Ransomware und Cyberangriff: das Unternehmen als Opfer

Wer morgens die Meldung der Systemüberwachung liest

Der Geschäftsführer eines mittelständischen Betriebs in Süddeutschland erfährt am Morgen, dass auf den Servern des italienischen Werks keine Datei mehr zu öffnen ist. Auf dem Bildschirm steht eine Nachricht, die Zahlung in einer digitalen Währung verlangt und mit der Veröffentlichung von Daten droht. Die Produktion in Italien steht, die Verwaltung zu Hause hängt an denselben Systemen, und niemand weiß, ob die Kundendaten schon abgeflossen sind.

Die Leiterin der IT einer Niederlassung in Italien fragt sich, ob sie die Zentrale zunächst anrufen soll, die Polizei oder den Dienstleister, der die Systeme betreut. Jede Antwort löst etwas aus: Informieren Sie die Zentrale, laufen Pflichten gegenüber Behörden zu Hause an. Rufen Sie die Polizei, beginnt ein Strafverfahren, in dem Ihr Unternehmen Geschädigter ist. Verständigen Sie den Dienstleister, wird dessen Haftung berührt.

Wieder anders liegt es bei Beschäftigten. Ein Mitarbeiter hat auf einen Anhang geklickt, ein Administrator ein Passwort wiederverwendet, ein Techniker eine Wartungsverbindung offengelassen. Jetzt fragt das Unternehmen, wer verantwortlich ist, und Ermittler fragen, ob es Hinweise auf Nachlässigkeit oder gar auf Absicht gibt. Wer in dieser Lage Auskunft gibt, spricht über sich selbst.

Gemeinsam ist allen diesen Konstellationen, dass sie mit Zeitdruck beginnen. Manche Schritte müssen binnen kurzer Frist geschehen, andere sind unumkehrbar, wenn sie falsch gesetzt werden.

Für alle gilt: Der Vorfall ist nicht Ihre Schuld, nur weil er in Ihrem Betrieb geschah. Aber was Sie in den nächsten Stunden schreiben, sagen und löschen, entscheidet mit darüber, wie das Unternehmen und einzelne Personen später dastehen. Ein Krisenstab, der klein bleibt und protokolliert, ist besser als eine große Runde, in der jeder etwas anderes tut. Legen Sie fest, wer entscheidet und wer nur zuarbeitet.

Zahlen, verhandeln oder neu aufsetzen

Die Geschäftsleitung steht vor mehreren Wegen, und jeder kostet etwas anderes.

Die Zahlung scheint die schnellste Lösung zu sein: Man erhält einen Schlüssel, die Systeme laufen wieder, die Drohung mit der Veröffentlichung verschwindet. Der Preis ist nicht nur das Geld. Eine Zahlung an Angreifer kann rechtliche Risiken schaffen, etwa wenn die Empfänger auf Sanktionslisten stehen oder die Zahlung als Förderung einer Straftat gelesen wird. Sie sichert außerdem nichts zu, denn mancher Schlüssel funktioniert nur teilweise, und Daten können trotz Zahlung veröffentlicht werden. Und wer gezahlt hat, steht auf einer Liste.

Verhandeln mit den Angreifern gewinnt Zeit, ändert aber die Rolle des Unternehmens im Verfahren. Jede Nachricht, die das Unternehmen sendet, wird Teil der Akte. Ohne Abstimmung mit Anwalt und Ermittlern kann sie so gelesen werden, als hätte das Unternehmen die Zahlung vorbereitet.

Das Neuaufsetzen aus Sicherungen kostet Tage und Aufwand, hat aber den Vorteil, dass das Unternehmen unabhängig bleibt. Es setzt voraus, dass Sicherungen existieren, nicht ebenfalls verschlüsselt wurden und die Lücke geschlossen ist, durch die der Angriff kam. Wer zu früh neu aufsetzt, löscht Spuren, die die Ermittler und Ihre eigenen Gutachter brauchen. Sichern Sie daher Abbilder der betroffenen Systeme, bevor etwas überschrieben wird.

Unabhängig vom Weg gilt: Die Entscheidung gehört nicht allein der IT. Geschäftsführung, Anwalt, Datenschutzbeauftragter und Versicherer sollten sie gemeinsam treffen und dokumentieren.

Keine dieser Entscheidungen lässt sich allein aus technischer Sicht treffen. Der Versicherer kann Bedingungen stellen, die Aufsichtsbehörde erwartet Meldungen, die Ermittler haben ein Interesse an unveränderten Spuren, und die Kunden wollen Auskunft. Vereinbaren Sie, wer innerhalb des Unternehmens das letzte Wort hat, und halten Sie die Gründe in einem Vermerk fest, der Datum und Teilnehmer nennt. Später wird nicht danach gefragt, was Sie wussten, sondern was Sie zum damaligen Zeitpunkt wissen konnten.

