Notfallplan: Wie IT-Verantwortliche einen Data Breach bewältigen

Ein Datenleck trifft jedes Unternehmen unerwartet. Die Vorbereitung entscheidet über das Ausmaß des Schadens: Wer einen Notfallplan hat, begrenzt die Folgen wirksam. Wer keinen hat, zahlt den Preis – nicht nur finanziell, sondern auch mit dem Vertrauen seiner Kunden.

Data Breaches treffen Unternehmen jeder Größe. Allein 2024 registrierten Behörden laut einer Analyse des Berliner Compliance-Spezialisten HeyData in den 15 wichtigsten EU-Ländern rund 130.000 Cyberangriffe. Die Angreifer erbeuteten dabei auch personenbezogene und geschäftskritische Daten.

Cyberangriffe: Unternehmen riskieren Vertrauen und Existenz

Cyberangriffe haben meist schwerwiegende Folgen und belasten betroffene Firmen oft jahrelang. Die direkten Kosten beginnen bei der Sofortreaktion: IT-Forensiker analysieren den Vorfall, Anwälte prüfen rechtliche Risiken, Betroffene erhalten Benachrichtigungen. Diese Ausgaben addieren sich rasch zu erheblichen Summen.

Die Datenschutz-Grundverordnung setzt Bußgelder bis 20 Millionen Euro an – alternativ auch vier Prozent des weltweiten Jahresumsatzes. Der Bußgeld-Radar der Hamburger Kanzlei Herting Oberbeck Rechtsanwälte Partnerschaft dokumentiert die tatsächlich verhängten Summen.

Betriebsunterbrechungen treffen Unternehmen besonders hart: Produktionsausfälle, blockierte Systeme und handlungsunfähige Mitarbeiter verursachen täglich hohe Verluste. Die Auswirkungen reichen von gestoppten Lieferketten bis hin zu verlorenen Aufträgen. Manche Firmen erholen sich nie wieder und müssen Insolvenz anmelden, weil der ausgelöste Reputationsverlust und die Kundenabwanderung irreparabel bleiben.

Assume Breach: IT-Sicherheit rechnet mit erfolgreichen Angriffen

Die Gefahr eines Datenlecks schwebt allgegenwärtig über den Organisationen und lässt sich nie komplett ausschließen. Der Mensch zählt dabei zu den größten Unsicherheitsfaktoren: Beschäftigte fallen auf Social Engineering herein, verwenden leicht zu knackende Passwörter, konfigurieren Systeme fehlerhaft oder richten aus Unzufriedenheit absichtlich Schaden an.

Moderne IT-Umgebungen verschärfen das Problem zusätzlich: Sie sind komplex aufgebaut und weisen viele Abhängigkeiten von Lieferketten und Dritten auf. Außerdem läuft keine Software hundertprozentig fehlerfrei, Sicherheitslücken bleiben oft jahrelang unentdeckt. Auch gegen Zero Days existiert nur ein sehr begrenzter Schutz.

Absolute Sicherheit gibt es nicht. Sicherheitsexperten empfehlen deshalb das „Assume Breach“-Prinzip: Unternehmen gehen jederzeit von einem bereits erfolgten Vorfall aus und bereiten sich entsprechend vor. Diese Haltung verändert die gesamte Sicherheitsstrategie – von der reinen Abwehr hin zur Schadensbegrenzung. Rechtzeitige Vorbereitung auf den Ernstfall ermöglicht dabei eine schnelle Reaktion und begrenzt den Schaden wirksam.

Incident Response: Notfallpläne strukturieren die Sofortmaßnahmen

In den ersten Stunden nach einem Sicherheitsvorfall entscheidet sich das Ausmaß des Schadens – jede Minute zählt. Panik hilft nicht weiter, strukturiertes Handeln schon. Im Zweifel holen sich betroffene Unternehmen externe Hilfe von spezialisierten Dienstleistern, denn wer versucht, den Vorfall zu vertuschen oder allein zu bewältigen, verschlimmert die Lage erheblich.

Jetzt greift der Incident-Response-Plan – sofern einer existiert. Das Bundesamt für Sicherheit in der Informationstechnik bietet mit seinem Leitfaden zur Reaktion auf IT-Sicherheitsvorfälle eine umfassende Alternative.

