Ein Cyberangriff kann innerhalb weniger Stunden erhebliche technische, wirtschaftliche und rechtliche Folgen auslösen. Systeme fallen aus, Daten werden verschlüsselt oder entwendet, Kunden- und Beschäftigtendaten sind betroffen und gleichzeitig stellt sich die Frage, welche rechtlichen Pflichten bestehen und wer für den entstandenen Schaden verantwortlich ist.
Die Kanzlei Rößner & Merle berät Unternehmen bei den rechtlichen Folgen von Cyberangriffen und IT-Sicherheitsvorfällen. Wir unterstützen insbesondere bei Haftungsfragen, datenschutzrechtlichen Ansprüchen, Auseinandersetzungen mit IT-Dienstleistern und bei der rechtlichen Einordnung konkreter Vorfälle.
Die technische Abwehr und Wiederherstellung der Systeme erfolgt durch die jeweils zuständigen IT-Fachleute. Unsere Aufgabe ist die anwaltliche Bewertung und Interessenvertretung.
Das Wichtigste in Kürze
- Anwaltliche Beratung nach Cyberangriffen und IT-Sicherheitsvorfällen
- Rechtliche Bewertung konkreter Vorfälle
- Prüfung datenschutzrechtlicher Folgen
- Haftungsfragen zwischen Unternehmen und IT-Dienstleistern
- Schadensersatz- und Regressansprüche
- Vertragsrechtliche Prüfung von IT-Sicherheitsleistungen
- Rechtliche Begleitung bei Datenschutzverletzungen
- Unterstützung bei Ansprüchen Betroffener
- Auseinandersetzungen mit Geschäftspartnern
- Außergerichtliche und gerichtliche Vertretung
- Bei geeigneten Mandaten bundesweite Beratung
Wenn aus einem technischen Vorfall ein Rechtsfall wird
Ein Cyberangriff ist zunächst ein technischer Notfall. Die erste Aufgabe besteht regelmäßig darin, Systeme zu sichern, Angriffswege zu schließen und den Geschäftsbetrieb wiederherzustellen.
Parallel können jedoch sehr schnell rechtliche Fragen entstehen.
Zu klären ist beispielsweise:
- Welche Daten oder Systeme sind betroffen?
- Welche Unternehmen oder Dienstleister sind beteiligt?
- Bestehen Melde- oder Informationspflichten?
- Können Kunden oder andere Betroffene Ansprüche geltend machen?
- Gibt es vertragliche Ansprüche gegen einen IT-Dienstleister?
- Können Versicherungsfragen entstehen?
- Welche Beweismittel sollten gesichert werden?
- Welche rechtlichen Schritte müssen kurzfristig vorbereitet werden?
Je größer die wirtschaftlichen Auswirkungen des Vorfalls sind, desto wichtiger ist eine frühzeitige rechtliche Einordnung.
Technische Incident Response und anwaltliche Beratung sind unterschiedliche Aufgaben
Die technische Bewältigung eines Cyberangriffs gehört in die Hände von IT-Sicherheitsfachleuten.
Dazu gehören insbesondere:
- Analyse des Angriffs
- Eindämmung des Vorfalls
- Sicherung der Systeme
- Wiederherstellung der IT-Infrastruktur
- technische Forensik
- Schließen von Sicherheitslücken
Die anwaltliche Tätigkeit setzt an einer anderen Stelle an.
Wir prüfen die rechtlichen Folgen des konkreten Vorfalls, bewerten Ansprüche und Haftungsrisiken und vertreten die Interessen des betroffenen Unternehmens gegenüber Dritten.
Beide Bereiche können eng miteinander verzahnt sein, müssen aber funktional getrennt betrachtet werden.
Datenschutzverletzung nach einem Cyberangriff
Werden personenbezogene Daten betroffen, stellt sich häufig zusätzlich die Frage, ob eine Datenschutzverletzung im Sinne der DSGVO vorliegt.
Dabei kann zu prüfen sein:
- Welche personenbezogenen Daten sind betroffen?
- Welche Personen sind betroffen?
- Welche Risiken entstehen für diese Personen?
- Welche rechtlichen Verpflichtungen ergeben sich daraus?
- Welche Informationen müssen dokumentiert werden?
- Welche Ansprüche können später entstehen?
Die datenschutzrechtliche Bewertung eines Vorfalls sollte auf einer möglichst belastbaren technischen Sachverhaltsgrundlage beruhen. Mit der Prüfung und Erfüllung von Meldepflichten darf jedoch nicht bis zum Abschluss der technischen Forensik gewartet werden.
