Der teuerste Moment eines Sicherheitsvorfalls ist selten der Angriff selbst – es sind die Stunden davor, in denen jemand etwas bemerkt hat und nicht wusste, wem er es sagen soll. Ein Meldeprozess kostet fast nichts und verkürzt genau diese Zeit. Unten findest du einen Mustertext zum Übernehmen, die gesetzlichen Fristen im Überblick und die Punkte, an denen Meldeprozesse in der Praxis stillschweigend versagen.
Mustertext: Meldung und Behandlung von Sicherheitsvorfällen
Platzhalter ersetzen, Nichtzutreffendes streichen, intern freigeben lassen.
Meldeprozess für Sicherheitsvorfälle der [Organisation]
1. Zweck und Geltungsbereich
Dieser Prozess regelt, wie Sicherheitsvorfälle und Verdachtsfälle in der [Organisation] gemeldet, bewertet und behandelt werden. Er gilt für alle Beschäftigten sowie für externe Dienstleister mit Zugang zu Informationen oder Systemen der [Organisation].
2. Was gemeldet wird
Zu melden ist jedes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen gefährden könnte. Dazu zählen insbesondere: verdächtige E-Mails und Anrufe, versehentlich an falsche Empfänger versandte Informationen, Verlust oder Diebstahl von Geräten und Datenträgern, ungewöhnliches Systemverhalten, entdeckte Schwachstellen sowie der Verdacht auf unbefugten Zugriff. Im Zweifel wird gemeldet. Eine Meldung, die sich als unbegründet erweist, hat keine nachteiligen Folgen für die meldende Person.
3. Wie gemeldet wird
Meldungen erfolgen unverzüglich über [Telefonnummer / E-Mail-Adresse / Ticketsystem]. Außerhalb der Geschäftszeiten gilt [Rufnummer der Rufbereitschaft]. Die meldende Person beschreibt, was sie beobachtet hat, wann es geschehen ist und welche Systeme oder Daten betroffen sein könnten. Betroffene Systeme werden nicht eigenmächtig neu gestartet, bereinigt oder verändert, da dadurch Spuren verloren gehen.
4. Erstbewertung
Die Meldung wird durch [die IT / den ISMS-Verantwortlichen] innerhalb von [einer Stunde während der Geschäftszeiten] gesichtet und einer Kategorie zugeordnet: gering (keine Auswirkung auf den Betrieb), mittel (eingeschränkter Betrieb, keine schützenswerten Daten betroffen) oder hoch (Betriebsunterbrechung, Verdacht auf Abfluss schützenswerter oder personenbezogener Daten). Bei Kategorie hoch werden unverzüglich die [Geschäftsleitung] und der [Datenschutzbeauftragte] informiert.
5. Rollen im Vorfall
Die [Vorfallverantwortliche Person] koordiniert alle Aktivitäten, trifft Entscheidungen und erklärt den Vorfall für beendet. Die [technische Leitung] verantwortet Analyse und Wiederherstellung. Die [Kommunikationsverantwortung] steuert die Information nach innen und außen; Auskünfte an Dritte, Presse oder Kunden erfolgen ausschließlich über diese Stelle.
6. Externe Meldepflichten
Sind personenbezogene Daten betroffen, prüft der [Datenschutzbeauftragte] unverzüglich die Meldepflicht gegenüber der zuständigen Aufsichtsbehörde; die Frist beträgt 72 Stunden ab Kenntnis. Bei hohem Risiko für die betroffenen Personen werden diese zusätzlich benachrichtigt. Unterliegt die [Organisation] weiteren Meldepflichten, etwa aus dem Bereich kritischer oder besonders wichtiger Einrichtungen, gelten die dort vorgesehenen Fristen und Meldewege zusätzlich. Die Prüfung der Meldepflicht wird in jedem Fall dokumentiert – auch dann, wenn im Ergebnis nicht gemeldet wird.
7. Dokumentation
Zu jedem Vorfall werden festgehalten: Zeitpunkt der Entdeckung und der Meldung, betroffene Systeme und Daten, ergriffene Maßnahmen mit Zeitstempel, beteiligte Personen, Ergebnis der Meldepflichtprüfung und Zeitpunkt der Beendigung.
8. Nachbereitung
Nach Vorfällen der Kategorie mittel und hoch findet innerhalb von [zwei Wochen] eine Nachbetrachtung statt. Sie beantwortet: Was ist passiert, warum wurde es erst zu diesem Zeitpunkt bemerkt, was hat funktioniert, was nicht? Die abgeleiteten Maßnahmen werden mit Verantwortlichem und Termin festgehalten und in die Risikobewertung übernommen. Die Nachbetrachtung dient der Verbesserung, nicht der Schuldzuweisung.
