Das ist mir unangenehm. Erfährt jemand davon, dass wir betroffen waren?
Von uns nicht. Kein Name in einer Referenzliste, keine Fallgeschichte beim nächsten Kunden, kein Beitrag in sozialen Netzwerken. Unabhängig davon kann es sein, dass Sie selbst informieren müssen – die Aufsichtsbehörde, in bestimmten Fällen auch betroffene Kunden oder Mitarbeitende. Das ist etwas anderes als Reden aus freien Stücken, und wir bereiten es mit Ihnen so vor, dass es sachlich bleibt.
Wir haben tagelang selbst probiert. Ist es jetzt zu spät für Hilfe?
Nein. Es wird selten leichter, aber wir haben noch keinen Fall erlebt, in dem nichts mehr zu retten war. Rufen Sie an, auch wenn schon eine Woche vergangen ist – und erzählen Sie ruhig, was Sie schon versucht haben. Das hilft uns, wir bewerten es nicht. Fast alle warten erst einmal ab, das ist völlig normal.
Ab wann laufen die 72 Stunden genau?
Ab dem Zeitpunkt, an dem Ihnen die Verletzung des Schutzes personenbezogener Daten bekannt wird – nicht ab dem Angriff und nicht ab dem Abschluss der Untersuchung. Wenn Ihre Buchhaltung Montag um 8 Uhr merkt, dass Dateien verschlüsselt sind, ist das der Startpunkt. Deshalb der Hinweis weiter oben, die Uhrzeit sofort zu notieren.
Müssen wir wirklich melden, wenn gar keine Daten abgeflossen sind?
Nicht jeder Vorfall ist meldepflichtig – aber die Meldepflicht greift weiter, als viele denken. Auch der Verlust der Verfügbarkeit, also verschlüsselte Personaldaten, kann eine meldepflichtige Verletzung sein, selbst wenn niemand sie kopiert hat. Entscheidend ist eine Einzelfallbetrachtung. Wenn Sie zu dem Ergebnis kommen, dass nicht gemeldet werden muss, sollten Sie diese Begründung dokumentieren.
Übernehmen Sie die Meldung für uns?
Wir bereiten sie mit Ihnen vor: Wir gehen durch, ob eine Meldung fällig ist, sammeln die Angaben und formulieren sie so, dass sie für die Behörde nachvollziehbar sind. Absenden muss die Meldung der Verantwortliche selbst – also Ihr Unternehmen. Sie stehen dabei aber nicht allein vor dem Formular, sondern haben eine feste Ansprechpartnerin an der Seite.
Was passiert, wenn wir die Frist verpassen?
Eine verspätete Meldung ist deutlich besser als gar keine. Die Verordnung sieht ausdrücklich vor, dass eine Meldung nach mehr als 72 Stunden mit einer Begründung für die Verzögerung erfolgen kann. Aussitzen ist die schlechteste Variante – erfahrungsgemäß wird spätes, aber offenes Melden anders bewertet als gar nicht melden.
Müssen wir Anzeige erstatten?
Eine gesetzliche Pflicht zur Anzeige gibt es für Sie als Geschädigten nicht. In der Praxis spricht viel dafür: Die ZAC NRW ist genau für Unternehmen eingerichtet – dort sitzen Leute, die mit solchen Fällen täglich zu tun haben. Die Anzeige verpflichtet Sie zu nichts weiter und macht den Vorfall nicht öffentlich.
Sollen wir das Lösegeld zahlen?
Wir raten davon ab und beteiligen uns nicht daran. Es gibt keine Zusicherung, dass Sie brauchbare Schlüssel bekommen, kopierte Daten sind damit ohnehin nicht zurück, und Sie sind danach als zahlungsbereit bekannt. Wenn die Frage trotzdem ernsthaft im Raum steht, gehört sie zur Polizei – nicht in eine Nachtsitzung im Betrieb.
Wie lange dauert es, bis wir wieder arbeiten können?
Das hängt vor allem an Ihren Sicherungen und daran, wie viele Systeme betroffen sind. Wenn brauchbare, getrennte Backups vorliegen, sind einzelne Arbeitsplätze oft am selben Tag wieder nutzbar und die zentralen Systeme innerhalb weniger Tage. Ohne verwertbares Backup wird es deutlich länger. Eine belastbare Aussage bekommen Sie von uns nach der ersten Sichtung – und zwar eine ehrliche, keine beruhigende.
Wir sind ein kleiner Betrieb. Warum sollte uns jemand angreifen?
Weil Sie höchstwahrscheinlich gar nicht gezielt ausgesucht wurden. Angriffe laufen automatisiert gegen alles, was erreichbar ist, und die eingesetzten Werkzeuge sind durch KI so billig geworden, dass sich auch der kleine Betrieb rechnet. Das ist keine Panikmache, sondern schlicht die Ökonomie dahinter – und der Grund, warum wir bei Betrieben mit acht Mitarbeitenden genauso im Einsatz sind wie bei solchen mit achtzig.
Hafte ich als Geschäftsführer persönlich?
Das ist eine Rechtsfrage, die wir Ihnen nicht abschließend beantworten können – und jeder, der das am Telefon pauschal tut, sollte Sie misstrauisch machen. Was wir sagen können: Es kommt regelmäßig darauf an, ob angemessene Maßnahmen getroffen waren und ob im Vorfall sauber und nachvollziehbar reagiert wurde. Genau deshalb ist die Dokumentation ab Minute eins so wichtig. Bei konkreten Haftungsfragen gehören Sie zu einem Anwalt, und wir sagen Ihnen, wann dieser Punkt erreicht ist.
Helfen Sie auch, wenn wir gar keine Kunden von Ihnen sind?
Ja. Genau dafür ist diese Seite da. Sie brauchen keinen Vertrag, keinen Wartungsschein und keine Vorgeschichte mit uns. Rufen Sie an, schildern Sie, was los ist – alles Weitere klärt sich danach.
