Wer hilft Unternehmen nach einem Hackerangriff?

Wenn der Zugriff auf zentrale Systeme ausfällt, Mitarbeitende verdächtige Nachrichten erhalten oder Daten nicht mehr verfügbar sind, zählt jede Entscheidung. Die Frage „wer hilft unternehmen nach einem hackerangriff?“ lässt sich nicht mit einem einzelnen Ansprechpartner beantworten. Ein wirksames Vorgehen braucht ein koordiniertes Team aus IT, spezialisierten Dienstleistern, Versicherer und internen Verantwortlichen. Wer diese Rollen erst im Ernstfall klärt, verliert oft wertvolle Zeit.

Wer hilft Unternehmen nach einem Hackerangriff?

Die erste operative Anlaufstelle ist in der Regel der interne IT-Verantwortliche oder der betreuende IT-Dienstleister beziehungsweise das Systemhaus. Diese Personen kennen die Infrastruktur, die geschäftskritischen Anwendungen und die vorhandenen Sicherungskopien. Ihre Aufgabe ist es, den Vorfall technisch einzuordnen, betroffene Systeme kontrolliert zu isolieren und die Betriebsfähigkeit so weit wie möglich zu erhalten.

Bei einem schwerwiegenden Vorfall reicht regulärer IT-Support jedoch häufig nicht aus. Dann werden Spezialisten für Incident Response und digitale Forensik benötigt. Sie untersuchen den Angriffsverlauf, sichern belastbare Spuren, unterstützen bei der Bereinigung und bewerten, ob sich ein Angreifer noch im Netzwerk befindet. Das ist besonders relevant, bevor Systeme wieder produktiv geschaltet werden. Ein vorschneller Neustart kann Beweise zerstören oder dazu führen, dass die Störung erneut auftritt.

Besteht eine Cyberversicherung, ist auch der Versicherer beziehungsweise dessen Schaden- und Krisenteam frühzeitig einzubinden. Viele Policen sehen einen Zugang zu erprobten Dienstleistern vor, etwa für Forensik, Krisenkommunikation oder die Wiederherstellung von Daten. Welche Unterstützung konkret abrufbar ist, hängt vom Vertrag, vom versicherten Ereignis und von vereinbarten Obliegenheiten ab. Deshalb sollte der Versicherer nicht erst kontaktiert werden, wenn bereits externe Aufträge vergeben wurden.

Je nach Lage kommen weitere Funktionen hinzu:

• der Datenschutzbeauftragte für die interne Koordination datenschutzrelevanter Sachverhalte,
• spezialisierte externe Berater zur rechtlichen Einordnung und Kommunikation im vorgegebenen Rahmen,
• Kommunikationsverantwortliche für abgestimmte Informationen an Kunden, Lieferanten und Mitarbeitende,
• die Geschäftsführung für Prioritäten, Freigaben und Entscheidungen mit wirtschaftlicher Tragweite,
• bei einem versicherten Schaden die durch den Versicherer koordinierte Krisenunterstützung.

Nicht jeder Vorfall erfordert alle Beteiligten. Ein abgefangener Phishing-Versuch ist anders zu behandeln als ein Ausfall von Produktionssystemen oder der Verdacht auf einen Abfluss personenbezogener Daten. Entscheidend ist, dass Zuständigkeiten, Entscheidungswege und Eskalationsstufen vorher definiert sind.

Die ersten Stunden: Schäden begrenzen, nicht improvisieren

In den ersten Stunden stehen drei Ziele im Vordergrund: Ausbreitung stoppen, Fakten sichern und den Geschäftsbetrieb priorisieren. Betroffene Geräte oder Konten müssen gegebenenfalls vom Netzwerk getrennt werden. Zugleich sollte die IT nachvollziehbar dokumentieren, wann der Vorfall erkannt wurde, welche Systeme betroffen sein könnten und welche Maßnahmen bereits erfolgt sind.

Improvisation ist dabei ein Risiko. Wer beispielsweise Systeme ohne Abstimmung zurücksetzt, kann forensische Erkenntnisse verlieren. Wer Mitarbeitende zu früh oder unkoordiniert informiert, schafft unter Umständen widersprüchliche Aussagen. Und wer externe Dienstleister beauftragt, ohne die Bedingungen der Cyberpolice zu prüfen, riskiert Diskussionen über Kosten und Zuständigkeiten.

Die Geschäftsführung sollte sehr früh einen klaren Incident Lead benennen. Diese Rolle bündelt Informationen, dokumentiert Entscheidungen und hält den Kontakt zwischen IT, Versicherer und weiteren Experten. Das bedeutet nicht, dass die Geschäftsführung technische Analysen übernehmen muss. Sie trägt jedoch die Verantwortung für Geschäftsfortführung, Ressourcen und die angemessene Steuerung des Vorfalls.

Praktisch bewährt sich ein vorab definierter Notfallplan mit 24-Stunden-Kontakten, Prioritäten für kritische Prozesse und einer Liste der Systeme, die zuerst wiederhergestellt werden müssen. Dazu gehören häufig Warenwirtschaft, Kommunikation, Buchhaltung, Produktionssteuerung oder Kundenportale. Die Priorität richtet sich nach dem Geschäftsmodell. Für ein produzierendes Unternehmen kann eine andere Reihenfolge sinnvoll sein als für einen Dienstleister mit vertraulichen Kundendaten.