Erste Maßnahmen im Notfall:

• Das IT-Team trennt betroffene Systeme sofort vom Netzwerk. Das verhindert die Ausbreitung des Schadens.
• Alle Arbeiten an kompromittierten Systemen umgehend stoppen. Unvermeidliche Tätigkeiten dokumentiert das Team lückenlos.
• Die IT startet betroffene Systeme nicht sofort neu und räumt auch nicht auf. Das gefährdet wichtige Beweise.
• Kompromittierte Accounts sperrt das Team sofort.
• Passwörter, API-Keys und Token ersetzen die Verantwortlichen umgehend. Wo möglich, aktivieren sie die Zwei-Faktor-Authentifizierung mit OTP-Codes (One Time Password).
• Externe Zugänge blockiert das Team temporär.

Diese Sofortmaßnahmen schaffen die Grundlage für die anschließende forensische Untersuchung des Vorfalls.

IT-Forensik: Log-Dateien dokumentieren den Tathergang lückenlos

Die strukturierte Ermittlung der Ursachen erfordert eine möglichst ausführliche Beweissicherung, wobei jede Veränderung am System die Beweiskette gefährdet. Log-Dateien, Systemzustände und digitale Spuren dokumentieren den Tathergang lückenlos und ermöglichen die Rekonstruktion des Angriffsverlaufs.

• Das IT-Team sichert Log-Dateien und erstellt Snapshots betroffener Systeme. Bei Lösegeldforderungen fertigen Forensiker Fotos der Bildschirminhalte an.
• Die Analyse klärt, welche Systeme betroffen sind und welche Daten abgegriffen wurden – etwa personenbezogene Daten, Kundendaten oder auch Zugangsinformationen.
• Die Untersuchung zeigt, ob ein interner Fehler oder ein externer Angriff vorliegt.
• Forensiker rekonstruieren, wie und in welchem Zeitraum der Angriff erfolgte.

Die forensischen Erkenntnisse bestimmen den Umfang der gesetzlichen Meldepflichten und der Kommunikation.

Meldepflicht: Behörden fordern Benachrichtigung binnen 72 Stunden

Die Datenschutz-Grundverordnung zwingt Unternehmen zur schnellen Reaktion. Paragraph 33 DSGVO setzt eine Frist von 72 Stunden nach Bekanntwerden des Vorfalls. In Deutschland liegt die Zuständigkeit bei den Landesbehörden für Datenschutz – je nach Bundesland.

Geht von dem Vorfall ein „voraussichtlich hohes Risiko“ aus (etwa bei gestohlenen personenbezogenen Daten), verlangt Paragraph 34 DSGVO auch die Information der betroffenen Personen. Für Betreiber kritischer Infrastrukturen gelten zudem erweiterte Meldepflichten, die unter anderem in der BSI-Kritis-Verordnung festgelegt sind.

Parallel dazu informiert das Krisenteam Mitarbeiter und betroffene Kunden in Absprache mit Experten für Recht, Datenschutz und PR. Die Kommunikation erfolgt dabei schrittweise und faktenbasiert. Transparente Kommunikation stärkt langfristig das Vertrauen und zeigt Verantwortungsbewusstsein. Zu frühe oder falsche Informationen schaden jedoch dem Ruf nachhaltig.

System Recovery: IT-Teams setzen Infrastruktur komplett neu auf

Nach der forensischen Analyse stellt das IT-Team die betroffenen Systeme wieder her. Diese Wiederherstellung erfordert eine vollständige Bereinigung von Schadcode. Das Team setzt die betroffenen Systeme komplett neu auf, spielt aktuelle Sicherheitsupdates ein und konfiguriert sie nach aktuellen Sicherheitsstandards. Erst dann integriert die IT sie wieder in die Umgebung.

Ein durchdachter Notfallplan minimiert die Data-Breach-Folgen. Noch wirksamer ist jedoch die Prävention: Zero Trust setzt auf minimale Zugriffsrechte und kontinuierliche Überprüfung – und reduziert so die Angriffsfläche erheblich.

Zero Trust: Sicherheit nach dem „Assume Breach“-Prinzip