Hotline für schnelle Hilfe

Mehr als 1.500-mal im Jahr klingelt das Telefon der Zentralen Ansprechstelle Cybercrime beim Landeskriminalamt (LKA) Nordrhein-Westfalen. An die Hotline, die 24 Stunden am Tag und sieben Tage die Woche erreichbar ist, wenden sich Unternehmen, die Opfer eines Hackerangriffs geworden sind. Betrugsfälle, in denen sich jemand als Geschäftsführer oder Prokurist ausgibt, sowie Verschlüsselungsangriffe, sogenannte Ransomware, sind besonders häufig. Die Angreifer verschlüsseln dabei alle Daten, auf die sie zugreifen können, und bringen Unternehmen damit zum Stillstand. Anschließend versuchen sie, Lösegeld zu erpressen, gegen das die Daten wieder freigegeben werden sollen.

„Ransomware ist für Firmen immer das belastendste Ereignis“, sagt Oliver Heinze, Erster Kriminalhauptkommisar und Sachgebietsleiter für den Bereich Cybercrime beim LKA NRW. Er betont: „Wir unterstützen Betroffene massiv, auch schon am Telefon.“ Für Unternehmen ist diese Unterstützung kostenlos, da sie Teil der Gefahrenabwehr und der Kriminalitätsermittlungen durch die Polizei ist. Auch die anderen Landeskriminalämter und das Bundeskriminalamt haben spezialisierte Ansprechstellen für Unternehmen, die Opfer von Hackerangriffen sind. Wichtig ist Heinze die partnerschaftliche Zusammenarbeit zwischen Polizei, externen Beratern und den betroffenen Unternehmen. Der Experte für Cyber-Kriminalität räumt mit einigen Mythen auf: „Zum Beispiel beschlagnahmen wir in 99,99 Prozent der Fälle keine Server. Wir sichten auch keine Unternehmensdaten und behandeln natürlich alle Fälle vertraulich.“

Was ist im Ernstfall zu tun? Unternehmen, die einen Angriff bemerken, sollten möglichst schnell alle Verbindungen zum Internet kappen. Entscheidend können außerdem Logdateien und Systemprotokolle sein, die es im Ernstfall als Erstes zu retten gilt, weiß Heinze: „Das ist auch für die Firma wichtig, um zu erkennen: Was ist passiert, wie sind die Täter ins System gekommen, also durch welche Eintrittsstelle?“ So können die Sicherheitslücken abgestellt werden.

Mehr noch: Systemprotokolle verraten oft den Zielort der Datenübertragung. Bei einem Datendiebstahl können sie deshalb bei der Wiederbeschaffung helfen. „Die Täter mieten reguläre Server an bei ganz normalen Betreibern und leiten die Daten, die sie in den Unternehmen erlangt haben, dorthin“, erläutert Heinze. Damit schützten sich Kriminelle davor, dass erbeutete Daten im Falle einer Durchsuchung bei ihnen gefunden werden. Für Betroffene biete das allerdings Chancen, so der Kriminalhauptkommissar: „Wir können dann möglicherweise als Polizei diese Server noch sicherstellen.“ Seine Bitte an betroffene Unternehmen: „Nicht schon mit dem Wiederaufbau beginnen, bevor die Polizei die Ermittlung aufgenommen hat, weil dann möglicherweise wichtige Spuren beseitigt werden.“
 

Rechtliche Folgen für Entscheider

Für Heinze und seine Kollegen ist der Fall abgeschlossen, wenn keine Gefährdungslage mehr besteht und keine weiteren Ermittlungserkenntnisse zu erwarten sind. Die juristische Aufarbeitung eines Hackerangriffs kann deutlich länger dauern als die polizeiliche.  Peter Fissenewert ist Rechtsanwalt und spezialisiert auf Compliance und Insolvenzrecht. Für ihn ist klar: „Cyber-Risiken zu minimieren ist eine Kernaufgabe von Management und Geschäftsführung.“ Der Professor für Wirtschaftsrecht an der Hochschule SRH in Berlin weiß: Auch wenn der Mittelstand in Deutschland nicht flächendeckend zur Einführung von Compliance-Systemen verpflichtet ist, agieren Entscheider laut dem Juristen auf eigenes Risiko, wenn sie hier nicht aktiv werden. „Ein Cyber-Angriff ist immer auch ein organisatorisches und rechtliches Risiko. Entscheider brauchen ein umfassendes Risikomanagement, das drei Ebenen abdeckt: Technik, Organisation und Compliance. Nur so lässt sich die Haftungsfalle vermeiden“, sagt Fissenewert. Ein funktionierendes Compliance-Management-System ist für ihn der Schlüssel zu allem: „Compliance ist nichts anderes als ein Risikomanagement verbunden mit einer kulturellen Klammer und schützt das Unternehmen und seine Organe.“