Spuren und Belege für den Krisenstab

In der Hektik verschwindet vieles, was später gebraucht wird. Legen Sie von Anfang an eine zentrale Sammlung an, zu der nur wenige Personen Zugang haben.

• Die Forderung der Angreifer im Original, als Bildschirmfoto und als Datei, mit Uhrzeit: Sie belegt Art und Zeitpunkt des Angriffs.
• Eine Zeitleiste mit Uhrzeit, Name und Maßnahme für jeden Schritt: Ohne sie lässt sich später kaum zeigen, wann das Unternehmen was wusste.
• Protokolle der Systeme, Firewall, Anmeldungen, Fernzugriffe: Sie zeigen den Weg des Angreifers und bewahren davor, dass Spuren überschrieben werden.
• Liste der betroffenen Systeme und Standorte, getrennt nach Italien und Heimatstaat: Sie bestimmt, welche Stellen zu unterrichten sind.
• Stand der Sicherungen mit Datum der letzten funktionierenden Kopie: Davon hängt ab, wie weit sich der Betrieb zurückholen lässt.
• Verträge mit Dienstleistern und deren Meldepflichten: Sie klären, wer wem wann Auskunft schuldet.
• Art der betroffenen Daten: Kunden, Beschäftigte, Gesundheitsdaten, Zahlungsdaten. Davon hängt ab, ob Betroffene benachrichtigt werden müssen.
• Versicherungspolicen mit Meldeklauseln: Manche Versicherer verlangen Zustimmung zu bestimmten Schritten.

Bewahren Sie Originaldaten unverändert auf und arbeiten Sie nur mit Kopien.

Bitten Sie auch die Dienstleister, ihre eigenen Protokolle zu sichern, und lassen Sie sich die Sicherung bestätigen. Notieren Sie, wer Zugriff auf die Sammlung hat und wer Kopien erhalten hat. Wenn ein forensischer Dienstleister eingeschaltet wird, klären Sie vorab, ob dessen Bericht dem Anwalt zugeht oder dem Unternehmen, denn davon hängt ab, wem er später vorgelegt werden muss und wer ihn einsehen kann.

Betrieb, Kunden und Lieferketten im Stillstand

Während die Systeme stehen, läuft der Betrieb weiter, nur ohne Daten. Aufträge können nicht abgerufen, Lieferscheine nicht gedruckt, Rechnungen nicht gestellt werden. Eine Fertigung, die nach Plan arbeitet, kommt schon nach kurzer Zeit zum Stehen, weil Material und Aufträge nicht mehr abgeglichen werden. Prüfen Sie früh, welche Abläufe sich notfalls auf Papier oder mit Insellösungen fortführen lassen, und sprechen Sie mit den Abteilungsleitern, bevor jemand eigenmächtig Daten auf private Geräte kopiert.

Kunden und Lieferanten wollen wissen, was los ist. Was Sie ihnen sagen, sollte stimmen und nicht mehr offenbaren, als nötig ist. Wer vorschnell erklärt, es seien keine Daten abgeflossen, muss das später widerrufen, wenn das Gegenteil bekannt wird. Wer schweigt, verliert Vertrauen. Vereinbaren Sie mit Anwalt und Pressestelle einen Text, der Ihre Kenntnis zum jeweiligen Stand beschreibt und keine Schuld zuweist.

Beschäftigte brauchen klare Anweisungen: Was darf geöffnet werden, welche Geräte bleiben vom Netz, wer spricht mit Medien. Unsicherheit führt zu Gerüchten, und Gerüchte zu Aussagen gegenüber Außenstehenden, die nicht abgestimmt sind. Wo Verträge Vertragsstrafen bei Lieferausfall vorsehen, lohnt der Blick in die Klauseln über höhere Gewalt. Ob ein Cyberangriff darunter fällt, hängt vom Wortlaut ab und sollte nicht pauschal angenommen werden.

Bedenken Sie auch die Beschäftigten, deren Daten möglicherweise abgeflossen sind. Sie haben Anspruch darauf, nicht aus der Presse zu erfahren, dass ihre Personalakten im Netz stehen. Planen Sie die interne Information vor der externen, und holen Sie Personalabteilung und Betriebsrat früh dazu. Wo Dienstleistungen für Kunden betroffen sind, sprechen Sie die großen Auftraggeber persönlich an und nicht nur mit Rundschreiben.

