Unternehmen gehackt: Was tun? Sofortmaßnahmen, Meldepflichten und Vorsorge

Das Wichtigste in Kürze

• Wenn ein Unternehmen gehackt wurde, gelten drei Regeln: Ruhe bewahren, den Vorfall intern melden und dokumentieren, Gegenmaßnahmen nur mit den IT-Verantwortlichen abstimmen.
• Betrifft der Angriff personenbezogene Daten, muss das Unternehmen die Datenschutz-Aufsichtsbehörde möglichst binnen 72 Stunden informieren, sofern ein Risiko für die Betroffenen besteht.
• Bei Ransomware raten die Behörden davon ab, Lösegeld zu zahlen. Offline-Backups sind die wirksamste Vorsorge.

Unternehmen gehackt: Was tun in den ersten Stunden?

In den ersten Stunden nach einem Hackerangriff zählt eine klare Reihenfolge: Ruhe bewahren, den Vorfall melden, Beweise sichern und erst dann Gegenmaßnahmen einleiten. Das BSI fasst das auf seiner IT-Notfallkarte in drei Kernbotschaften zusammen: Ansprechpartner für IT-Notfälle kennen, wichtige Informationen sofort weitergeben und Gegenmaßnahmen nur nach Absprache mit den Zuständigen ergreifen (Allianz für Cyber-Sicherheit, FAQ zur IT-Notfallkarte). Daraus ergibt sich ein Ablauf, den du auch ohne eigene IT-Abteilung durchgehen kannst.

1. Arbeit am betroffenen Gerät einstellen. Wer eine Verschlüsselung, eine Lösegeldforderung oder verdächtige Kontobewegungen bemerkt, schließt keine Fenster und startet nichts neu, sondern informiert sofort die IT-Verantwortlichen oder den externen IT-Dienstleister.
2. Den Vorfall dokumentieren. Uhrzeit, betroffenes System, Fehlermeldungen und Bildschirmfotos halten fest, was passiert ist. Diese Notizen brauchst du später für die Polizei, die Versicherung und die Meldung an die Aufsichtsbehörde.
3. Betroffene Systeme isolieren. Die IT trennt befallene Rechner vom Netzwerk, damit sich eine Verschlüsselung nicht weiter ausbreitet. Das BSI rät ausdrücklich nicht pauschal dazu, alle Stecker zu ziehen, weil das etwa bei Laptops im Akkubetrieb oder bei WLAN und Mobilfunk nicht greift.
4. Zugangsdaten ändern. Passwörter und Zugänge ändern Mitarbeitende nur von einem Gerät aus, das nachweislich nicht betroffen ist, sonst landen die neuen Daten wieder beim Angreifer.
5. Backups prüfen. Bevor du Daten zurückspielst, muss feststehen, dass die Sicherung sauber ist, denn auch ein Backup kann bereits Schadsoftware enthalten.
6. Anzeige erstatten. Die Polizei der Länder betreibt für Unternehmen die Zentralen Ansprechstellen Cybercrime (ZAC). Die Kontaktdaten der zuständigen Stelle findest du über das Landeskriminalamt deines Bundeslandes.
7. Meldepflichten prüfen. Welche Fristen laufen, hängt davon ab, welche Daten betroffen sind. Der nächste Abschnitt zeigt die Fristen im Überblick.

Wer eine Cyberversicherung hat, informiert die Versicherung früh und prüft, welche Meldepflichten die Police nennt. Ob ein Fall als IT-Notfall einzustufen ist, sollte nach BSI-Empfehlung IT-Fachpersonal entscheiden. Im Zweifel meldest du lieber einmal zu früh.

Welche Meldepflichten gelten, wenn ein Unternehmen gehackt wurde?

Ein gehacktes Unternehmen muss einen Datenschutzvorfall nach Artikel 33 DSGVO der zuständigen Aufsichtsbehörde melden, wenn der Vorfall voraussichtlich ein Risiko für die betroffenen Personen bedeutet. Die Meldung soll so schnell wie möglich und möglichst binnen 72 Stunden nach Kenntnisnahme erfolgen. Kommt sie später, muss das Unternehmen die Verzögerung begründen (Art. 33 DSGVO). Die Tabelle zeigt, welche Stelle wann informiert werden muss.

Stelle	Rechtsgrundlage	Frist
Datenschutz-Aufsichtsbehörde	Art. 33 DSGVO	möglichst binnen 72 Stunden nach Kenntnisnahme, wenn ein Risiko für Betroffene besteht
Betroffene Personen	Art. 34 DSGVO	unverzüglich, wenn voraussichtlich ein hohes Risiko besteht
Polizei (ZAC des Bundeslandes)	Strafanzeige	ohne gesetzliche Frist, möglichst früh
BSI (nur bei Einrichtungen unter NIS2)	NIS2-Umsetzungsgesetz	Frühwarnung binnen 24 Stunden

Kein Risiko für die Betroffenen bedeutet keine Meldepflicht an die Behörde, aber die Dokumentationspflicht bleibt. Artikel 33 Absatz 5 DSGVO verlangt, jede Datenschutzverletzung mit den Tatsachen, den Auswirkungen und den ergriffenen Maßnahmen festzuhalten, damit die Aufsichtsbehörde die Einhaltung prüfen kann.

