Montagmorgen, 6:40 Uhr: Die Server sind verschlüsselt, ein Erpresserschreiben liegt im Posteingang der Geschäftsleitung. Ab diesem Moment laufen mehrere gesetzliche Fristen gleichzeitig – und Fehler in den ersten Stunden entscheiden über Bußgeldhöhe, Versicherungsschutz und persönliche Haftung der Geschäftsführung.
Seit Dezember 2025 verschärft das NIS2-Umsetzungsgesetz die Meldepflichten für rund 29.500 Unternehmen in Deutschland erheblich. Parallel gilt für praktisch jedes Unternehmen mit personenbezogenen Daten die 72-Stunden-Meldefrist der DSGVO. Wer beide Regime nicht kennt, riskiert Bußgelder, Reputationsschäden und Regressansprüche gegen IT-Dienstleister, die im Ernstfall verjähren oder verwirken.
Dieser Beitrag ordnet die rechtlichen Sofortmaßnahmen nach einem Cyber-Angriff ein: Wer muss was, in welcher Frist, an wen melden – und wie sichern Sie Beweise und Regressansprüche gegenüber IT-Dienstleistern von Anfang an ab.
Welche Meldepflichten gelten nach einem IT-Sicherheitsvorfall?
Nach einem Cyber-Angriff greifen je nach Unternehmensgröße und Datenlage zwei getrennte, teils parallel laufende Meldepflichten: die BSI-Meldung nach dem neuen BSI-Gesetz und die DSGVO-Meldung bei Betroffenheit personenbezogener Daten. Beide Fristen laufen unabhängig voneinander und schließen sich nicht gegenseitig aus.
Für die rund 29.500 Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, gilt seit dessen Inkrafttreten am 6. Dezember 2025 eine gestufte Meldepflicht. Betroffene Einrichtungen müssen einen Vorfall innerhalb von 24 Stunden als Frühwarnung an das BSI melden, innerhalb von 72 Stunden folgt eine erste Bewertung mit Details zu Art und Schwere des Vorfalls. Spätestens einen Monat nach dem Vorfall ist ein Abschlussbericht fällig.
Wer nicht zu den NIS2-pflichtigen Sektoren gehört, ist damit nicht automatisch aus der Pflicht: Sobald personenbezogene Daten von Kunden, Beschäftigten oder Geschäftspartnern betroffen sein könnten, greift zusätzlich Art. 33 DSGVO. Danach muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde melden, es sei denn, ein Risiko für Betroffene ist ausgeschlossen. Erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen.
Praxisrelevant: Die NIS2-Betroffenheitsprüfung sollte jedes mittelständische Unternehmen mit mehr als 50 Beschäftigten oder 10 Millionen Euro Umsatz in den erfassten 18 Sektoren durchführen. Die Registrierungsfrist beim BSI-Meldeportal endete bereits am 6. März 2026 – wer noch nicht registriert ist, sollte dies unabhängig vom aktuellen Vorfall nachholen.
Haftet die Geschäftsführung persönlich für den Cyber-Angriff?
Ja, eine persönliche Haftung der Geschäftsleitung ist unter NIS2 gesetzlich verankert, wenn Risikomanagement-Pflichten nach § 30 BSIG-neu missachtet wurden. Das betrifft insbesondere fehlende technische und organisatorische Maßnahmen wie Backup-Strategien, Multi-Faktor-Authentifizierung oder ein dokumentiertes Notfallmanagement.
Unabhängig von NIS2 greift die allgemeine Organhaftung nach § 43 GmbHG beziehungsweise § 93 AktG: Geschäftsführer und Vorstände müssen die Sorgfalt eines ordentlichen Kaufmanns walten lassen. Wurde IT-Sicherheit über Jahre vernachlässigt – veraltete Systeme, fehlende Patches, kein Notfallplan –, kann dies als Pflichtverletzung gewertet werden, die im Innenverhältnis zu Regressansprüchen der Gesellschaft führt.