Fragen an den Anwalt, bevor die Zahlung diskutiert wird

• Ist das Unternehmen im Verfahren Geschädigter, und kann daraus auch ein eigenes Risiko entstehen?
• Welche Meldungen sind an welche Stelle fällig, in Italien und im Heimatstaat, und wer unterschreibt sie?
• Wann ist die Aufsichtsbehörde für Datenschutz zu unterrichten, und wann müssen Betroffene selbst benachrichtigt werden?
• Welche rechtlichen Risiken birgt eine Zahlung an die Angreifer, und wie weit reichen sie bis zum Versicherer?
• Wie erreichen wir, dass die Anzeige und die Meldung an die Aufsichtsbehörde dieselben Tatsachen enthalten?
• Darf der Dienstleister Protokolle herausgeben, und wer darf mit den Ermittlern sprechen?
• Wie sichern wir Spuren, ohne den Betrieb weiter zu stören?
• Wann kann ein Mitarbeiter selbst in den Blick geraten, und wann braucht er einen eigenen Beistand?
• Wer trägt die Kosten der Untersuchung, und wie belegen wir sie für Versicherung und Haftung?

Fragen Sie auch, wer im Unternehmen welche Frage beantworten darf. Der Anwalt des Unternehmens vertritt das Unternehmen, nicht einzelne Beschäftigte.

Lassen Sie sich außerdem erklären, was zwischen dem Strafverfahren und dem Verwaltungsverfahren der Datenschutzbehörde zu unterscheiden ist, und welche Stelle zu welchem Zeitpunkt mit welchen Unterlagen rechnet. Wer die Ebenen auseinanderhält, vermeidet, dass dieselbe Auskunft in verschiedenen Fassungen kursiert. Fragen Sie auch, was geschieht, wenn sich im Lauf der Untersuchung herausstellt, dass mehr Daten betroffen waren als gemeldet.

Was im Krisenfall unterbleiben sollte

• Keine Systeme ohne Sicherung abschalten oder löschen. Wer aus Eile Server neu aufspielt, vernichtet Spuren, die Ermittler und eigene Gutachter brauchen.
• Nicht mit den Angreifern ohne Abstimmung kommunizieren. Jede Nachricht wird Teil der Akte und kann die Rolle des Unternehmens verändern.
• Keine Zahlung vorbereiten, bevor rechtlich geprüft ist. Wer Wallets oder Überweisungen einrichtet, schafft Anschein einer Absicht.
• Keine Mitarbeiter öffentlich verantwortlich machen. Interne Schuldzuweisungen in Rundmails landen später bei Ermittlern.
• Nicht über den Vorfall in Messenger-Gruppen schreiben. Auch private Chats lassen sich sichern.
• Keine Meldung formulieren, die mehr behauptet, als Sie wissen. Spätere Korrekturen kosten Glaubwürdigkeit bei den Behörden.
• Keine Daten auf private Geräte retten. Dadurch verbreitet sich der Vorfall und entstehen neue Pflichten.

Das Gegenteil von Handeln ist nicht Nichtstun, sondern abgestimmtes Handeln. Dokumentieren Sie jede Entscheidung mit Begründung.

Diese Zurückhaltung kostet Geduld, weil sie Aktionismus verbietet. Wo Mitarbeiter eigenmächtig retten wollen, hilft eine klare Ansage der Leitung. Erklären Sie dem Team, dass Sorgfalt jetzt mehr schützt als Tempo und dass jeder Schritt dokumentiert wird. Wer unsicher ist, fragt, bevor er handelt, und niemand wird dafür getadelt, dass er eine Frage gestellt hat.

Konzern zwischen Italien und dem Heimatstaat

Ein Angriff auf Systeme, die in einem Staat betrieben, in einem anderen verwaltet und in einem weiteren gesichert werden, wird zu einem Verfahren mit mehreren Schauplätzen. Die Anzeige wird dort gestellt, wo die Tat begangen wurde oder wo der Schaden eintrat; Meldepflichten richten sich nach dem Sitz und nach den betroffenen Personen. Das Werk in Italien, die Muttergesellschaft im Heimatstaat und ein Rechenzentrum in einem anderen Land können jeweils eigene Stellen zu unterrichten haben, und die Fristen laufen parallel.

Praktisch bedeutet das: Eine Person muss den Überblick halten, welche Meldung wo abgegeben wurde. Texte, die an die Behörde in Italien gehen, sollten dieselben Tatsachen enthalten wie die Mitteilung an die Stelle zu Hause, sonst entstehen Widersprüche, die später gegen das Unternehmen verwendet werden. Übersetzungen müssen genau sein; eine Ungenauigkeit in einem Datum oder in einer Zahl kann zu Rückfragen führen.

Zeitzonen und Bürozeiten gehen im Ernstfall verloren. Legen Sie fest, wer außerhalb der Geschäftszeiten erreichbar ist und in welcher Sprache gesprochen wird; ein Anruf des italienischen Anwalts in der Zentrale nützt nichts, wenn niemand Italienisch spricht und niemand entscheiden darf. Auch der Versicherer sitzt häufig in einem weiteren Land und verlangt Mitteilungen in einer bestimmten Form. Wir stimmen mit Ihren Beratern zu Hause ab, damit die Schritte in Italien und im Heimatstaat zusammenpassen.

