Cyberangriff auf das ERP: Die ersten 24 Stunden

Ein verschlüsselter ERP-Server ist kein reines IT-Thema: Aufträge, Lieferungen und Rechnungen stehen gleichzeitig still, und für Meldungen laufen Fristen. Was zuerst geschieht, hängt an vorbereiteten Entscheidungen — wer den Krisenstab ausruft, wer Systeme trennt, wer anruft. Alles davon gehört auf ein Blatt Papier, das ohne das ERP erreichbar ist.

Was Sie vorab brauchen

• ein Kontaktblatt auf Papier, an zwei Orten hinterlegt, mit Namen und Nummern; dass geregelt ist, wer bei Sicherheitsvorfällen wofür verantwortlich ist, verlangt DER.2.1.A3 als MUSS, passende Meldewege und eine Kontaktstrategie empfiehlt DER.2.1.A9 als SOLLTE; halten Sie die Kontaktdaten aktuell und ohne das ERP erreichbar
• einen benannten Krisenstab: Leitungsebene, IT-Leitung, Rechtsberatung, Kommunikation, Datenschutzbeauftragte sowie Personal- oder Betriebsrat (BSI-Arbeitspapier, Kapitel 3.2)
• ein Kommunikationsmittel außerhalb des eigenen Netzes: Mobiltelefon, mobiler Hotspot, eine Ersatz-E-Mail-Adresse, weil Telefonie und Mail im Vorfall ausfallen können
• einen Forensik-Dienstleister mit Notfallnummer oder Rahmenvertrag; das BSI führt Listen qualifizierter Dienstleister
• einen Ausdruck der Systeme, Datenbanken und Sicherungen samt Ablageort der Kopien
• eine vorab geklärte Haltung zu Strafanzeige, Lösegeldzahlung und Krisenkommunikation

Die ersten 24 Stunden im Zeitplan

Zeitfenster	Wer	Aufgabe	Anrufe
Stunde 0 bis 1	wer den Vorfall bemerkt, IT-Leitung	Vorfall ausrufen; sind Systeme schon verschlüsselt oder besteht Malware-Verdacht, die betroffenen Systeme sofort vom Netz trennen (Netzwerkkabel ziehen, nicht mehr mit dem Internet verbunden lassen); Beobachtung und Uhrzeit notieren, sonst nichts verändern	interne Notfallnummer, ERP-Betreuung
Stunde 1 bis 3	Krisenstab	Lagebild, Rollen verteilen, entscheiden: eindämmen oder aufklären; weitere betroffene Systeme trennen	Geschäftsleitung, Datenschutzbeauftragte, Cyber-Versicherung
Stunde 3 bis 8	IT und Dienstleister	Speicherabbild erstellen, Protokolle sichern, Angriffsweg und Einfallsvektor klären	Forensik-Dienstleister, Ansprechstelle Cybercrime
Stunde 8 bis 24	Rechtsberatung und Krisenstab	Meldepflichten prüfen, Erstmeldungen abgeben, Sprachregelung festlegen	Meldestelle, CSIRT oder BACS, Aufsichtsbehörde
Stunde 24 bis 72 (Ausblick)	Krisenstab und Betrieb	Notbetrieb halten, saubere Sicherungen prüfen, Fortschritts- oder Abschlussmeldung vorbereiten, Vorgänge nachbuchen	Kunden, Lieferanten, zuständige Behörde

Trennen Sie betroffene Systeme sofort, sobald sie verschlüsselt sind oder Malware-Verdacht besteht: das BSI-Arbeitspapier rät in diesem Fall zur möglichst schnellen Trennung vom restlichen Netz, auch wenn es sonst für eine erst nicht-invasive Analyse wirbt (Kapitel 4.1). Die Zeitangaben sind ein Arbeitsraster, keine Fristen; die verbindlichen Fristen stehen in der Tabelle unten.