Die zivilrechtliche Bewertung von Organhaftung in Krisensituationen ist in der Rechtsprechung des BGH grundsätzlich streng: Wer als Geschäftsführer erkennbare Risiken nicht adressiert, haftet auch dann, wenn er das operative Tagesgeschäft delegiert hat. Delegation entbindet nicht von der Überwachungspflicht.
Für die D&O-Versicherung ist der Zeitpunkt der Erstinformation entscheidend. Meldet die Geschäftsführung den Vorfall verspätet oder unvollständig an die Versicherung, kann dies die Leistungspflicht gefährden. Eine lückenlose, zeitnahe Dokumentation aller Schritte – wer wurde wann informiert, welche Maßnahmen wurden ergriffen – ist deshalb auch aus versicherungsrechtlicher Sicht Pflichtprogramm der ersten 48 Stunden.
Praxis-Tipp
Betroffene Einrichtungen müssen einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden als Frühwarnung an das BSI melden, sonst drohen Bußgelder bis zu 10 Millionen Euro.
Wann haftet der IT-Dienstleister für die Datenschutzverletzung?
Der IT-Dienstleister haftet, wenn er als Auftragsverarbeiter im Sinne des Art. 28 DSGVO vertraglich vereinbarte Sicherheitsmaßnahmen nicht umgesetzt hat und dadurch der Sicherheitsvorfall erst möglich wurde. Wichtig für Unternehmen: Die datenschutzrechtliche Verantwortung gegenüber der Aufsichtsbehörde verbleibt grundsätzlich beim Verantwortlichen, also beim Kunden – nicht beim Dienstleister.
Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich. Diese interne Meldepflicht aus Art. 33 Abs. 2 DSGVO ist der Hebel für den Regress: Verzögert der Dienstleister diese Meldung, verkürzt er faktisch die 72-Stunden-Frist des Unternehmens gegenüber der Aufsichtsbehörde und haftet für daraus entstehende Bußgelder und Folgeschäden.
Ein mittelständischer Maschinenbauer aus dem Rheinland hatte seinen externen IT-Dienstleister erst vier Tage nach dessen Kenntnis vom Ransomware-Befall informiert. Die verspätete DSGVO-Meldung des Unternehmens gegenüber der Aufsichtsbehörde ließ sich in diesem Fall über den Auftragsverarbeitungsvertrag (AVV) auf den Dienstleister zurückführen, weil dessen Meldepflicht nach Art. 28 DSGVO vertraglich dokumentiert war.
Voraussetzung für einen belastbaren Regressanspruch ist ein sauberer AVV nach Art. 28 DSGVO mit klaren Meldefristen, Eskalationswegen und Haftungsobergrenzen. Fehlt eine solche Klausel oder ist sie zu vage formuliert, wird der Nachweis eines Pflichtenverstoßes des Dienstleisters vor Gericht deutlich schwerer. Unternehmen sollten bestehende AVV-Verträge nach einem Vorfall zwingend juristisch auf Lücken prüfen lassen, bevor Fristen für zivilrechtliche Ansprüche verstreichen.
Wichtig zu wissen
Bei einer Datenschutzverletzung nach Art. 33 DSGVO gilt unabhängig von der NIS2-Betroffenheit eine Meldefrist von grundsätzlich 72 Stunden gegenüber der zuständigen Aufsichtsbehörde.
So sichern Sie Ihre Position in den ersten 48 Stunden
Die ersten 48 Stunden entscheiden über Beweissicherung, Fristwahrung und Haftungsvermeidung – hier zählt strukturiertes Vorgehen mehr als Schnelligkeit ohne Plan. Wer ungeprüft Systeme neu aufsetzt oder Backups überschreibt, vernichtet oft die Beweise für Versicherungsanspruch und späteren Regress gegen den IT-Dienstleister.