Betroffene Personen müssen nach Artikel 34 DSGVO unverzüglich informiert werden, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten hat. Die Benachrichtigung entfällt unter anderem, wenn die Daten durch geeignete Maßnahmen wie Verschlüsselung für Unbefugte unzugänglich waren (Art. 34 DSGVO).

Wer Meldepflichten verletzt, riskiert Bußgelder. Für Verstöße gegen die Artikel 33 und 34 sieht Artikel 83 Absatz 4 DSGVO bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist (Art. 83 DSGVO). Ob dein Unternehmen zusätzlich unter die NIS2-Regeln fällt, klärt der Ratgeber zur NIS2-Richtlinie und den betroffenen Unternehmen.

Soll ein gehacktes Unternehmen Lösegeld zahlen?

Ein gehacktes Unternehmen sollte nach dem Rat der Behörden kein Lösegeld zahlen. BSI und BKA empfehlen bei Ransomware, sich nicht auf Lösegeldzahlungen einzulassen, den Erpressungsversuch anzuzeigen und das BSI oder das zuständige Landes-CERT zu informieren. Das geht aus einem gemeinsamen Papier von BSI, BKA und kommunalen Spitzenverbänden hervor, über das t3n berichtet hat. Eine Zahlung garantiert nicht, dass die Daten danach wieder lesbar sind.

Die Praxis sieht trotzdem gemischt aus. Laut der Bitkom-Befragung 2026 waren 45 Prozent der Unternehmen innerhalb von zwölf Monaten von einem Ransomware-Angriff betroffen. 66 Prozent der betroffenen Unternehmen überwiesen kein Lösegeld, 20 Prozent zahlten, und 14 Prozent machten dazu keine Angabe (Bitkom, Studienbericht Wirtschaftsschutz 2026). Wer saubere Offline-Backups hat, steht gar nicht erst vor dieser Entscheidung.

Was kostet es, wenn ein Unternehmen gehackt wird?

Die Kosten eines Hackerangriffs setzen sich aus Systemausfall, Ermittlung und Wiederherstellung, Rechtsstreitigkeiten, Imageschäden und datenschutzrechtlichen Maßnahmen zusammen. Eine belastbare Durchschnittszahl pro Einzelfall gibt es nicht, weil die Spanne zwischen einem Kleinbetrieb und einem Konzern zu groß ist. Die Bitkom-Studie bietet aber eine Rangfolge der Schadensarten für die deutsche Wirtschaft insgesamt.

Die folgenden Zahlen stammen aus der Bitkom-Befragung von 1.003 Unternehmen (Erhebung in den Kalenderwochen 16 bis 23 des Jahres 2026) und gelten für Diebstahl, Industriespionage und Sabotage insgesamt, nicht nur für Hackerangriffe. Die Tabelle nennt die größten Posten.

Schadensart	Jahresschaden (Mrd. Euro)
Ausfall, Diebstahl oder Schädigung von Informations- und Produktionssystemen	36,5
Kosten für Ermittlungen und Ersatzmaßnahmen	35,6
Kosten für Rechtsstreitigkeiten	34,9
Imageschaden bei Kunden oder Lieferanten	21,1
Datenschutzrechtliche Maßnahmen, zum Beispiel durch Behörden	11,5
Erpressung mit gestohlenen Daten	5,0

Den Gesamtschaden beziffert Bitkom (Stand der Studie: September 2026) für 2026 auf einen Korridor von 211 bis 270,8 Milliarden Euro. 76 Prozent davon entfallen auf Cyberangriffe, das sind 160,4 bis 205,8 Milliarden Euro (Bitkom 2026).

Wie oft werden Unternehmen in Deutschland gehackt?

Fast jedes Unternehmen in Deutschland ist betroffen oder vermutet es. In der Bitkom-Befragung gaben 96 Prozent an, in den vergangenen zwölf Monaten von Diebstahl, Industriespionage oder Sabotage betroffen gewesen zu sein oder dies zu vermuten. 67 Prozent waren sicher betroffen, weitere 29 Prozent vermuten eine Betroffenheit. Befragt wurden Unternehmen ab 10 Beschäftigten und mindestens 1 Million Euro Jahresumsatz.

Für sehr kleine Betriebe liefert diese Studie keine eigenen Zahlen, weil sie erst ab 10 Beschäftigten befragt. Die Angriffswege betreffen aber auch Kleinbetriebe, und die Folgen treffen sie oft härter, weil Rücklagen und Personal für die Wiederherstellung fehlen.

Warum werden gerade kleine Unternehmen gehackt?