Was die Cyberversicherung im Ernstfall leisten kann

Eine Cyberversicherung ersetzt keine technische Prävention. Multifaktor-Authentifizierung, aktuelle Sicherungskopien, klare Berechtigungskonzepte, Sensibilisierung der Mitarbeitenden und ein kontrolliertes Patch-Management bleiben zentrale Schutzmaßnahmen. Die Versicherung bildet die dritte Säule der IT-Sicherheit: Sie hilft, finanzielle Folgen und die Organisation eines versicherten Cyberereignisses zu bewältigen, wenn präventive Maßnahmen nicht ausreichen.

Je nach Deckung können Kosten für IT-Forensik, Wiederherstellung, Krisenmanagement, Betriebsunterbrechung oder die Bearbeitung von Haftpflichtansprüchen versichert sein. Ob und in welchem Umfang Leistungen greifen, hängt von den individuellen Vertragsbedingungen ab. Ausschlüsse, Sublimits, Wartezeiten, Selbstbehalte und Sicherheitsanforderungen verdienen dabei dieselbe Aufmerksamkeit wie die Versicherungssumme.

Besonders kritisch sind die vorvertraglich abgefragten und laufend einzuhaltenden Sicherheitsstandards. Versicherer erwarten bei vielen Unternehmen heute nachvollziehbare Mindestmaßnahmen, etwa geschützte Administrationszugänge, belastbare Backups und geregelte Zugriffsrechte. Werden Angaben im Antrag ungenau gemacht oder technische Anforderungen später nicht umgesetzt, kann dies im Schadenfall zu erheblichen Unsicherheiten führen.

Eine fachkundige Deckungsanalyse prüft deshalb nicht nur, ob eine Police vorhanden ist. Sie klärt auch, ob der konkrete Schutz zu Betriebsmodell, IT-Landschaft, Vertragspflichten und regulatorischer Exposition passt. Für Geschäftsführer ist das zugleich ein Haftungsthema: Cyberrisiken lassen sich nicht vollständig delegieren, auch wenn technische Aufgaben bei internen Teams oder externen Dienstleistern liegen.

Wenn keine Cyberpolice besteht

Auch ohne Cyberversicherung gilt: Zuerst muss der Vorfall professionell gesteuert werden. Das IT-Team oder Systemhaus, spezialisierte Incident-Response-Dienstleister und gegebenenfalls weitere Fachleute helfen, den Betrieb zu stabilisieren und Folgen zu bewerten. Die Kosten und die Auswahl der Experten trägt das Unternehmen dann allerdings selbst.

Nach der akuten Phase lohnt sich eine nüchterne Nachbereitung. Nicht mit der Frage, wer schuld war, sondern mit der Frage, welche Kontrolllücken sichtbar geworden sind. Waren Sicherungskopien tatsächlich wiederherstellbar? Konnte die Geschäftsführung kritische Systeme und Verantwortliche schnell erreichen? Wurden externe Dienstleister, Kunden oder Aufsichtsstellen nach einem definierten Prozess eingebunden? Solche Erkenntnisse sind die Grundlage, um den Notfallplan und die Sicherheitsarchitektur wirksam zu verbessern.

Eine Cyberversicherung kann auch nach einem Vorfall wieder zum Thema werden. Ob und wann Versicherungsschutz möglich ist, hängt vom Schadensbild, von der Bereinigung sowie vom erreichten Sicherheitsniveau ab. Pauschale Zusagen wären unseriös. Unternehmen, die technische Maßnahmen nachvollziehbar umsetzen und dokumentieren, schaffen jedoch eine deutlich bessere Ausgangslage für die Versicherbarkeit.

Vorbereitung entscheidet über die Qualität der Hilfe

Gute Unterstützung nach einem Angriff beginnt lange vor dem Angriff. Unternehmen sollten nicht nur Notfallnummern sammeln, sondern die Zusammenarbeit konkret testen: Wer darf Systeme isolieren? Wer informiert den Versicherer? Welche externen Partner sind vorgesehen? Wer entscheidet bei einem längeren Betriebsausfall über Prioritäten und Kommunikation?

Ebenso wichtig ist die Abstimmung zwischen IT und Versicherung. Der IT-Dienstleister kennt die technische Realität, der Versicherungsberater die Anforderungen des Marktes und die Leistungsgrenzen von Policen. Erst im Zusammenspiel entsteht ein Schutzkonzept, das nicht nur auf dem Papier besteht. CyberShield unterstützt Unternehmen dabei als freier Spezialmakler, Sicherheitsmaßnahmen, Versichererwartungen und bestehende Deckung strukturiert aufeinander abzustimmen.

Für Unternehmen mit einer bestehenden Police empfiehlt sich eine Prüfung vor dem Schadenfall. Dabei sollten insbesondere die Meldewege, die vereinbarten Krisendienstleister, Anforderungen an Backups und Zugriffsmanagement sowie Deckungslücken bei Betriebsunterbrechung und Haftpflicht betrachtet werden. Wer noch keine Police hat, sollte zunächst die eigene Risikolage und die realistisch umsetzbaren Sicherheitsmaßnahmen erfassen. Nicht jede Organisation braucht dieselbe Struktur, aber jede braucht Klarheit darüber, wer im Ernstfall handeln darf und wer Kosten trägt.

Die hilfreichste Entscheidung nach einem Hackerangriff ist selten die spektakulärste. Sie besteht darin, früh die richtigen Fachleute einzubinden, Maßnahmen nachvollziehbar zu dokumentieren und die Wiederaufnahme des Betriebs nicht dem Zufall zu überlassen.

Fachtexte und Ratgeberbeiträge entstehen unter Einsatz von KI und werden vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung liegt bei uns.