Ransomware-Angriff – was Unternehmen unbedingt beachten müssen
Ein Ransomware-Angriff betrifft nicht nur die IT, sondern auch viele rechtliche Pflichten. Unternehmen müssen schnell handeln – sowohl technisch als auch juristisch.
Technische Sofortmaßnahmen
Nach einem Angriff sollten betroffene Systeme sofort isoliert, Netzverbindungen getrennt und IT-Forensiker eingeschaltet werden. Wichtig ist die Beweissicherung, um Ursachen und Verantwortlichkeiten klären und Ansprüche später rechtssicher belegen zu können.
Rechtliche Pflichten
Wenn personenbezogene Daten betroffen sind, gilt die Meldepflicht nach DSGVO:
- Innerhalb von 72 Stunden muss die Datenschutzbehörde informiert werden.
- Bei hohem Risiko müssen auch die betroffenen Personen benachrichtigt werden.
Weitere Meldepflichten ergeben sich z. B. aus dem BSI-Gesetz, der NIS2-Richtlinie oder dem Digital Operational Resilience Act (DORA) – teilweise mit noch kürzeren Fristen.
Zudem können Vertragspartner und Versicherer informiert werden müssen, um Schadenersatzforderungen oder den Verlust des Versicherungsschutzes zu vermeiden. Auch eine Strafanzeige kann sinnvoll sein, etwa um Ermittlungen zu ermöglichen oder Ansprüche gegenüber Tätern und Versicherungen zu sichern.
Haftung und Bußgelder
Unternehmen drohen Bußgelder, wenn sie Meldepflichten verletzen oder keine angemessenen Sicherheitsmaß-nahmen getroffen haben. Zivilrechtlich können Betroffene oder Geschäftspartner Schadensersatz fordern.
Prävention ist Pflicht
Um vorbereitet zu sein, sollten Unternehmen:
- Notfall- und Kommunikationspläne entwickeln,
- Verantwortlichkeiten klar festlegen,
- Verträge mit Dienstleistern und Auftragsverarbeitern prüfen,
- regelmäßige Sicherheits- und Phishing-Schulungen durchführen,
- und eine Cyber-Versicherung abschließen.
Fazit
Ein Ransomware-Angriff ist immer auch ein rechtlicher Krisenfall. Wer klare Abläufe, dokumentierte
Prozesse und rechtliche Begleitung vorbereitet, kann im Ernstfall schnell, rechtssicher und kontrolliert reagieren – und so Schäden und Reputationsverluste minimieren.