Ein Ransomware-Angriff löst binnen Stunden parallele Pflichten aus: die 72-Stunden-Meldung an die Datenschutzbehörde gem Art 33 DSGVO, die Prüfung einer Benachrichtigung der betroffenen Personen gem Art 34 DSGVO sowie die strafrechtliche Sicherung der Beweise. Paulitsch Law begleitet Unternehmen und öffentliche Einrichtungen in Österreich durch alle Phasen eines Cybervorfalls – von der Sofortreaktion über die Behördenkommunikation bis zur Durchsetzung von Schadenersatz. Dieser Beitrag fasst die wichtigsten rechtlichen Weichenstellungen zusammen.
Das Wichtigste in Kürze
- 72 Stunden: Eine meldepflichtige Datenschutzverletzung ist binnen 72 Stunden ab Kenntnis an die Datenschutzbehörde zu melden (Art 33 DSGVO).
- Hohes Risiko: Ist ein hohes Risiko für die betroffenen Personen wahrscheinlich, sind auch diese zu benachrichtigen (Art 34 DSGVO).
- Schrittweise Meldung: Noch nicht verfügbare Informationen dürfen gem Art 33 Abs 4 DSGVO ohne unangemessene Verzögerung nachgereicht werden.
- Strafverfahren: Cyberangriffe verwirklichen unter anderem die §§ 118a, 126a bis 126c, 148a und 144 StGB; Geschädigte können sich als Privatbeteiligte anschließen.
- Darknet-Erpressung: Bei doppelter Erpressung (double extortion) ist die Risikolage laufend neu zu bewerten und lückenlos zu dokumentieren.
Was ist bei einem Ransomware-Angriff sofort zu tun?
Entscheidend sind die ersten Stunden. Zu den Sofortmaßnahmen zählen die Einrichtung eines Krisenstabs, die Beiziehung einer IT-Forensik, die Isolierung betroffener Systeme sowie die Sicherung sämtlicher Beweise (Protokolldateien, Erpresserschreiben, Ransom Note). Ab der ersten Minute ist eine lückenlose Dokumentation zu führen, weil die Rechenschaftspflicht gem Art 5 Abs 2 DSGVO auch die Nachvollziehbarkeit der ergriffenen Maßnahmen verlangt. Parallel beginnt der Lauf der Meldefrist gem Art 33 DSGVO mit dem Zeitpunkt, zu dem die Verletzung bekannt wird.
Wann muss ein Cyberangriff der Datenschutzbehörde gemeldet werden?
Eine Verletzung des Schutzes personenbezogener Daten ist gem Art 33 DSGVO grundsätzlich binnen 72 Stunden ab Bekanntwerden an die österreichische Datenschutzbehörde (Barichgasse 40-42, 1030 Wien) zu melden. Die Meldung hat insbesondere die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zu enthalten. Liegen noch nicht alle Informationen vor, kann die Meldung gem Art 33 Abs 4 DSGVO schrittweise erfolgen. Eine Meldung kann nur dann unterbleiben, wenn die Verletzung voraussichtlich zu keinem Risiko für die betroffenen Personen führt; diese Beurteilung ist zu dokumentieren.
Müssen die betroffenen Personen informiert werden?
Ist ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen wahrscheinlich, sind diese gem Art 34 DSGVO zusätzlich zu benachrichtigen. Bei Ransomware-Angriffen mit vorausgehender Datenexfiltration wird ein hohes Risiko regelmäßig anzunehmen sein (vgl EDSA, Leitlinien 01/2021). Die Benachrichtigung hat in klarer und einfacher Sprache zu erfolgen und sollte eine Warnung vor Betrugs- und Phishingversuchen im Namen der betroffenen Organisation enthalten. Lässt sich – etwa wegen Anti-Forensik-Maßnahmen der Täter – nicht abschließend feststellen, welche Daten konkret abgeflossen sind, empfiehlt sich die vorsorgliche Annahme eines hohen Risikos.
Was tun bei Datenabfluss und Erpressung im Darknet?