Datenschutzrechtliche Meldefristen
Eine Verletzung des Schutzes personenbezogener Daten ist vom Verantwortlichen nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsichtsbehörde zu melden, sofern sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Fehlende Informationen können unter den gesetzlichen Voraussetzungen schrittweise nachgereicht werden; eine verspätete Meldung ist zu begründen. Auftragsverarbeiter müssen den Verantwortlichen unverzüglich informieren. Bei voraussichtlich hohem Risiko kann zusätzlich eine unverzügliche Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO erforderlich sein.
Weitere Meldepflichten: NIS-2 und Cyber Resilience Act
Für besonders wichtige und wichtige Einrichtungen im Anwendungsbereich des BSI-Gesetzes gelten bei erheblichen Sicherheitsvorfällen die mehrstufigen Meldepflichten des § 32 BSIG: unverzügliche frühe Erstmeldung, spätestens binnen 24 Stunden nach Kenntniserlangung, und unverzügliche weitere Meldung, spätestens binnen 72 Stunden. Die Abschlussmeldung folgt grundsätzlich spätestens einen Monat nach der weiteren Meldung; bei noch andauernden Vorfällen ist zunächst eine Fortschrittsmeldung vorgesehen. Ob das Unternehmen und der Vorfall erfasst sind, muss gesondert geprüft werden.
Für Hersteller von Produkten mit digitalen Elementen im Anwendungsbereich des Cyber Resilience Act gelten seit dem 11. September 2026 außerdem Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit dieser Produkte. Vorgesehen sind insbesondere eine Frühwarnung binnen 24 Stunden und eine weitere Meldung binnen 72 Stunden nach Bekanntwerden über die zentrale CRA-Meldeplattform. Abschließende Berichte folgen je nach Meldegrund: bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme, bei schwerwiegenden Vorfällen grundsätzlich innerhalb eines Monats nach der weiteren Meldung. Diese produktspezifischen Pflichten gelten nicht pauschal für jedes angegriffene Unternehmen.
Mehrere Meldepflichten können nebeneinander bestehen. Eine Meldung nach einem Regelwerk ersetzt die Prüfung der weiteren Pflichten nicht.
Die laufende Datenschutzorganisation eines Unternehmens und die anwaltliche Beratung bei einem konkreten Cybervorfall sind dabei voneinander zu unterscheiden.
Haftung des IT-Dienstleisters
Viele Unternehmen lagern Teile ihrer IT-Infrastruktur oder IT-Sicherheit an externe Dienstleister aus.
Kommt es zu einem Sicherheitsvorfall, stellt sich häufig die Frage, ob der Dienstleister seine vertraglichen Pflichten ordnungsgemäß erfüllt hat.
Zu prüfen sind beispielsweise:
- Welche Sicherheitsleistungen waren vertraglich vereinbart?
- Welche Systeme musste der Dienstleister überwachen oder schützen?
- Welche Reaktionszeiten galten?
- Wurden Updates und Sicherheitsmaßnahmen geschuldet?
- Welche Mitwirkungspflichten hatte das Unternehmen selbst?
- Welche Haftungsbeschränkungen enthält der Vertrag?
- Ist eine Pflichtverletzung nachweisbar?
- Welche Schäden sind auf den Vorfall zurückzuführen?
Gerade bei erheblichen wirtschaftlichen Schäden kann daraus ein komplexer IT-vertragsrechtlicher Haftungsstreit entstehen.
Wenn mehrere Dienstleister beteiligt sind
In modernen IT-Umgebungen wirken häufig mehrere Anbieter zusammen.
Ein Unternehmen nutzt beispielsweise einen Cloud-Dienst, einen externen Systembetreuer, einen Security-Dienstleister und verschiedene Softwareanbieter.
Nach einem Cybervorfall kann dann unklar sein, welcher Beteiligte für welchen Bereich verantwortlich war.
Das kann die rechtliche Aufarbeitung erheblich erschweren.
Zu untersuchen ist dann insbesondere:
- Welche vertraglichen Zuständigkeiten bestanden?
- Welche technischen Systeme waren betroffen?
- Wo lag die Ursache des Vorfalls?
- Welche Sicherheitsmaßnahmen waren vereinbart?
- Welche Partei hatte welche Kontroll- oder Handlungspflichten?
- Welche Haftungsregelungen gelten zwischen den Beteiligten?
Die technische Ursachenanalyse und die rechtliche Verantwortungszuordnung müssen dabei aufeinander abgestimmt werden.
Schadensersatz und Regress nach Cyberangriffen
Ein Cyberangriff kann erhebliche Schäden verursachen.