Was hinter den Zeitfenstern steckt

Ausrufen, ohne das System anzufassen

Das BSI-Arbeitspapier „Ransomware: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“ (Version 1.2, Änderung vom 7. Oktober 2022) nennt eine oberste Regel: Auf einem möglicherweise infizierten System darf keine Anmeldung mit einem Administratorkonto erfolgen, solange es im produktiven Netz oder mit dem Internet verbunden ist. Beobachten und notieren Sie, aber verändern Sie nichts. Der Baustein DER.2.1 empfiehlt, dass alle durchgeführten Aktionen samt ihren Zeitpunkten sowie die Protokolldaten der betroffenen Komponenten dokumentiert werden (DER.2.1.A16, eine SOLLTE-Anforderung), und verlangt, dass die Leitung des IT-Betriebs die Maßnahmen freigibt (DER.2.1.A5). Diese Zurückhaltung gilt für Anmeldung und Analyse, nicht für das Trennen: sind Systeme schon verschlüsselt oder malwareverdächtig, ziehen Sie das Netzwerkkabel sofort (Kapitel 4.1).

Trennen und Spuren sichern

Nehmen Sie betroffene Systeme vom Netz; der IT-Grundschutz verlangt das in DER.2.1.A6, und das BSI-Arbeitspapier nennt dafür das Netzwerkkabel. Dieses Papier rät im Regelfall zu einer zunächst nicht-invasiven Analyse; sind aber bereits Systeme verschlüsselt oder besteht der Hinweis auf Malware, die Ransomware nachlädt, dann sollten die betroffenen Systeme möglichst schnell vom restlichen Netz getrennt und nicht mehr mit Verbindung zum Internet betrieben werden (Kapitel 4.1). Auf das Trennen warten Sie also nicht. Ein betroffenes Gerät fahren Sie nach Möglichkeit nicht herunter, weil beim Herunterfahren Dateien überschrieben werden; ist das System noch eingeschaltet, ist ein Abbild des Arbeitsspeichers die erste Sicherung. Beim Wiederaufbau spielen Sie Originaldaten von schreibgeschützten Datenträgern zurück und ändern alle Zugangsdaten der betroffenen Komponenten, bevor diese wieder laufen (DER.2.1.A6). Zugangsdaten, die auf dem System gespeichert waren oder danach eingegeben wurden, gelten nach dem BSI-Arbeitspapier als kompromittiert.

Melden, bevor die Analyse fertig ist

Eine Erstmeldung braucht kein fertiges Bild. Halten Sie bereit, was bekannt ist, seit wann und welche Systeme betroffen sind; Nachlieferungen sind zulässig. Wer keiner Meldepflicht unterliegt, kann den Vorfall freiwillig, auf Wunsch anonym, über das Melde- und Informationsportal des BSI melden. Beziehen Sie Versicherung und Rechtsberatung vor der ersten Meldung ein, weil Verträge eigene Fristen enthalten können (BSI-Checkliste Organisatorisches).

Kommunizieren und den Notbetrieb halten

Das BSI-Arbeitspapier ordnet die interne Information vor der externen: Mitarbeitende zuerst, dann Kunden, Lieferanten und Öffentlichkeit. Legen Sie eine Sprachregelung fest und bündeln Sie den Informationsfluss. Der Betrieb läuft auf Papier weiter, so wie Sie es vorbereitet haben (Notfallplan für den ERP-Ausfall).

Meldepflichten nach Land

Die drei Länder trennen die Meldung eines Cyberangriffs von der Meldung einer Datenpanne. Die Meldepflicht für Cyberangriffe trifft nur die Einrichtungen, die das jeweilige Gesetz erfasst, und in Österreich nur, soweit § 27 NISG 2026 die §§ 32 und 34 nicht wegen gleichwertiger sektorspezifischer Unionspflichten zurücknimmt (zu NIS2 als Unionsrahmen); das deutsche BSIG gilt in der Fassung vom 2. Dezember 2025, das österreichische NISG 2026 seit 1. Oktober 2026, die schweizerische ISG-Meldepflicht seit 1. April 2025. Wo das Gesetz eine Frist nennt, läuft sie ab Kenntniserlangung beziehungsweise ab Entdeckung; das gilt für die ersten beiden Meldungen nach deutschem und österreichischem Recht, während die Abschlussmeldung an die Übermittlung der vorangegangenen Meldung und bei fortdauerndem Vorfall an das Ende der Vorfallsbehandlung anknüpft (§ 32 Abs. 1 Satz 1 Nr. 1, 2 und 4 und Abs. 2 BSIG; § 34 Abs. 2 Z 1 und 2, 4 und 5 NISG 2026).

