Cyberangriff auf das Land Berlin:
Was Unternehmen aus den ersten 72 Stunden einer Cyberkrise lernen können
Der aktuelle Cybervorfall im Berliner Landesnetz zeigt, wie schnell aus einem technischen Sicherheitsereignis eine umfassende Organisations- und Rechtskrise werden kann. Im Zuge laufender forensischer Untersuchungen wurden weitere Datenabflüsse festgestellt; betroffen sein könnten auch personenbezogene oder nicht öffentliche Daten. Parallel ermitteln Strafverfolgungs- und Sicherheitsbehörden, während der Krisenstab weiterarbeitet.
Für Unternehmen liegt die wesentliche Erkenntnis nicht in den technischen Einzelheiten des Falls. Sie lautet: Ein Cyberangriff ist nicht allein ein Problem der IT. Er betrifft innerhalb kurzer Zeit Geschäftsführung, Datenschutz, Compliance, Kommunikation, Versicherung und – bei Datendiebstahl oder Erpressung – auch das Strafrecht.
Wenn Systeme ausfallen, müssen Entscheidungen vorbereitet sein
Ob Ransomware, manipulierte Zahlungsanweisung, kompromittiertes E-Mail-Postfach oder Datenabfluss: In der ersten Phase eines Vorfalls fehlen häufig belastbare Informationen. Dennoch müssen Entscheidungen getroffen werden.
Wer koordiniert den Vorfall? Welche Systeme werden abgeschaltet? Welche Daten könnten betroffen sein? Welche externen Dienstleister müssen eingebunden werden? Muss eine Meldung an die Datenschutzaufsicht geprüft werden? Ist der Versicherer zu informieren? Soll Strafanzeige erstattet werden?
Unklare Zuständigkeiten führen in dieser Situation leicht zu Verzögerungen, widersprüchlicher Kommunikation und vermeidbaren Risiken. Deshalb gehört die Vorbereitung auf Cybervorfälle in die Verantwortung der Geschäftsleitung.
Die fünf ersten Fragen für Unternehmen
Unternehmen sollten vor einem Vorfall beantworten können:
- Wer ist im Krisenfall entscheidungsbefugt? IT, Geschäftsführung, Datenschutz, Kommunikation und Fachabteilungen benötigen klare Rollen und Vertretungsregelungen.
- Wie werden Informationen und digitale Beweise gesichert? Protokolle, E-Mails, Auffälligkeiten und Entscheidungen müssen nachvollziehbar dokumentiert werden. Das ist für die technische Aufklärung ebenso wichtig wie für Versicherungs- oder Strafverfahren.
- Welche Stellen müssen eingebunden werden? Abhängig vom Vorfall können IT-Forensik, Cyberversicherung, Datenschutzbeauftragte, externe Kommunikation und Rechtsberatung gleichzeitig erforderlich sein.
- Welche rechtlichen Pflichten sind zu prüfen? Insbesondere bei einem möglichen Abfluss personenbezogener Daten sind Melde- und Informationspflichten sorgfältig zu bewerten. Unternehmen sollten weder vorschnell kommunizieren noch Fristen aus dem Blick verlieren.
- Wie werden die Interessen des Unternehmens strafrechtlich gewahrt? Bei Datendiebstahl, digitaler Erpressung oder Zahlungsbetrug kann eine Strafanzeige sinnvoll oder erforderlich sein. Digitale Beweise müssen dabei frühzeitig gesichert und die Kommunikation mit Ermittlungsbehörden strategisch vorbereitet werden.
Cyberkrise ist eine Führungsaufgabe
Die technische Wiederherstellung der Systeme ist unverzichtbar. Sie löst aber nicht alle Fragen. Geschäftsführungen müssen entscheiden, welche Geschäftsprozesse Priorität haben, wie Kunden und Vertragspartner informiert werden, welche Risiken dokumentiert werden und wie das Unternehmen handlungsfähig bleibt.
Gerade mittelständische Unternehmen benötigen dafür keine überdimensionierte Krisenorganisation. Sie brauchen einen praxistauglichen Plan: klare Ansprechpartner, erreichbare externe Partner, abgestimmte Eskalationswege und eine rechtlich belastbare Entscheidungsstruktur.
Vorsorge schafft Entscheidungsfähigkeit
Cyberresilienz beginnt nicht erst bei der technischen Absicherung. Sie beginnt auch mit der Frage, ob ein Unternehmen im Ernstfall weiß, wer was entscheidet und wie diese Entscheidung rechtlich, organisatorisch und kommunikativ umgesetzt wird.
Der Berliner Vorfall ist deshalb nicht nur eine Nachricht über einen Angriff auf eine Verwaltung. Er ist eine Erinnerung daran, dass digitale Sicherheit heute Teil verantwortungsvoller Unternehmensführung ist.
Heike Mareck ist Anwältin. Ihre Tätigkeitsschwerpunkte liegen in der Beratung, Vertragsgestaltung und Vertretung auf dem Gebiet des IT-, Medien-, Datenschutz-, Arbeitsrechts und dem Hinweisgeberschutz. Als externe Datenschutzbeauftragte betreut sie zahlreiche Unternehmen. Daneben ist sie als Referentin sowie als Interviewpartnerin und (Gast-)Autorin sehr gefragt und steht für alle diese Tätigkeiten gern zur Verfügung.