Denkbar sind beispielsweise:
- Kosten für Wiederherstellung der IT
- Kosten externer IT-Forensik
- Produktions- oder Betriebsausfälle
- zusätzliche Personalkosten
- Ersatzbeschaffung
- Ansprüche von Kunden oder Geschäftspartnern
- datenschutzrechtliche Schadensersatzforderungen
- Kosten aufgrund vertraglicher Haftung
Ob solche Schäden gegenüber einem Dienstleister oder anderen Beteiligten geltend gemacht werden können, hängt von den konkreten vertraglichen und tatsächlichen Umständen ab.
Ebenso kann ein Unternehmen mit Schadensersatzforderungen konfrontiert werden und muss prüfen, ob und in welchem Umfang eine Haftung tatsächlich besteht.
Beweissicherung nach einem Cyberangriff
Bei technisch komplexen Vorfällen kann die spätere Beweislage entscheidend sein.
Wird ein System vollständig wiederhergestellt oder verändert, können Informationen über den ursprünglichen Angriff verloren gehen.
Deshalb sollte frühzeitig geprüft werden, welche Unterlagen und technischen Informationen gesichert werden müssen.
Dazu können gehören:
- Logdateien
- Serverprotokolle
- Firewall- und Security-Logs
- E-Mail-Header
- Benutzer- und Zugriffsprotokolle
- Sicherungen
- Systemstände
- Forensikberichte
- Ticketsysteme
- Kommunikation mit IT-Dienstleistern
- Vertragsunterlagen
- Dokumentationen zu Sicherheitsmaßnahmen
Welche Informationen erforderlich sind, hängt vom konkreten Vorfall und möglichen späteren Ansprüchen ab.
Cyberversicherung und rechtliche Schnittstellen
Besteht eine Cyberversicherung, können zusätzlich versicherungsrechtliche Fragen entstehen.
Zu prüfen sein kann beispielsweise:
- Welche Schäden sind vom Versicherungsschutz umfasst?
- Welche Obliegenheiten bestehen?
- Welche Meldepflichten gelten?
- Welche Dienstleister dürfen oder müssen eingeschaltet werden?
- Welche Kosten werden übernommen?
- Welche Ausschlüsse enthält der Versicherungsvertrag?
Bei größeren Vorfällen sollten versicherungsrechtliche und IT-rechtliche Fragen deshalb frühzeitig miteinander abgestimmt werden.
Ansprüche von Kunden und Betroffenen
Nach einem Cyberangriff können auch Dritte Ansprüche geltend machen.
Dies können beispielsweise Kunden, Geschäftspartner oder betroffene Personen sein.
Mögliche Forderungen betreffen:
- Schadensersatz
- Vertragsverletzungen
- Datenschutzverstöße
- Betriebsausfälle
- Liefer- oder Leistungsausfälle
- Verletzung von Vertraulichkeitspflichten
Nicht jede Forderung ist automatisch berechtigt.
Vor Anerkennung oder Zurückweisung eines Anspruchs sollte deshalb geprüft werden, welche rechtliche Grundlage besteht und welche Tatsachen nachweisbar sind.
Auseinandersetzungen mit IT-Dienstleistern
Gerade nach einem größeren Sicherheitsvorfall entstehen häufig Spannungen zwischen Unternehmen und IT-Dienstleister.
Das Unternehmen wirft dem Dienstleister unzureichende Sicherheitsmaßnahmen vor. Der Dienstleister hält dagegen, dass bestimmte Systeme oder Entscheidungen nicht in seinen Verantwortungsbereich gefallen seien.
Solche Auseinandersetzungen können technisch und rechtlich sehr komplex werden.
Entscheidend ist dann, Vertrag, technische Zuständigkeiten und tatsächlichen Ablauf des Vorfalls gemeinsam zu analysieren.
Praxisbeispiel: Ransomware und Streit über die Verantwortlichkeit
Ein Unternehmen wird Opfer eines Ransomware-Angriffs. Mehrere Systeme werden verschlüsselt und der Geschäftsbetrieb ist für mehrere Tage erheblich eingeschränkt.
Die technische Analyse ergibt, dass der Angriff möglicherweise über ein nicht aktualisiertes System erfolgte.
Das Unternehmen ist der Auffassung, der externe IT-Dienstleister sei für Updates und Sicherheitsüberwachung verantwortlich gewesen.
Der Dienstleister bestreitet dies und verweist auf vertragliche Mitwirkungspflichten des Unternehmens.
Zusätzlich wurden möglicherweise personenbezogene Daten betroffen, Kunden machen erste Ansprüche geltend und eine Cyberversicherung verlangt detaillierte Angaben zum Vorfall.
