Der Ernstfall: Meldefristen und die ersten Stunden nach einem Cybervorfall

Wenn es ernst wird, suchen Ihre Leute nicht die perfekte Anweisung, sondern Klarheit und Präsenz. Und die Uhr läuft ab dem Moment, in dem Sie von einem erheblichen Vorfall Kenntnis erlangen.

Der Ernstfall ist ein Führungsmoment, kein IT-Ticket

Wenn es ernst wird, suchen Ihre Leute nicht die perfekte Anweisung, sondern Klarheit und Präsenz. Und die Uhr läuft ab dem Moment, in dem Sie von einem erheblichen Vorfall Kenntnis erlangen. Das neue Cybersicherheitsrecht schreibt eine gestaffelte Meldung vor, und die Fristen sind knapp. Wer sie erst im Ernstfall zum ersten Mal liest, verliert die entscheidenden ersten Stunden.

Was überhaupt „erheblich" ist

Nicht jeder Vorfall ist meldepflichtig. Melden müssen Sie einen erheblichen Vorfall. Erheblich ist er, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann – oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die Formulierung „oder verursachen kann" ist wichtig: Es zählt nicht nur der eingetretene Schaden, sondern das ernsthafte Potenzial. Im Zweifel ist die Schwelle also eher niedrig anzusetzen.

Die drei Fristen, die Sie auswendig kennen sollten

Ab Kenntnis des erheblichen Vorfalls gilt:

• Innerhalb von 24 Stunden – die Frühwarnung. Eine erste, kurze Meldung an die zuständige Stelle. Sie soll unter anderem sagen, ob der Verdacht besteht, dass der Vorfall auf eine rechtswidrige oder böswillige Handlung zurückgeht oder grenzüberschreitende Auswirkungen haben könnte. Mehr wird zu diesem Zeitpunkt nicht erwartet – Geschwindigkeit vor Vollständigkeit.
• Innerhalb von 72 Stunden – die Meldung. Jetzt aktualisieren Sie die Frühwarnung, liefern eine erste Bewertung des Vorfalls einschließlich Schweregrad und Auswirkungen und, soweit möglich, die technischen Anhaltspunkte.
• Innerhalb eines Monats – der Abschlussbericht. Er enthält eine ausführliche Beschreibung des Vorfalls, seines Schweregrads und seiner Auswirkungen, die Art der Bedrohung und die zugrunde liegende Ursache sowie die getroffenen und laufenden Gegenmaßnahmen.

Dauert der Vorfall zum Zeitpunkt des Abschlussberichts noch an, übermitteln Sie zunächst einen Fortschrittsbericht und den Abschlussbericht dann spätestens einen Monat nach Beendigung. Auf Ersuchen kann außerdem ein Zwischenbericht verlangt werden. Zur Einordnung: Wer die Meldung eines erheblichen Vorfalls und die damit verbundenen Berichtspflichten nicht erfüllt, begeht eine Verwaltungsübertretung.

Der Vorteil, den viele verschenken

Die Meldung ist keine Einbahnstraße. Die zuständige Stelle antwortet auf Ihre Frühwarnung – im Regelfall binnen 24 Stunden – und kann Ihnen Orientierungshilfe und operative Beratung zur Bewältigung geben. Bei Verdacht auf einen strafrechtlichen Hintergrund gibt es zusätzlich Hinweise für die Meldung bei den Strafverfolgungsbehörden. Die Meldepflicht ist also auch ein Zugang zu Unterstützung – vorausgesetzt, Sie nutzen sie rechtzeitig.

Ihr Notfall-Ablauf auf einer Seite

Bereiten Sie das jetzt vor, nicht im Ernstfall:

1. Kenntnis festhalten. Notieren Sie Datum und Uhrzeit, ab wann Ihnen der Vorfall bekannt war. Ab hier laufen die Fristen – die Dokumentation dieses Zeitpunkts ist Ihr Anker.
2. Erheblichkeit bewerten. Schwerwiegende Störung, finanzieller Verlust, Schaden für Dritte – schon möglich? Wenn ja, geht die Frühwarnung raus.
3. Frühwarnung in 24 Stunden. Kurz, ehrlich, mit dem Hinweis auf möglichen böswilligen oder grenzüberschreitenden Charakter. Lieber früh und unvollständig als spät und perfekt.
4. Meldung in 72 Stunden. Erste Bewertung, Schweregrad, technische Anhaltspunkte nachreichen.
5. Betroffene informieren. Wenn der Vorfall Ihre Leistung beeinträchtigt, unterrichten Sie betroffene Kunden – und teilen Sie mit, was sie selbst tun können.
6. Abschlussbericht in einem Monat. Ursache, Auswirkungen, Gegenmaßnahmen. Bei andauerndem Vorfall zuerst ein Fortschrittsbericht.

Der wichtigste Vorbereitungsschritt ist unspektakulär: Legen Sie heute fest, wer im Ernstfall die Frühwarnung auslöst, wer entscheidet und wo die Kontaktdaten liegen. Eine Meldekette, die erst im Vorfall erfunden wird, hält die 24-Stunden-Frist nicht.