Land und Recht	Wen trifft es	Was und bis wann
Deutschland, § 32 BSIG	besonders wichtige und wichtige Einrichtungen nach § 28 BSIG: Betriebe einer Einrichtungsart der Anlage 1 mit mindestens 250 Beschäftigten oder einem Jahresumsatz von über 50 Millionen Euro und einer Jahresbilanzsumme von über 43 Millionen Euro sind besonders wichtig (§ 28 Abs. 1 Satz 1 Nr. 4 BSIG); Betriebe einer Einrichtungsart der Anlagen 1 oder 2 mit mindestens 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro sind wichtig (§ 28 Abs. 2 Satz 1 Nr. 3 BSIG); größenunabhängig besonders wichtig sind etwa Betreiber kritischer Anlagen (§ 28 Abs. 1 Satz 1 Nr. 1 BSIG); § 32 gilt nach § 28 Abs. 5 bis 7 BSIG nicht für Einrichtungen, die ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen, für Betreiber von Energieversorgungsnetzen, Energieanlagen oder digitalen Energiediensten unter den §§ 5c bis 5e EnWG, für Finanzunternehmen nach Art. 2 Abs. 2 der Verordnung (EU) 2022/2554 und Unternehmen mit DORA-Anforderungen nach § 1a Abs. 2 und 2a KWG oder § 293 Abs. 5 VAG, für die Gesellschaft für Telematik und bestimmte Betreiber von Diensten der Telematikinfrastruktur sowie für Betreiber kritischer Anlagen, soweit sie eine Anlage für diese Finanzunternehmen betreiben; die Rückausnahmen der Sätze 2 bis 4 stehen allein in § 28 Abs. 5 BSIG und gelten nur für die dortige Telekommunikations- und Energieausnahme des Satzes 1, nicht für die Ausnahmen der Absätze 6 und 7: Die Ausnahme des Abs. 5 Satz 1 greift nicht, soweit diese Einrichtungen über die in Satz 1 Nr. 1 und 2 genannten Anlagen hinaus weitere kritische Anlagen nach § 2 Nr. 22 BSIG betreiben oder wegen weiterer Tätigkeiten einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen sind, und sie entfällt insgesamt, wenn der Betrieb der Energieanlage für die Einrichtung nur eine Nebentätigkeit ist (§ 28 Abs. 5 Sätze 2 bis 4 BSIG)	erheblicher Sicherheitsvorfall: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung an die gemeinsame Meldestelle; dauert der Vorfall dann noch an, zunächst eine Fortschrittsmeldung und die Abschlussmeldung erst nach abschließender Bearbeitung; gilt frühestens ab Einrichtung des Meldewegs (§ 32 Abs. 1 und 2 BSIG). NIS2 in Deutschland
Deutschland, Art. 33 DSGVO	jede verantwortliche Stelle, deren Verarbeitung unter die Verordnung fällt	Verletzung personenbezogener Daten mit voraussichtlichem Risiko – auch ohne Datenabfluss, etwa bei Vernichtung, Verlust, Veränderung oder unbefugter Offenlegung (Art. 4 Nr. 12 DSGVO): unverzüglich, möglichst binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde; eine spätere Meldung ist zu begründen (Art. 33 Abs. 1 DSGVO). Datenpanne im ERP
Österreich, § 34 NISG 2026	wesentliche und wichtige Einrichtungen nach § 24 NISG 2026, soweit § 27 NISG 2026 die Anforderungen der §§ 32 und 34 nicht zurücknimmt, weil gleichwertige sektorspezifische Unionspflichten an ihre Stelle treten	erheblicher Cybersicherheitsvorfall: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung an das zuständige CSIRT; dauert der Vorfall dann noch an, bis zu diesem Zeitpunkt ein Fortschrittsbericht und der Abschlussbericht spätestens einen Monat nach Ende der Vorfallsbehandlung; ein Vertrauensdiensteanbieter unterrichtet das CSIRT bei einem Vorfall, der sich auf seine Vertrauensdienste auswirkt, abweichend davon binnen 24 Stunden (§ 34 Abs. 2 Z 1, 2, 4 und 5 und letzter Satz NISG 2026). NIS2 in Österreich
Schweiz, Art. 74e ISG	Behörden und Organisationen nach Art. 74b Abs. 1 ISG, etwa Trinkwasserversorgung, Abwasser- und Abfallentsorgung, Energieversorgung, Transportunternehmen, Spitäler, Banken und Versicherungen, Post- und Fernmeldedienste sowie Bundes-, Kantons- und Gemeindebehörden; keine Meldepflicht besteht für Cyberangriffe, die sich ausschließlich auf Tätigkeiten auswirken, die nicht unter Art. 74b Abs. 1 ISG fallen (Art. 74b Abs. 2 ISG), und der Bundesrat nimmt Fälle mit nur geringen Auswirkungen aus (Art. 74c ISG), konkret etwa Hochschulen mit weniger als 2000 Studierenden, Netzbetreiber, Elektrizitätserzeuger, Elektrizitätsspeicherbetreiber und Dienstleister im Elektrizitätsbereich, die weder Schutzniveau A noch Schutzniveau B einhalten müssen, Gasleitungsbetreiber, die nach Art. 2 Abs. 3 der Rohrleitungssicherheitsverordnung vom 4. Juni 2021 (SR 746.12) im Durchschnitt der letzten fünf Jahre weniger als 400 GWh/Jahr transportiert haben, Eisenbahn-, Seilbahn-, Trolleybus-, Autobus- und Schifffahrtsunternehmen nach Art. 74b Abs. 1 Buchst. m ISG, sofern sie die Voraussetzungen des Art. 12 Abs. 1 Buchst. c CSV zu den Systemaufgaben (Art. 37 EBG), zur Personenbeförderungskonzession nach Art. 6 PBG und zur Infrastrukturkonzession nach Art. 5 EBG erfüllen, Zivilluftfahrtunternehmen, die kein Informationssicherheitsmanagementsystem einrichten müssen und die Vorgaben nach Ziffer 1.7 des Anhangs der Durchführungsverordnung (EU) 2015/1998 nicht in ihrem Security-Programm umsetzen müssen, sowie Einrichtungen nach Art. 74b Abs. 1 Buchst. g, h, l und p ISG mit weniger als 50 Beschäftigten und höchstens 10 Millionen Franken Jahresumsatz oder Jahresbilanzsumme im betroffenen Bereich (Art. 12 CSV)	Cyberangriff, der die kritische Infrastruktur gefährdet, zu Manipulation oder Datenabfluss führte, lange unentdeckt blieb oder mit Erpressung, Drohung oder Nötigung verbunden ist (Art. 74d ISG): innert 24 Stunden nach Entdeckung an das BACS (Art. 74e Abs. 1 ISG). Schweiz: NIS2 und ISG-Meldepflicht
Schweiz, Art. 24 DSG	jeder Verantwortliche in der Schweiz; fällt die Bearbeitung zusätzlich unter die DSGVO, kommt Art. 33 DSGVO daneben	Verletzung der Datensicherheit mit voraussichtlich hohem Risiko: so rasch als möglich an den EDÖB, ohne Stundenfrist im Gesetz. Datenpanne in der Schweiz