Freigegeben durch: [Name, Funktion] · Gültig ab: [Datum] · Nächste Überprüfung: [Datum]
Fristen im Überblick
| Grundlage | Wer meldet an wen | Frist |
|---|---|---|
| DSGVO Art. 33 | Verantwortlicher an die Datenschutz-Aufsichtsbehörde, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht | 72 Stunden ab Kenntnis |
| DSGVO Art. 34 | Verantwortlicher an die betroffenen Personen, bei voraussichtlich hohem Risiko | unverzüglich |
| NIS2 | betroffene Einrichtungen an die zuständige nationale Stelle | dreistufig: Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat |
| Verträge | an Kunden und Auftraggeber | oft kürzer als alles oben – Auftragsverarbeitungsverträge enthalten regelmäßig 24 Stunden |
Ob NIS2 für eine Organisation konkret gilt, richtet sich nach Sektor und Größe. Mit diesem Check lässt sich die Betroffenheit nach § 28 BSIG bestimmen – halte das Ergebnis schriftlich fest, auch ein begründetes „nicht betroffen“ ist ein nützliches Dokument.
Aus der Praxis: Der Prozess scheitert fast nie an der Technik, sondern an einem einzigen Satz, der fehlt: dass eine Meldung folgenlos bleibt, wenn sie sich als Fehlalarm herausstellt. Wo Beschäftigte befürchten, sich mit einer Meldung selbst zu belasten – etwa nach einem Klick auf einen Anhang –, wird nicht gemeldet, sondern gehofft. Und die Stunden, die dadurch verloren gehen, sind genau die, in denen ein Vorfall noch klein war.
Was Normen verlangen
- ISO/IEC 27001:2022 – Anhang A behandelt das Thema in fünf Maßnahmen: 5.24 Planung und Vorbereitung, 5.25 Beurteilung und Entscheidung über Ereignisse, 5.26 Reaktion, 5.27 Lernen aus Vorfällen und 5.28 Sammlung von Beweismaterial.
- BSI IT-Grundschutz – der Baustein DER.2.1 „Behandlung von Sicherheitsvorfällen“ beschreibt den Ablauf mit konkreten Umsetzungshinweisen bis hin zur Beweissicherung.
- DSGVO – Art. 33 und 34 regeln Meldung und Benachrichtigung, Art. 5 Abs. 2 verlangt die Nachweisbarkeit. Deshalb gehört auch die Entscheidung, nicht zu melden, dokumentiert.
Häufige Fragen
Ab wann läuft die 72-Stunden-Frist?
Ab dem Zeitpunkt, zu dem die Organisation hinreichende Kenntnis von der Verletzung erlangt – nicht ab dem Zeitpunkt, zu dem die Analyse abgeschlossen ist. Wer wartet, bis alle Details geklärt sind, meldet zu spät. Eine Meldung darf unvollständig erfolgen und später ergänzt werden.
Muss jeder Vorfall gemeldet werden?
Intern ja, extern nein. Die externe Meldepflicht knüpft an das Risiko für Betroffene beziehungsweise an regulatorische Schwellen an. Genau deshalb braucht es die Erstbewertung im Prozess – sie trennt den verlorenen USB-Stick ohne Daten vom Abfluss einer Kundendatenbank.
Wer entscheidet über die Meldung an Behörden?
Die Entscheidung trifft die Geschäftsleitung als Verantwortlicher im Sinne der DSGVO, fachlich vorbereitet durch den Datenschutzbeauftragten. Die IT liefert die Faktenlage, entscheidet aber nicht über die Meldung – diese Trennung sollte im Prozess ausdrücklich stehen.
Was, wenn der Dienstleister den Vorfall hat?
Die Meldepflicht bleibt bei der eigenen Organisation. Deshalb gehört in jeden Auftragsverarbeitungsvertrag eine Frist, innerhalb derer der Dienstleister informieren muss – üblicherweise deutlich kürzer als 72 Stunden, weil die eigene Frist bereits läuft.
Passende Richtlinien
- IT-Notfallplan – was nach der Meldung passiert, wenn der Betrieb steht
- Datensicherungskonzept – die Voraussetzung dafür, dass Wiederherstellung überhaupt möglich ist
- Risikobewertung – Erkenntnisse aus Vorfällen zurück in die Risikobetrachtung geben
- Berechtigungskonzept – begrenzt, wie weit ein kompromittiertes Konto überhaupt kommt