Montagmorgen, 7:14 Uhr: Die IT eines mittelständischen Unternehmens stellt fest, dass sämtliche Server verschlüsselt sind. Auf dem Bildschirm prangt eine Lösegeldforderung – zahlbar in Bitcoin, Frist 48 Stunden.
Viele Geschäftsführer gehen in diesem Moment davon aus, dass allein die Erpresser den Takt vorgeben.
In der Praxis zeigt sich jedoch: Parallel zur Lösegeldfrist laufen gesetzliche Meldefristen – und die können im Ernstfall genauso teuer werden wie der Angriff selbst.
Die 72-Stunden-Regel: Was die DSGVO verlangt
Sind bei einem Ransomware-Angriff personenbezogene Daten betroffen, greift Artikel 33 DSGVO.
Das bedeutet:
Der Vorfall muss innerhalb von 72 Stunden bei der zuständigen Datenschutzaufsichtsbehörde gemeldet werden.
Entscheidend ist der Fristbeginn: Die Uhr startet nicht erst, wenn das volle Ausmaß bekannt ist – sondern bereits mit der Kenntnisnahme des Vorfalls.
Wird die Frist versäumt, liegt bereits ein Verstoß gegen die DSGVO vor – unabhängig davon, ob am Ende tatsächlich Daten abgeflossen sind.
Die Aufsichtsbehörden empfehlen klar: Im Zweifel lieber einmal zu viel melden als einmal zu wenig.
NIS2: Seit Dezember 2025 verschärft sich die Lage
Mit dem Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 hat sich die Situation für viele Unternehmen nochmals deutlich verschärft.
Betroffen sind rund 30.000 Unternehmen in Deutschland – darunter zahlreiche mittelständische Betriebe ab:
- 50 Mitarbeitenden
- oder 10 Millionen Euro Jahresumsatz
- in insgesamt 18 Sektoren, u. a. Energie, Produktion, Logistik, Chemie
Die Meldepflichten unter NIS2 gehen über die DSGVO hinaus:
- 24 Stunden: Frühwarnung an das BSI
- 72 Stunden: ausführliche Folgemeldung mit Bewertung und Auswirkungen
- 1 Monat: Abschlussmeldung mit Ursachenanalyse und ergriffenen Maßnahmen
Hinzu kommt:
Das Gesetz sieht keine Übergangsfristen vor. Die Meldepflichten gelten seit dem ersten Tag.
Wer nicht fristgerecht meldet, riskiert Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
Besonders brisant: Die Geschäftsführung haftet persönlich für die Umsetzung der Sicherheitsmaßnahmen. Eine reine Delegation an die IT-Abteilung reicht laut Gesetz nicht aus.
Wenn Angreifer die Meldepflicht als Druckmittel nutzen
Dass versäumte Meldepflichten kein theoretisches Risiko sind, zeigt ein Fall aus den USA – auch auf deutsche Unternehmen übertragbar.
Der Ablauf:
Eine Ransomware-Gruppe drang in die Systeme eines Softwareunternehmens ein und stellte eine Lösegeldforderung. Als das Unternehmen nicht zahlte, meldeten die Angreifer den Vorfall kurzerhand selbst bei der zuständigen Aufsichtsbehörde – inklusive des Hinweises, dass das Unternehmen seiner Meldepflicht nicht nachgekommen sei.
Die Kriminellen nutzten die gesetzliche Meldepflicht damit gezielt als zusätzliches Druckmittel.
Wer nicht meldet, macht sich im Ernstfall doppelt angreifbar: gegenüber den Angreifern – und gegenüber den Behörden.
Cyberversicherung vor Gericht: Zwei Urteile, zwei Ausgänge
Neben den Meldepflichten gibt es eine zweite kritische Ebene, die Unternehmen kennen sollten: das Verhältnis zur eigenen Cyberversicherung.
Ob diese im Schadenfall zahlt, entscheidet sich in der Praxis oft bereits beim Vertragsabschluss. Zwei aktuelle Urteile aus Deutschland zeigen, wie unterschiedlich die Ergebnisse ausfallen können.
LG Tübingen: Versicherer muss 2,8 Millionen Euro zahlen
Im ersten deutschen Gerichtsurteil zu einer Cyberversicherung (LG Tübingen, Urteil vom 26.05.2023, Az. 4 O 193/21) ging es um einen klassischen Ransomware-Angriff.
Der Ablauf:
- Ein Mitarbeiter öffnete einen als Rechnung getarnten E-Mail-Anhang
- Der eingeschleuste Verschlüsselungstrojaner breitete sich über einen VPN-Tunnel auf 16 von 21 Servern aus
- Die Wiederherstellung dauerte Monate
- Der Gesamtschaden überstieg 3 Millionen Euro
Der Versicherer verweigerte die Leistung mit dem Argument, das Unternehmen habe Risikofragen bei Vertragsabschluss falsch beantwortet – insbesondere seien mehrere Server veraltet gewesen, für die keine Sicherheitsupdates mehr verfügbar waren.
Das Gericht entschied dennoch zugunsten des Unternehmens und sprach 2,8 Millionen Euro zu.
