Richtig und angemessen reagieren

IT-Sicherheitsvorfall - was tun?

Stand: 17. März 2026

IT‑Systeme sind heute für fast alle Geschäftsprozesse unverzichtbar. Kommt es zu Störungen - von innen oder außen herbeigeführt - können Informations-, Kommunikations- und Produktionssysteme abrupt ausfallen und dadurch unvermittelt überwältigende Ausmaße annehmen. Ein strukturiertes und systematisches Vorgehen hilft dabei Ruhe zu bewahren und diesen Vorfall strukturiert abzuarbeiten.

Wann spricht man vom IT-Sicherheitsvorfall?

Ein IT‑Sicherheitsvorfall ist ein Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten, Informationen, Prozessen, Services oder Systemen beeinträchtigt. Auch der bloße Versuch eines Angriffs gilt bereits als sicherheitsrelevantes Ereignis.
Sicherheitsvorfälle können natürlich auch zufällige Ereignisse z. B. Brände oder Stromausfälle sein. Heute sind vor allem menschliche Eingriff in das IT-System ursächlich – dieses kann bewusst oder unbewusst erfolgen. Mit Hilfe von IT-Forensik können Methoden und Schwachstellen ermittelt werden, die zum Systemausfall geführt haben. Beweissicherung, die Feststellung des wirtschaftlichen Gesamtschadens sowie die Hinweise zur Täterermittlung für die juristische Aufarbeitung sind ebenfalls Einsatzgebiete der IT-Forensik.

Wie wird der IT-Sicherheitsvorfall festgestellt?

Wenn im Unternehmen nichts mehr geht, ist es oft eindeutig. Ansonsten erfolgen die Hinweise auf Cyberattacken meistens durch Mitarbeiter, ein eigenes Sicherheitssystem oder durch interne Ermittler oder Revisionsabteilungen. Moderne Angriffe – etwa über Zero-Day‑Schwachstellen oder durch Ransomware‑Gruppen – bleiben oft unbemerkt, bis ungewöhnliche Aktivitäten auffallen oder Systeme ungewöhnlich reagieren.

Was tun, wenn es passiert?

Wichtige Informationen und Hinweise für die Vorgehensweise finden Sie auf der Webseite des Bundesamt für Sicherheit in der Informationstechnik (BSI).
Hier stehen umfangreiche Handlungshilfen, Videos und Checklisten zur Verfügung, die Unternehmen Schritt für Schritt durch den Notfall führen.
Je nach Art des Vorfalls gehören dazu, Hinweise auf Meldepflichten, Verhaltens- und Handlungsempfehlungen sowie Kontakte zur Polizei für Cybercrime.
Wichtige Schritte sind:
  • Bewahren Sie Ruhe und handeln Sie nicht übereilt. Wissen alle relevanten internen Stellen vom mutmaßlichen IT-Notfall? Ansonsten weihen Sie nur erforderliche und vertrauenswürdige Personen ein.
  • Organisieren Sie sich und richten Sie einen internen Krisenstab ein. Verteilen Sie Rollen und Zuständigkeiten. Priorisieren Sie gemeinsam das weitere Vorgehen.
  • Sammeln Sie Informationen - möglichst schnell und möglichst viele - um fundierte Entscheidungen treffen zu können. Holen Sie Ihren externen IT-Dienstleister und qualifizierte Experten dazu. Dazu zählen auch Kriminalämter und die örtliche Polizei, möglicherweise aber auch Rechtsanwälte, PR-Berater oder Datenschutzbeauftragte.
  • Stellen Sie Backups sicher. Wenn möglich – sollten auch betroffene Geräte oder Daten gesichert werden. Sperren Sie ggf. Dienste oder Accounts und trennen diese von Ihrem internen Netzwerk und vom Internet. Klären Sie, welche Auswirkung ein Weiterbetrieb auf die Beweissicherung hat.
  • Dokumentieren Sie den Vorfall sogfältig, Geben Sie dabei die durchgeführten Schritte möglichst genau an - mit exakten Zeitangaben. Beobachtungen können auch mit Fotos dokumentiert werden.
  • Die Nachbereitung und intensive Auseinandersetzung mit einem Vorfall soll Ursachen analysieren und Maßnahmen definieren die zukünftige Vorfälle verhindern.

Kann man sich auf einen IT-Sicherheitsvorfall vorbereiten?

Im Unternehmen müssen entsprechende Vorbereitungen und Maßnahmen ergriffen werden, die einen Angriff auf internen Daten und fremde Zugriffe auf Systeme weitestgehend unmöglich machen oder erheblich erschweren. Insofern gilt es ein IT-Sicherheitskonzept zu erstellen, das sich mit den möglichen Risiken und Schwachstellen, Datensicherungen und der Wiederherstellung, Schulung und Sensibilisierung der Mitarbeitenden gewissenhaft auseinandersetzt und auch organisatorische Schutzmaßnahmen adressiert.