Meldepflichten bei IT-Sicherheitsvorfällen: Ein Leitfaden

Nicht jeder IT-Sicherheitsvorfall ist automatisch meldepflichtig. Entscheidend sind unter anderem die betroffenen Daten und Dienste, das Risiko für Personen, die Einstufung des Unternehmens und die Auswirkungen des Vorfalls. Dieser Überblick beschreibt die wichtigsten Prüfschritte. Er ersetzt keine rechtliche Beratung im Einzelfall.

Zwei häufig relevante Rechtsgrundlagen

Die Datenschutz-Grundverordnung betrifft Verletzungen des Schutzes personenbezogener Daten. Nach Artikel 33 DSGVO muss der Verantwortliche die Verletzung grundsätzlich an die zuständige Aufsichtsbehörde melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Ist eine Meldung erforderlich, soll sie möglichst binnen 72 Stunden nach Bekanntwerden erfolgen. Eine Verzögerung muss begründet werden. Artikel 34 enthält zusätzlich Voraussetzungen für die Benachrichtigung betroffener Personen.

Daneben gilt seit dem 6. Dezember 2025 das deutsche BSIG in der durch das NIS2-Umsetzungsgesetz geänderten Fassung. Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst ist, richtet sich nach § 28 BSIG. Dabei zählen Einrichtungsart, Sektor, Beschäftigtenzahl, Umsatz und Bilanzsumme sowie gesetzliche Sonderfälle. Ein allgemeiner Schwellenwert für alle kleinen Unternehmen existiert nicht.

Für erfasste Einrichtungen beschreibt § 32 BSIG ein gestuftes Verfahren bei erheblichen Sicherheitsvorfällen: eine frühe Erstmeldung spätestens innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung innerhalb von 72 Stunden und grundsätzlich einen Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung. Welche Informationen erforderlich sind und ob ein Vorfall erheblich ist, richtet sich nach dem Gesetz und dem konkreten Sachverhalt.

Je nach Branche können weitere Vorgaben gelten, etwa für Finanzunternehmen, Telekommunikation oder kritische Infrastruktur. Auch Verträge, Versicherungsbedingungen und Kundenvereinbarungen können kürzere Informationswege vorsehen. Diese Pflichten sollten getrennt voneinander geprüft werden.

Anwendungsbereich und erste Bewertung

Eine erste Bewertung sollte mindestens folgende Fragen dokumentieren:

1. Sind personenbezogene Daten betroffen und welche Folgen sind für die betroffenen Personen plausibel?
2. Ist das Unternehmen nach § 28 BSIG erfasst und erfüllt der Vorfall die Kriterien eines erheblichen Sicherheitsvorfalls?
3. Gelten zusätzliche sektorale, vertragliche oder versicherungsbezogene Pflichten?
4. Wann hat die zuständige Stelle im Unternehmen belastbare Kenntnis vom Vorfall erhalten?
5. Welche Informationen sind gesichert, welche noch unklar und welche Sofortmaßnahmen laufen bereits?

Unvollständige Informationen sind in der frühen Phase normal. Entscheidend sind ein nachvollziehbarer Zeitstempel, gesicherte Fakten und eine klare Trennung zwischen bestätigten Erkenntnissen und Annahmen.

Schritte für einen belastbaren Meldeprozess

Beginnen Sie mit der technischen Eindämmung und Beweissicherung, ohne Meldefristen aus dem Blick zu verlieren. Benennen Sie eine koordinierende Stelle, die IT, Geschäftsleitung, Datenschutz und gegebenenfalls externe Fachleute zusammenführt. Halten Sie Art und Umfang des Vorfalls, betroffene Systeme und Daten, erste Folgen, Gegenmaßnahmen sowie offene Fragen schriftlich fest.

Prüfen Sie anschließend jede mögliche Rechtsgrundlage separat. Für Datenschutzverletzungen ist die zuständige Datenschutzaufsichtsbehörde relevant; für Meldungen nach § 32 BSIG stellt das BSI die vorgesehenen Meldewege bereit. Branchenaufsichten oder Vertragspartner können zusätzliche Empfänger sein. Verwenden Sie aktuelle offizielle Formulare und Kontaktwege der jeweiligen Stelle.

Dokumentieren Sie auch die Entscheidung, nicht zu melden. Eine belastbare Begründung zeigt, welche Tatsachen, Risiken und Schwellen geprüft wurden. Neue Erkenntnisse können eine Neubewertung erforderlich machen.

Vorbereitung vor dem Ernstfall

Ein Incident-Response-Plan sollte Meldewege, Vertretungen und externe Kontakte enthalten. Üben Sie anhand realistischer Szenarien, wie technische Bewertung und rechtliche Prüfung parallel laufen. Halten Sie die offiziellen Portale und Kontaktdaten offline verfügbar und prüfen Sie sie regelmäßig auf Aktualität.

Dieser Beitrag wurde am 22. August 2026 anhand der verlinkten amtlichen Fassungen geprüft. Ob eine konkrete Meldung erforderlich ist, hängt vom Einzelfall ab.