Besprechen Sie früh, in welcher Sprache die Meldungen verfasst werden und wer sie unterzeichnet. Wenn die Behörde in Italien Rückfragen stellt, soll eine Person antworten, die die Tatsachen kennt und die Antwort mit uns abstimmen kann. Machen Sie der Konzernzentrale klar, dass Entscheidungen der Niederlassung in Italien rechtliche Folgen für alle Standorte haben können, und holen Sie die Zustimmung der Geschäftsleitung für Schritte ein, die Außenwirkung haben.

Der Weg zum Mandat bei einem laufenden Angriff

Wenn der Angriff noch läuft, hat Geschwindigkeit Vorrang vor Gründlichkeit. Sie rufen an oder schreiben an avvmassimoromano@gmail.com und schildern in wenigen Sätzen, was geschehen ist, wo das Unternehmen sitzt und wer bereits informiert wurde. Wir klären im Anfangsgespräch, ob die Anzeige gestellt werden sollte, welche Meldungen im Raum stehen und wer im Unternehmen mit uns spricht. Die Vollmacht kann elektronisch erteilt werden.

Dann sortieren wir die Aufgaben nach Dringlichkeit: Was muss in den nächsten Stunden geschehen, was in den nächsten Tagen, was kann warten. Die Unterlagen aus der Liste oben brauchen wir nicht komplett, bevor wir anfangen; wir arbeiten mit dem, was vorhanden ist, und fordern nach, was fehlt. Wir stimmen uns mit Ihrer IT, mit dem Datenschutzbeauftragten und, wenn gewünscht, mit einem forensischen Dienstleister ab, sodass Spurensicherung und rechtliche Schritte zusammenpassen.

Die Gespräche führen wir auf Deutsch; Texte an italienische Behörden verfassen und übersetzen wir selbst, damit die Fassungen übereinstimmen. Die Kanzlei hat Standorte in Rom, Mailand und Neapel und ist bei akuten Vorfällen auch außerhalb der Bürozeiten erreichbar. Ob die Betroffenen im Unternehmen einen eigenen Beistand brauchen, besprechen wir offen, weil wir das Unternehmen vertreten und nicht zugleich einzelne Beschäftigte beraten können.

Rechnen Sie damit, dass wir nicht alles sofort beantworten können. Manches klärt sich nicht vor dem Vorliegen der forensischen Befunde, und wir sagen dann offen, was vorläufig ist. Sie erhalten schriftliche Zwischenstände und eine Aufgabenliste, auf der steht, wer was bis wann erledigt. Dadurch behalten auch Menschen den Überblick, die nicht im Krisenstab sitzen, aber Entscheidungen mittragen müssen.

Wörter aus Meldungen und Behördenschreiben

In den Schreiben, die ein Unternehmen nach einem Angriff bekommt, tauchen einige Begriffe immer wieder auf. Hier ist, was sie in der Praxis bedeuten.

• Verschlüsselungsangriff bezeichnet einen Angriff, bei dem die Daten unlesbar gemacht werden, damit der Betroffene für den Schlüssel zahlt.
• Lösegeld ist die geforderte Zahlung, meist in einer digitalen Währung. Ob sie zulässig ist, ist rechtlich nicht neutral.
• Geschädigter ist, wer durch die Tat verletzt wurde. Das Unternehmen hat im Verfahren Rechte auf Information und Beteiligung.
• Anzeige ist die Mitteilung an die Strafverfolgungsbehörden. Sie löst die Ermittlungen aus, entbindet aber nicht von den anderen Meldungen.
• Meldefrist bezeichnet die kurze Zeit, in der bestimmte Vorfälle bei einer Behörde angezeigt werden müssen. Sie läuft ab Kenntnis, nicht ab Abschluss der Untersuchung.
• Aufsichtsbehörde ist die Stelle, die den Schutz personenbezogener Daten überwacht.
• Personenbezogene Daten sind alle Angaben, die sich auf identifizierbare Personen beziehen, von der Kundenliste bis zu Gesundheitsdaten.
• Betroffene Personen sind die Menschen, deren Daten abgeflossen sein könnten. Bei hohem Risiko sind sie selbst zu benachrichtigen.

Sprechen Sie mit dem Datenschutzbeauftragten, wenn ein Schreiben Begriffe enthält, die Ihr Haus anders verwendet. Dasselbe Wort kann im Verwaltungsrecht, im Strafrecht und im Versicherungsvertrag Verschiedenes bedeuten, und ein Missverständnis in einer Meldung lässt sich später schwer korrigieren. Wir übersetzen jedes Behördenschreiben und markieren, was eine Frist auslöst.