In einer solchen Situation müssen technische Ursachen, vertragliche Zuständigkeiten, Datenschutzfragen, Versicherungsbedingungen und mögliche Schadensersatzansprüche gemeinsam betrachtet werden.
Wann ist anwaltliche Beratung nach einem Cyberangriff sinnvoll?
Eine anwaltliche Prüfung ist insbesondere sinnvoll, wenn:
- erhebliche wirtschaftliche Schäden entstanden sind,
- personenbezogene Daten betroffen sind,
- Schadensersatzforderungen drohen,
- die Verantwortlichkeit eines IT-Dienstleisters streitig ist,
- mehrere Dienstleister beteiligt sind,
- vertragliche Haftungsfragen entstehen,
- Kunden oder Geschäftspartner Ansprüche geltend machen,
- ein Versicherer eingebunden werden muss,
- Beweissicherung erforderlich ist oder
- sich ein gerichtliches Verfahren abzeichnet.
Je früher die rechtliche Situation geklärt wird, desto besser lassen sich spätere Konflikte vorbereiten oder vermeiden.
Ihr Ansprechpartner bei Cyberangriffen und IT-Sicherheitsvorfällen
Rechtsanwalt Karsten Rößner
Rechtsanwalt Karsten Rößner berät und vertritt Unternehmen bei den rechtlichen Folgen von Cyberangriffen und IT-Sicherheitsvorfällen – insbesondere bei Haftungsfragen, Schadensersatz- und Regressansprüchen, Datenschutzverletzungen sowie Auseinandersetzungen mit IT-Dienstleistern.
Er hat den Fachanwaltslehrgang Informationstechnologierecht erfolgreich absolviert und verfügt als zertifizierter externer Datenschutzbeauftragter über besondere Erfahrung an der Schnittstelle von IT-Recht, Datenschutz und technischen Unternehmensprozessen.
Ein besonderer Schwerpunkt liegt auf der rechtlichen Bewertung komplexer Cybervorfälle, der Klärung vertraglicher Verantwortlichkeiten, der Prüfung von Haftungs- und Regressansprüchen sowie der frühzeitigen Beweissicherung bei technisch anspruchsvollen IT-Sicherheitsfällen.
Häufige Fragen zu Cyberangriffen und IT-Sicherheitsvorfällen
Übernimmt die Kanzlei die technische Abwehr eines Cyberangriffs?
Nein. Die technische Incident Response erfolgt durch IT-Sicherheitsfachleute. Die Kanzlei übernimmt die rechtliche Beratung und Interessenvertretung bei den Folgen des Vorfalls.
Können Sie prüfen, ob ein IT-Dienstleister haftet?
Ja. Dazu müssen insbesondere Vertrag, vereinbarte Zuständigkeiten, technische Ursache des Vorfalls und mögliche Pflichtverletzungen geprüft werden.
Beraten Sie auch bei Datenschutzverletzungen nach einem Cyberangriff?
Ja. Wir beraten bei konkreten datenschutzrechtlichen Rechtsfragen und möglichen Ansprüchen, die aus einem Cybervorfall entstehen.
Können Sie Schadensersatzansprüche durchsetzen?
Wenn die rechtlichen Voraussetzungen vorliegen, prüfen und verfolgen wir Schadensersatz- und Regressansprüche gegen verantwortliche Vertragspartner oder andere Beteiligte.
Übernehmen Sie solche Mandate bundesweit?
Ja. Bei geeigneten Sachverhalten beraten und vertreten wir Unternehmen von Alsfeld aus bundesweit.
Cyberangriff oder IT-Sicherheitsvorfall? Rechtliche Folgen frühzeitig prüfen
Nach einem Cyberangriff müssen technische und rechtliche Fragen parallel bearbeitet werden. Während IT-Sicherheitsfachleute Systeme analysieren, sichern und wiederherstellen, sollten die rechtlichen Folgen des Vorfalls möglichst früh eingeordnet werden.
Besonders wichtig sind datenschutzrechtliche Pflichten, vertragliche Verantwortlichkeiten, Haftungs- und Regressfragen, mögliche Ansprüche von Kunden oder Betroffenen sowie die frühzeitige Sicherung relevanter Beweismittel.
Rechtsanwalt Karsten Rößner berät und vertritt Unternehmen bei den rechtlichen Folgen von Cyberangriffen und IT-Sicherheitsvorfällen sowie bei daraus entstehenden Auseinandersetzungen – außergerichtlich und gerichtlich sowie bei geeigneten Mandaten bundesweit.
Sie erreichen die Kanzlei telefonisch oder per E-Mail zur Vereinbarung eines Besprechungstermins. Kontakt und Anfahrt zur Kanzlei →