Ein Handwerksbetrieb mit 20 Beschäftigten ist nicht schon wegen der Beschäftigtenzahl eine Einrichtung nach § 28 BSIG oder nach § 24 NISG 2026. Die Einordnung hängt an der Tätigkeit und an weiteren Größenmerkmalen. In Deutschland muss der Betrieb einer Einrichtungsart der Anlagen 1 oder 2 angehören und mindestens 50 Beschäftigte oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen, um wichtige Einrichtung zu sein (§ 28 Abs. 2 Satz 1 Nr. 3 BSIG); besonders wichtig ist er in einer Einrichtungsart der Anlage 1 ab mindestens 250 Beschäftigten oder über 50 Millionen Euro Jahresumsatz und über 43 Millionen Euro Jahresbilanzsumme (§ 28 Abs. 1 Satz 1 Nr. 4 BSIG), größenunabhängig etwa als Betreiber kritischer Anlagen (§ 28 Abs. 1 Satz 1 Nr. 1 BSIG). In Österreich gilt dasselbe Muster: Einrichtungen der Anlagen 1 und 2, die ein großes oder mittleres Unternehmen betreiben, sind wesentliche oder wichtige Einrichtungen (§ 24 Abs. 1 Z 3 und Abs. 2 Z 1 NISG 2026); mittel beginnt bei mindestens 50 Beschäftigten oder über 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme, groß bei mindestens 250 Beschäftigten oder über 50 Millionen Euro Jahresumsatz und über 43 Millionen Euro Jahresbilanzsumme (§ 25 Abs. 2 und 3 NISG 2026). Trifft keines dieser Merkmale zu, bleiben die Meldepflichten nach DSGVO und DSG. Prüfen Sie Tätigkeit, Größenmerkmale und die Daten verbundener Unternehmen einmal im Jahr nach (§ 28 Abs. 4 BSIG; § 25 Abs. 1 und 4 NISG 2026). Selbst bei erfüllten Größenmerkmalen trifft die Meldepflicht nach § 32 BSIG die in § 28 Abs. 5 bis 7 BSIG genannten Einrichtungen nicht: nach Abs. 5 Satz 1 Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste sowie Betreiber von Energieversorgungsnetzen, Energieanlagen oder digitalen Energiediensten unter den §§ 5c bis 5e EnWG, nach Abs. 6 Finanzunternehmen nach Art. 2 Abs. 2 der Verordnung (EU) 2022/2554, Unternehmen mit DORA-Anforderungen nach § 1a Abs. 2 und 2a KWG oder § 293 Abs. 5 VAG, die Gesellschaft für Telematik und bestimmte Betreiber von Diensten der Telematikinfrastruktur, und nach Abs. 7 Betreiber kritischer Anlagen, soweit sie eine Anlage für die genannten Finanzunternehmen betreiben. Die Rückausnahmen stehen allein in § 28 Abs. 5 Sätze 2 bis 4 BSIG; sie gelten nur für die Telekommunikations- und Energieausnahme des Satzes 1 und nicht für die Ausnahmen der Absätze 6 und 7. Die Ausnahme des Abs. 5 Satz 1 greift nicht, soweit die Einrichtung über die in Satz 1 Nr. 1 und 2 genannten Anlagen hinaus weitere kritische Anlagen nach § 2 Nr. 22 BSIG betreibt oder aufgrund weiterer Tätigkeiten einer Einrichtungsart der Anlage 1 oder 2 zuzuordnen ist (§ 28 Abs. 5 Sätze 2 und 3 BSIG), und sie findet insgesamt keine Anwendung, wenn der Betrieb der Energieanlage im Hinblick auf die gesamte Geschäftstätigkeit nur eine Nebentätigkeit ist (§ 28 Abs. 5 Satz 4 BSIG). In Österreich nehmen § 27 NISG 2026 zufolge die §§ 32 und 34 ihre Anforderungen insoweit zurück, als eine wesentliche oder wichtige Einrichtung aufgrund sektorspezifischer unionsrechtlicher Bestimmungen zur Ergreifung von Risikomanagementmaßnahmen oder zur Meldung erheblicher Cybersicherheitsvorfälle verpflichtet ist und diese Bestimmungen ein zumindest gleichwertiges Cybersicherheitsniveau gewährleisten (§ 27 Abs. 1 und 2 NISG 2026); welche Bestimmungen das sind und wie weit die Gleichwertigkeit reicht, teilt die Cybersicherheitsbehörde auf ihrer Webseite mit.