Typisch ist das Muster der doppelten Erpressung: Die Täter verschlüsseln die Systeme, ziehen zuvor Daten ab und drohen mit deren Veröffentlichung oder Verkauf. Häufig folgt eine Listung auf einer Leak-Seite samt Countdown, später ein konkretes Verkaufsangebot der Daten. Jede dieser Entwicklungen kann die Risikobewertung verändern und ist der Datenschutzbehörde nachzumelden sowie zu dokumentieren. Ein laufendes Darknet-Screening hilft, die Lage zu beobachten. Von einer eigenmächtigen Kontaktaufnahme mit den Tätern oder einer Lösegeldzahlung ist ohne vorherige rechtliche Prüfung dringend abzuraten – unter anderem wegen sanktions- und strafrechtlicher Risiken.
Wie können sich geschädigte Unternehmen strafrechtlich wehren?
Geschädigte sollten den Angriff mittels Anzeige bzw Sachverhaltsdarstellung bei der Kriminalpolizei anzeigen. In Betracht kommen insbesondere der widerrechtliche Zugriff auf ein Computersystem (§ 118a StGB), die Datenbeschädigung, die Störung der Funktionsfähigkeit eines Computersystems und der Missbrauch von Computerprogrammen oder Zugangsdaten (§§ 126a bis 126c StGB), der betrügerische Datenverarbeitungsmissbrauch (§ 148a StGB) sowie die – im Regelfall versuchte – Erpressung (§§ 15, 144 StGB). Als Opfer kann sich das Unternehmen dem Strafverfahren als Privatbeteiligte anschließen (§§ 67 f StPO), Schadenersatz begehren und Akteneinsicht beantragen (§ 68 StPO). Die Einbindung des Cyber Crime Comptence Center des Bundesministeriums für Inneres (C4) ist empfehlenswert.
Welche Fehler sollten Unternehmen vermeiden?
Zu den häufigsten Fehlern zählen das Versäumen der 72-Stunden-Frist, eine unzureichende Dokumentation des Vorfalls, eine verfrühte oder uneinheitliche Kommunikation nach außen, das Überschreiben oder Löschen forensisch relevanter Spuren sowie eine Lösegeldzahlung ohne rechtliche Prüfung. Empfehlenswert ist eine einheitliche Sprachregelung und eine enge Abstimmung zwischen Geschäftsführung, IT-Forensik, Datenschutz und Rechtsvertretung.
Wie unterstützt Paulitsch Law bei Cyberattacken?
Paulitsch Law berät Unternehmen und öffentliche Einrichtungen umfassend bei Cybervorfällen: von der Sofortberatung im Krisenstab und der Koordination mit der IT-Forensik über die Erstattung der DSGVO-Meldungen und die Benachrichtigung der betroffenen Personen bis zur Kommunikation mit der Datenschutzbehörde und den Strafverfolgungsbehörden. Hinzu kommen der Privatbeteiligtenanschluss und die Durchsetzung von Schadenersatz sowie die präventive Beratung zu technischen und organisatorischen Maßnahmen und zu Incident-Response-Plänen. Die Kanzlei ist in Wien ansässig und österreichweit tätig.
Häufige Fragen (FAQ)
Grundsätzlich 72 Stunden ab Kenntnis der Verletzung. Eine spätere Meldung ist zu begründen.
Ja. Die Meldung kann schrittweise erfolgen; bis zur Klärung empfiehlt sich eine vorsorgliche Risikobewertung.
Nein, eine rechtliche Verpflichtung besteht nicht. Eine Zahlung sollte nur nach sorgfältiger rechtlicher Prüfung und Beratung erwogen werden.
Ja, unter anderem über den Privatbeteiligtenanschluss im Strafverfahren sowie auf zivilrechtlichem Weg.
Kontakt
Sie sind von einem Cyberangriff betroffen oder möchten sich präventiv vorbereiten? Paulitsch Law berät Sie rasch und diskret. Kontakt: office@paulitsch.law, +43 1 361 4007, www.paulitsch.law.
Autorin: RA Dr. Heidemarie Paulitsch, Paulitsch Rechtsanwalts GmbH, Wien. Stand: 7.9.2026. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.
