Cyber Incident Response 72h

---
name: cyber-incident-response-72h
description: Strukturierte Sofortmassnahmen bei aktivem Cyber-Vorfall — Hacker-Angriff Ransomware Datenexfiltration Insider-Threat. Phase 1 Sofort-Eindaemmung Netztrennung Forensik-Sicherung. Phase 2 DSGVO-Meldung Art. 33 72 Stunden bei Risiko Betroffenen-Information Art. 34 bei hohem Risiko NIS-2 24-Stunden-Fruehwarnung 72-Stunden-Vorfallsmeldung. Phase 3 Strafanzeige § 202a § 303a § 303b StGB Cybersecurity-Versicherer-Meldung Bestellung Forensik-Dienstleister. Phase 4 Kommunikation Kunden Mitarbeiter Aufsichtsbehoerde. Beweissicherung Chain-of-Custody Mitteilung in Klarsprache fuer Fuehrungsorgan.
---

# Cyber-Incident-Response 72 Stunden

## Zweck

Bei aktivem Cyber-Vorfall sind die ersten 72 Stunden entscheidend — DSGVO-Meldung NIS-2-Meldung Beweissicherung Versicherung Strafanzeige. Strukturierte Sofortmaßnahmen.

## Phase 0 — Erstkontakt

### Anruf vom Mandanten

- "Wir wurden gehackt" / "Ransomware-Forderung erhalten" / "Mitarbeiter hat Daten exfiltriert"
- **Telefon-Sofort** Termin festlegen
- Anwesenheit IT-Leitung und Geschäftsführer sicherstellen

### Erste Fragen am Telefon

- **Wann** entdeckt?
- **Was** wurde entdeckt? Ransomware-Bildschirm Erpresser-Mail ungewöhnliche Logs?
- **Wer** weiß schon davon?
- **Systeme noch im Betrieb** oder bereits abgeschaltet?
- **Backup-Verfügbarkeit** geprüft?

## Phase 1 — Eindämmung (erste Stunde)

### Sofortmaßnahmen IT

- **Betroffene Systeme** vom Netzwerk isolieren (Switch-Port abschalten oder Kabel ziehen) — nicht ausschalten (Speicher-Forensik!)
- **Veränderungen vermeiden** (Logs Festplatten Speicher Original behalten)
- **Forensik-Dienstleister** mit AVV-Vorlage kontaktieren
- **Forensische Sicherung** RAM-Dump Festplatten-Image Logs

### Vorsicht bei Ransomware

- **Lösegeld-Zahlung** prinzipiell **nicht** empfohlen — keine Garantie, möglicherweise sanctioned entity (Sanktionsrecht!)
- BSI rät davon ab
- Versicherer-Konditionen

### Krisenstab einberufen

- Geschäftsführer
- IT-Leitung
- Datenschutz-Beauftragter
- Anwalt
- Kommunikation
- Forensik-Dienstleister

## Phase 2 — DSGVO-Meldung (binnen 72 Stunden)

### Pflichtprüfung Art. 33 DSGVO

- **Datenschutz-Verletzung** vorliegt
- **Risiko für Rechte und Freiheiten betroffener Personen**
- Bei Bejahung Meldepflicht binnen 72 Stunden

### Inhalt Meldung

- Art der Verletzung (Vertraulichkeits- Integritäts- Verfügbarkeits-Verlust)
- Kategorien und Anzahl Betroffener
- Kategorien und Anzahl betroffener Datensätze
- Kontaktdaten DSB
- Wahrscheinliche Folgen
- Bereits ergriffene oder vorgeschlagene Maßnahmen

### Bei unvollständigen Informationen

- Vorläufige Meldung möglich
- Nachreichung unverzüglich

### Adressat

- **Zuständige Datenschutz-Aufsichtsbehörde** (Sitz oder Schwerpunkt-Niederlassung)
- Online-Meldeportal oder formloser Brief

### Bei hohem Risiko — Information Betroffener Art. 34 DSGVO

- **Unverzüglich** ohne Frist-Zahl
- Inhalt:
  - Beschreibung Vorfall
  - Mögliche Folgen
  - Maßnahmen zur Schadensbegrenzung
  - Empfehlung für Betroffene (Passwort ändern Konto-Beobachtung)

## Phase 3 — NIS-2-Meldung (bei KRITIS)

### Anwendbarkeit

- Wenn Mandant unter NIS-2-Anwendungsbereich fällt
- Besonders wichtige oder wichtige Einrichtung nach NIS2UmsuCG (in Kraft seit 06.12.2025) — Rechtsgrundlage § 32 BSIG n.F.