Erstens: Forensische Sicherung vor Wiederherstellung. Betroffene Systeme isolieren, Logfiles und Speicherabbilder sichern, bevor Server neu aufgesetzt werden. Zweitens: Fristenkalender anlegen. 24-Stunden-Frühwarnung ans BSI, 72-Stunden-Meldung an die Datenschutzaufsicht, ein Monat für den Abschlussbericht – alle Fristen ab dem Moment der Kenntnisnahme, nicht ab dem tatsächlichen Angriffszeitpunkt.
Drittens: Betroffene Personen prüfen. Besteht ein hohes Risiko für Rechte und Freiheiten von Kunden oder Beschäftigten, verlangt Art. 34 DSGVO zusätzlich eine direkte Benachrichtigung der Betroffenen. Viertens: Vertragsunterlagen mit IT-Dienstleistern sichten. AVV, SLA und Haftungsklauseln legen fest, wer für welchen Teil des Schadens einsteht – diese Unterlagen sollten unmittelbar nach Bekanntwerden des Vorfalls zusammengestellt werden, nicht erst bei der Schadensregulierung.
Fünftens: Rechtliche Bewertung parallel zur technischen Bearbeitung einholen. Ob eine Meldepflicht überhaupt besteht, ob Ausnahmen greifen und wie die Kommunikation gegenüber Aufsichtsbehörden, Versicherung und Vertragspartnern formuliert wird, sollte nicht allein der IT-Verantwortliche entscheiden. Eine frühzeitige anwaltliche Einschätzung reduziert das Risiko widersprüchlicher Aussagen gegenüber verschiedenen Stellen.
Welche Bußgelder und Folgen drohen bei Verstößen?
Verstöße gegen die NIS2-Meldepflichten können mit Bußgeldern bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden – der Bußgeldrahmen orientiert sich damit erkennbar an der DSGVO-Systematik. Zuständige Aufsichts- und Bußgeldbehörde ist primär das BSI, das seit Inkrafttreten des Gesetzes aktiv Aufsichtsmaßnahmen ergreift.
Parallel drohen bei DSGVO-Verstößen Bußgelder nach Art. 83 DSGVO, die je nach Schwere des Verstoßes und Unternehmensgröße empfindlich ausfallen können. Beide Bußgeldrahmen können bei einem einzigen Vorfall kumulativ zur Anwendung kommen, wenn sowohl die BSI-Meldepflicht als auch die DSGVO-Meldepflicht verletzt wurden.
Neben den behördlichen Sanktionen drohen zivilrechtliche Schadensersatzansprüche Betroffener nach Art. 82 DSGVO sowie vertragliche Ansprüche von Geschäftspartnern, deren Daten oder Systeme durch den Vorfall in Mitleidenschaft gezogen wurden. Auch Reputationsschäden gegenüber Kunden und Lieferanten sind in der Praxis oft gravierender als das eigentliche Bußgeld.
Für besonders wichtige Einrichtungen kommt zusätzlich die Nachweispflicht nach § 39 BSIG hinzu: Innerhalb von drei Jahren nach Inkrafttreten muss das BSI durch Audits oder Zertifizierungen den Nachweis erhalten, dass Risikomanagementmaßnahmen wirksam umgesetzt wurden. Wer diesen Nachweis nicht erbringen kann, riskiert neben dem Bußgeld auch aufsichtsrechtliche Anordnungen bis hin zur persönlichen Untersagung der Geschäftsleitung.
Fazit
Ein Cyber-Angriff ist für den Mittelstand längst nicht mehr nur ein IT-Problem, sondern ein Compliance-Ereignis mit engen Fristen, persönlicher Haftung der Geschäftsleitung und potenziellen Regressansprüchen gegenüber Dienstleistern. Wer die Meldepflichten nach BSI-Gesetz und DSGVO kennt und in den ersten Stunden strukturiert handelt, begrenzt Bußgeldrisiko und Schaden erheblich.
Entscheidend ist die Vorbereitung vor dem Ernstfall: ein dokumentierter Meldeprozess, saubere Auftragsverarbeitungsverträge mit IT-Dienstleistern und eine klare interne Zuständigkeit sind der wirksamste Schutz, wenn die Uhr einmal zu laufen beginnt.