In den Risikomanagementprozess sollten Unternehmen ihre IT-Dienstleister, Datenschutzbeauftragte, Rechtsberater und Versicherer einbinden und ihre Rollen im Compliance-Handbuch explizit anlegen. Dieses Handbuch hilft auch im Ernstfall. Dann müssen Forensiker, externe Krisenkommunikation, spezialisierte Anwälte für Insolvenzrecht und Haftung sowie die Ermittlungsbehörden schnell Hand in Hand arbeiten können. Fissenewert: „Diese Kontakte müssen vorbereitet sein – im Krisenfall darf man nicht erst anfangen zu suchen!“

Wenn die Schutzmaßnahmen einmal versagen, gilt es zu beweisen, dass das Management alles Zumutbare getan hat, um Schäden zu vermeiden. Eine lückenlose Dokumentation der getroffenen Maßnahmen dient in einem solchen Fall als entscheidender Nachweis, dass die Geschäftsleitung ihren Pflichten nachgekommen ist. Gerichte honorieren diese Bemühungen, weiß Fissenewert: „Mit einem gelebten Risikomanagement können Fehler vorkommen, ohne dass die Geschäftsführung direkt in die Haftung genommen wird.“

Wie geht es nach einem Angriff weiter? Jeder überstandene Cyber-Angriff – ob mit schweren Folgen oder vergleichsweise glimpflich – sollte als wertvolle Lektion begriffen werden. „Ist man mit einem blauen Auge davongekommen, muss man aus den Fehlern lernen“, betont Rechtsexperte Fissen­ewert. Besonders wenn ein Angriff zur Insolvenz führt, ist ein strukturierter und entschlossener Neustart entscheidend. Zunächst gilt es, kurzfristig die Liquidität zu sichern und die gesetzlichen Insolvenzantragspflichten zu beachten – diese greifen spätestens nach drei Wochen. Rechtlich stehen Geschäftsführer in der Pflicht: Wer zu spät handelt oder trotz eingetretener Insolvenzreife weiterhin Zahlungen leistet, riskiert eine persönliche Haftung. Auch organisatorisch zeigen sich in dieser Phase häufig Schwächen, etwa in Form fehlender Dokumentation, mangelnder Kommunikation mit Gläubigern und Kunden oder des Fehlens eines klaren Plans für den Neustart. Strategisch ist es schließlich unerlässlich, das Vertrauen von Kunden, Lieferanten und Banken zurückzugewinnen. Das gelingt nur durch Transparenz: Unternehmen sollten deutlich zeigen, wie sie sich künftig gegen Cyber-Risiken absichern wollen.

Der Serviettenhersteller Fasana hat seine IT-Systeme seit dem Angriff komplett neu aufgestellt, die Produktion läuft wieder. Im Anschluss an den Vorfall habe man gemeinsam mit externen Experten tiefgreifende Sicherheitsmaßnahmen ergriffen, schreibt das Unternehmen auf Anfrage des Creditreform Magazins. Die neue Architektur basiere auf dem Prinzip „Zero Trust“ – dem Grundsatz, dass grundsätzlich kein System oder Nutzer automatisch als vertrauenswürdig gilt. Die Mail von Fasana, in der diese Auskunft steht, zeigt eine weitere Schutzmaßnahme: Ein großer, roter Hinweisbalken warnt davor, Links oder Anhänge zu öffnen. Manchmal reicht eben nur ein Klick.