### Fristen § 32 BSIG n.F.

- **24 Stunden** Frühwarnung (unverzüglich nach Kenntnis — Verdacht böswillige Handlung, grenzüberschreitende Auswirkungen)
- **72 Stunden** Folgemeldung (Bewertung Schweregrad, Auswirkungen, Kompromittierungsindikatoren)
- **Ein Monat** Abschlussbericht (Ursachenanalyse, Maßnahmen)
- Zwischenmeldung auf Nachfrage des BSI

### Adressat

- BSI über Online-Portal
- Bei sektorspezifischer Aufsichtsbehörde dort

## Phase 4 — Strafanzeige

### Tatbestände

- **§ 202a StGB** Ausspähen von Daten
- **§ 202b StGB** Abfangen von Daten
- **§ 202c StGB** Vorbereiten Ausspähens
- **§ 202d StGB** Datenhehlerei
- **§ 263a StGB** Computer-Betrug
- **§ 303a StGB** Datenveränderung (Ransomware!)
- **§ 303b StGB** Computer-Sabotage
- **§ 269 StGB** Fälschung beweiserheblicher Daten

### Anzeige beim Polizeipräsidium oder StA

- **Zentralstelle Cybercrime** der Generalstaatsanwaltschaft
- Datenträger und Logs als Beweismittel beifügen (Kopien!)
- Mandant als Geschädigter

### Zeugnis-Verweigerungsrechte beachten

- IT-Mitarbeiter Aufklärungs-Pflicht?
- Geschäftsgeheimnisse / Datenschutz

## Phase 5 — Versicherer

### Cyber-Versicherung

- Vorhanden?
- Vertragspartner kontaktieren
- Selbstbehalt
- Notfallnummer
- Forensik-Dienstleister aus Versicherer-Liste

### Allgemeine Berufshaftpflicht

- D&O-Versicherung Geschäftsführer

## Phase 6 — Forensik

### Aufgabe Forensik-Dienstleister

- **Sicherung** Beweismittel
- **Analyse** Angriffsvektor
- **Schadensumfang** bestimmen
- **Restore-Hilfe**
- **Empfehlungen** für Schwachstellen-Beseitigung

### Chain-of-Custody

- Beweissicherungs-Protokoll
- Zeitstempel
- Hash-Werte
- Unterschriften aller Beteiligten

### AVV mit Forensik-Dienstleister

- Art. 28 DSGVO
- Bei Drittstaaten-Übermittlung Standard-Vertragsklauseln

## Phase 7 — Kommunikation

### Intern

- Mitarbeiter-Information (vorab und vollständig)
- Betriebsrat-Information § 87 BetrVG bei Mitarbeiter-Überwachung

### Extern

- Kunden-Information (bei Auswirkungen auf Kundendaten)
- Geschäftspartner
- Pressemitteilung (proaktive Strategie häufig besser als reaktive)

### Schweigen vs. Kommunikation

- Bei DSGVO-Pflicht — Kommunikation Pflicht
- Bei NIS-2-Pflicht — Behörden-Information Pflicht
- Bei reputationsbedrohlich — proaktive Kommunikation häufig empfohlen

## Phase 8 — Nachgang

### Lessons Learned

- Schwachstellen-Beseitigung
- Compliance-Anpassung
- Mitarbeiter-Schulung
- Penetrations-Test extern

### Dokumentation

- Vollständige Akte mit Zeit-Linie
- Beweissicherung für mögliche Schadensersatz-Verfahren
- Vorlage für Behörden / Versicherer / Gericht

## Schritt-Zeitplan im Eilmodus

| Zeit | Aktion |
|---|---|
| Stunde 0 | Telefon-Sofort Mandant — Eindämmungs-Empfehlung |
| Stunde 1 | Krisenstab einberufen — Forensik bestellt |
| Stunde 4 | Sicherung läuft Sachverhalts-Aufnahme |
| Stunde 12 | Erste Bewertung DSGVO-Pflicht / NIS-2 |
| Stunde 24 | NIS-2-Frühwarnung wenn anwendbar |
| Stunde 48 | DSGVO-Meldung vorbereitet — finale Abstimmung |
| Stunde 72 | DSGVO-Meldung versandt, NIS-2 Vorfallsmeldung |
| Tag 4–7 | Strafanzeige Kommunikations-Strategie Wiederherstellung |
| Tag 7+ | Forensik-Bericht Lessons Learned |

## Ausgabe

- `cyber-incident-{az}.md` mit Zeitachse
- Krisenstab-Liste
- DSGVO-Meldungs-Entwurf
- NIS-2-Meldungs-Entwurf wenn anwendbar
- Strafanzeige-Entwurf
- Forensik-Auftrag mit AVV-Klausel
- Kommunikations-Plan
- Lessons-Learned-Memo nach Abschluss

## Quellen

- DSGVO Art. 28 32 33 34
- StGB §§ 202a–202d 263a 269 303a 303b
- NIS2UmsuCG (in Kraft seit 06.12.2025) — Meldepflichten § 32 BSIG n.F. Sanktionen § 65 BSIG n.F.
- BetrVG § 87
- BSI-Empfehlungen
- DSK-Empfehlungen
- Marly Softwarerecht
- Schneider IT-Recht