In Deutschland ist eine Meldung nach § 32 Abs. 1 Satz 1 BSIG, die nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erstattet wird, eine Ordnungswidrigkeit (§ 65 Abs. 2 Nr. 4 BSIG); dasselbe gilt nach § 65 Abs. 2 Nr. 5 BSIG für die Abschlussmeldung nach § 32 Abs. 2 Satz 2 BSIG. Die Geldbuße reicht bis 10 Millionen Euro bei besonders wichtigen Einrichtungen und bis 7 Millionen Euro bei wichtigen Einrichtungen (§ 65 Abs. 5 Satz 1 Nr. 1 BSIG). Gegenüber einer Einrichtung mit einem Gesamtumsatz von mehr als 500 Millionen Euro kann abweichend davon eine Geldbuße bis zu 2 Prozent (besonders wichtige Einrichtung) beziehungsweise bis zu 1,4 Prozent (wichtige Einrichtung) des Gesamtumsatzes verhängt werden; Gesamtumsatz sind die weltweiten Umsatzerlöse des Unternehmens im vorangegangenen Geschäftsjahr, der Wert kann geschätzt werden (§ 65 Abs. 6 bis 8 BSIG).

Kontaktblatt: Vorlage zum Ausdrucken

Diese Vorlage ist eine redaktionelle Empfehlung, keine Vorschrift; die Bausteine des IT-Grundschutzes binden nur über Gesetz, Vertrag oder eigene Regelung.