Kleine Unternehmen sind leichte Ziele, weil grundlegende Schutzmaßnahmen oft fehlen. Veraltete Software, schwache Passwörter, ungesicherte WLAN-Netzwerke und fehlende Backup-Strategien öffnen Angreifern die Tür. Hinzu kommt, dass Mitarbeitende in kleinen Teams selten regelmäßig zu Phishing und Social Engineering geschult werden. Ein einziger Klick auf einen manipulierten Link reicht, um Schadsoftware ins Netzwerk zu bringen.

Besonders gefährdet sind Teams, die häufig unterwegs arbeiten, etwa im Homeoffice, im Coworking-Space oder auf Geschäftsreisen. Ein vpn verschlüsselt die Verbindung und schützt den Datenverkehr in fremden Netzwerken vor dem Abfangen durch Dritte. Gegen Phishing, veraltete Software oder ungeprüfte Backups hilft ein VPN allerdings nicht, deshalb ist es eine Ergänzung zu den Maßnahmen im nächsten Abschnitt und kein Ersatz.

Wie schützt sich ein Unternehmen vor einem Hackerangriff?

Ein Unternehmen schützt sich am wirksamsten mit Offline-Backups, aktueller Software, abgesicherten Zugängen, geschulten Mitarbeitenden und einem geübten Notfallplan. Absolute Sicherheit gibt es nicht, aber die häufigsten Einfallstore lassen sich mit überschaubarem Aufwand schließen. Bitkom nennt in seinem Studienbericht ähnliche Maßnahmen gegen Ransomware: die eigenen IT-Systeme kennen, Backups offline sichern, Zugänge absichern, Angriffe früh erkennen und den Ernstfall üben.

• Backups: Automatisierte Sicherungen gehören auf ein getrenntes System, das nicht dauerhaft mit dem Firmennetz verbunden ist. Die Wiederherstellung sollte regelmäßig getestet werden. Eine Übersicht passender Lösungen bietet die Kategorie Backup-Software.
• Software aktuell halten: Sicherheitsupdates schließen bekannte Schwachstellen, und aufgeschobene Updates lassen sie offen.
• Zugriffsrechte einschränken: Nicht jede Person braucht Zugang zu allen Systemen. Mit minimalen Berechtigungen bleibt der Schaden begrenzt, wenn ein Konto kompromittiert wird.
• Zugänge absichern: Mehr-Faktor-Authentifizierung und einzigartige Passwörter erschweren den Zugriff. Ein Passwort-Manager hilft, das im Team durchzusetzen.
• Mitarbeitende schulen: Kurze, regelmäßige Schulungen zu Phishing und Social Engineering greifen dort, wo der Mensch der Angriffsweg ist.
• Notfallplan erstellen: Wer vorab festlegt, wer im Ernstfall was tut und wen er anruft, verliert im Krisenfall keine Zeit. Die BSI-IT-Notfallkarte lässt sich dafür mit der eigenen Notfallnummer ergänzen und im Büro aushängen.

Wenn Dienstleister im Auftrag Daten verarbeiten, gehört dazu auch ein sauberer Vertrag. Eine Vorlage für den Auftragsverarbeitungsvertrag zeigt, welche Punkte der Vertrag regeln muss. Wer Datenschutzprozesse organisieren will, findet in der Kategorie Datenschutz-Software passende Werkzeuge.

Wer haftet, wenn ein Unternehmen gehackt wurde?

Wer haftet, hängt vom Einzelfall ab, aber das gehackte Unternehmen selbst bleibt gegenüber den Betroffenen in der Verantwortung. Nach Artikel 82 DSGVO kann ein Verantwortlicher zum Schadensersatz verpflichtet sein, wenn Betroffenen durch einen Datenschutzverstoß ein materieller oder immaterieller Schaden entsteht. Ob ein solcher Verstoß vorliegt, hängt davon ab, ob das Unternehmen angemessene technische und organisatorische Schutzmaßnahmen getroffen hat und nachweisen kann. Dokumentierte Backups, Updates, Zugriffsregeln und Schulungen sind deshalb auch rechtlich wertvoll. Bei konkreten Haftungsfragen solltest du eine Fachanwältin oder einen Fachanwalt für IT-Recht einschalten.

Fazit: Unternehmen gehackt, was jetzt zählt

Ein Hackerangriff auf ein kleines Unternehmen ist ein reales Risiko mit konkreten Folgen: Betriebsstillstand, Kosten, mögliche Bußgelder und verlorenes Vertrauen. Im Ernstfall helfen eine feste Reihenfolge, eine saubere Dokumentation und die Kenntnis der Fristen: 72 Stunden für die Meldung an die Aufsichtsbehörde bei Risiko für Betroffene, unverzügliche Information bei hohem Risiko. Die wirksamsten Schutzmaßnahmen erfordern kein großes Budget, sondern Konsequenz. Wer Backups offline pflegt, Software aktuell hält, Zugänge absichert und sein Team schult, senkt das Risiko erheblich.