Die Begründung:
Ein Sachverständigengutachten konnte nachweisen, dass die veralteten Server den Angriff weder ermöglicht noch den Schaden vergrößert hatten. Zudem habe ein Vertreter des Versicherers bei Vertragsabschluss den Eindruck vermittelt, die Anforderungen an die IT-Sicherheit seien nicht besonders hoch.
Hinweis: Das Urteil ist noch nicht rechtskräftig. Die Berufung ist derzeit beim OLG Stuttgart anhängig.
LG Kiel: Falschangaben im Antrag – kein Cent Leistung
Ein gänzlich anderes Ergebnis lieferte das zweite deutsche Urteil zur Cyberversicherung (LG Kiel, Urteil vom 23.05.2024, Az. 5 O 128/21).
Ein Holzgroßhändler hatte beim Abschluss der Cyberversicherung angegeben:
- alle Arbeitsrechner seien mit aktueller Sicherheitssoftware ausgestattet
- Sicherheitsupdates würden zeitnah eingespielt
Die Realität sah anders aus:
Mehrere Server liefen mit veralteten Betriebssystemen ohne Virenschutz. Der zuständige IT-Mitarbeiter hatte die Risikofragen beantwortet, ohne den tatsächlichen Zustand der Systeme zu prüfen.
Das Gericht wertete dies als arglistige Täuschung. Der Versicherungsvertrag wurde für nichtig erklärt – das Unternehmen blieb auf dem gesamten Schaden von rund 500.000 Euro sitzen.
Die Kernaussage des Gerichts:
Wer Risikofragen beantwortet, ohne sich über den tatsächlichen Stand der eigenen IT zu informieren, handelt mindestens mit bedingtem Vorsatz.
Was beide Urteile gemeinsam zeigen
Ob die Cyberversicherung im Schadenfall leistet oder nicht, entscheidet sich häufig bereits beim Vertragsabschluss.
Die korrekte und sorgfältige Beantwortung der Risikofragen ist kein bürokratischer Nebenschauplatz – sie ist die Grundlage des gesamten Versicherungsschutzes.
Die drei häufigsten Fehler nach einem Ransomware-Angriff
Fehler 1: Abwarten statt melden. Viele Unternehmen versuchen zunächst, den Vorfall intern zu klären. Die 72 Stunden (DSGVO) bzw. 24 Stunden (NIS2) vergehen dabei schneller als gedacht. Jede verpasste Frist ist ein eigenständiger Verstoß.
Fehler 2: Die Cyberversicherung zu spät informieren. Auch der Versicherer muss unverzüglich benachrichtigt werden. Verspätete Meldungen können den Versicherungsschutz gefährden – unabhängig davon, ob der Anspruch inhaltlich berechtigt wäre.
Fehler 3: Fehlende Dokumentation. Ohne lückenlose Dokumentation lässt sich weder gegenüber der Behörde noch gegenüber dem Versicherer belegen, wann was bekannt war und welche Maßnahmen ergriffen wurden. Im Zweifel geht das zulasten des Unternehmens.
Was eine Cyberversicherung im Ernstfall leisten kann
Eine gut aufgestellte Cyberversicherung deckt deutlich mehr ab als nur die Kosten der Datenwiederherstellung.
Je nach Vertrag können folgende Bereiche eine Rolle spielen:
- Betriebsunterbrechungsschäden – häufig der größte Kostenposten nach einem Angriff
- IT-Forensik – zur Analyse von Angriffsvektor und Schadenumfang
- Krisenmanagement und PR – Kommunikation gegenüber Kunden, Partnern, Öffentlichkeit
- Rechtsberatung – insbesondere bei Datenschutzverletzungen und Meldepflichten
- Lösegeldzahlungen – sofern vertraglich eingeschlossen und unter bestimmten Voraussetzungen
- Benachrichtigung betroffener Personen – wie nach DSGVO vorgeschrieben
Entscheidend ist: Der Versicherungsschutz muss auf die konkrete Risikolage des Unternehmens abgestimmt sein. Standardlösungen greifen hier oft zu kurz.
Fazit: Vorbereitung entscheidet – nicht Reaktion
Ein Ransomware-Angriff ist kein hypothetisches Szenario. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) registriert täglich Hunderttausende neue Schadsoftware-Varianten. Ransomware gilt als die größte Bedrohung für die IT-Sicherheit deutscher Unternehmen.
Für Unternehmen reicht eine einzelne Maßnahme in der Regel nicht aus.
Erst das Zusammenspiel mehrerer Bausteine bildet eine tragfähige Grundlage:
- technische Sicherheitsmaßnahmen
- organisatorische Prozesse und Notfallpläne
- ein passgenauer Versicherungsschutz
- sauber beantwortete Risikofragen
Wer hier ausschließlich auf eine Standardlösung setzt, läuft Gefahr, im Schadenfall mit erheblichen Deckungslücken konfrontiert zu werden.
Abschließend ist festzuhalten, dass individuell abgestimmte Cyber-Policen die genannten Risiken gebündelt absichern und durch regelmäßige Aktualisierungen – etwa im Rahmen einer jährlichen Risikoüberprüfung – dauerhaft auf dem aktuellen Stand gehalten werden.
👉 Sprechen Sie mit uns – wir beraten Sie persönlich, unabhängig und vorausschauend.