Feld	Eintrag
Wer ruft den Krisenstab aus (Name, Mobil, Stellvertretung)
IT-Leitung, ERP-Betreuung, Reaktionszeit aus dem Vertrag
Forensik-Dienstleister (Name, Notfallnummer, Erreichbarkeit)
Cyber-Versicherung (Policennummer, Schadenhotline)
Zuständige Meldestelle oder CSIRT (Adressat, Zugangsdaten des Portals)
Datenschutz-Aufsichtsbehörde (Adresse, Meldeformular)
Ansprechstelle Cybercrime der Polizei (Rufnummer, E-Mail)
Kommunikation (Pressestelle, Freigabeberechtigte)
Datenschutzbeauftragte, Betriebs- oder Personalrat
Ablage der Sicherungen und der Notfallpasswörter

Das BSI-Arbeitspapier empfiehlt eine Ersatzinfrastruktur für die Kommunikation, weil PCs oder Telefonie ausfallen können. Prüfen Sie das Blatt bei jeder Änderung und tauschen Sie die Ausdrucke aus; sonst arbeiten Sie mit Nummern von Personen, die die Aufgabe nicht mehr haben.

Wenn etwas nicht klappt

Symptom	Ursache	Umgang
Ein Administrator meldet sich auf dem befallenen Server an	die Anmeldung erfolgte auf einem möglicherweise infizierten System	Zugangsdaten gelten als kompromittiert; Passwort ändern, Vorfall dokumentieren
Nach dem Neustart fehlen Spuren	das Gerät wurde heruntergefahren	Speicherabbild vor dem Abschalten erstellen; Vorgang als Lehre notieren (DER.2.1.A17)
Die Sicherung ist mitverschlüsselt	die Sicherung war am Produktivnetz erreichbar	auf eine unveränderliche oder getrennte Kopie umstellen (Ransomware-sichere Sicherungen)
Die erste Meldung ist verspätet	Adressat und Zugangsdaten waren unbekannt	sofort melden, Verzögerung begründen, Kontaktblatt ergänzen
Zwei Stellen informieren die Kundschaft widersprüchlich	keine Sprachregelung	einen Absender festlegen und Rückfragen dort bündeln

So prüfen Sie das Ergebnis

• Alle betroffenen Systeme sind getrennt und dokumentiert; Systeme, die schon verschlüsselt waren, wurden sofort getrennt, und die Zeitpunkte stehen in der Notiz.
• Die Erstmeldung ist beim zuständigen Adressaten eingegangen, oder das Kontaktblatt zeigt, warum keine Pflicht bestand.
• Für Deutschland ist geprüft, ob eine Ausnahme nach § 28 Abs. 5 bis 7 BSIG eingreift (Telekommunikation, Energie, Finanzen, Telematik) und ob eine Rückausnahme sie aufhebt (diese steht allein in § 28 Abs. 5 Sätze 2 bis 4 BSIG und betrifft nur Telekommunikations- und Energieeinrichtungen nach Satz 1: weitere kritische Anlagen, weitere Tätigkeiten, Energieanlage als Nebentätigkeit); für Österreich ist geprüft, ob § 27 NISG 2026 die §§ 32 und 34 wegen gleichwertiger sektorspezifischer Unionspflichten zurücknimmt; für die Schweiz ist geprüft, ob der Angriff Art. 74d ISG entspricht und ob eine Ausnahme nach Art. 74c ISG oder Art. 12 CSV greift.
• Die Wiederherstellung erfolgt aus einer Kopie, die vor dem Vorfall entstanden ist (Wiederherstellung testen).
• Der Notbetrieb läuft, und jede Papierbuchung ist für die Nachbuchung gekennzeichnet.
• Versicherung, Rechtsberatung und Belegschaft sind informiert.

Wann Sie Hilfe holen sollten

Holen Sie externe Unterstützung, sobald Personendaten abgeflossen oder verloren gegangen sind oder Domänencontroller betroffen sein können; die Bereinigung reicht dann über einen einzelnen Server hinaus. Das BSI führt Listen qualifizierter Dienstleister und kann in einem herausgehobenen Fall nach § 11 BSIG auf Ersuchen der betroffenen Einrichtung selbst Maßnahmen zur Wiederherstellung treffen. Fristen, Haftung und Meldepflichten klärt Ihre Rechtsberatung; wie ein Ausfall wirtschaftlich zu bewerten ist, steht unter RTO, RPO und Ausfallkosten. Für die Sicherungsplanung im Vorfeld: Backup-Konzept fürs ERP, für den Aufbau der Basismaßnahmen: IT-Sicherheit rund ums ERP.