Eine Lösegeldzahlung ist nicht ausdrücklich verboten. Sie kann aber strafbar sein, wenn Sanktionen verletzt werden, und ist ohne Prüfung von Alternativen riskant. Ziehen Sie früh einen Anwalt für Strafrecht hinzu.

Was bedeutet das für Sie?

Machen Sie Verantwortung klar: Wer kümmert sich um die IT-Sicherheit, mit welchem Budget und wem berichtet diese Person regelmäßig? Eine schriftliche Aufgabenbeschreibung schützt auch die Person, die diese Aufgabe übernimmt. Dass Angriffe auch Betriebe mit Kühltechnik treffen, zeigt der Beitrag Supermärkte in Europa: Wenn Angreifer die Kühlung abschalten.

Quelle: https://www.it-daily.net/it-sicherheit/cloud-security/cyberangriff-zur-chefsache-wird