Ransomware-Angriff: Die 24-Stunden-Frist ans BSI läuft, bevor die Forensik beginnt

Wenn die Lösegeldforderung auf dem Bildschirm steht, laufen bereits zwei Fristen, von denen niemand im Raum spricht. Die erste endet 24 Stunden nach dem Moment, in dem irgendjemand in Ihrer Organisation den Vorfall bemerkt hat — nicht 24 Stunden nach der Analyse, nicht nach der Krisensitzung. § 32 Absatz 1 Nummer 1 BSIG verlangt bis dahin eine frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK ^[1]. Die gute Nachricht steckt im Wortlaut derselben Vorschrift: Diese Erstmeldung fragt nur zwei Dinge ab — und ein Ransomware-Angriff beantwortet die wichtigere davon am Tag null.

Was ein Ransomware-Angriff heute ist — und warum die Definition die Meldung bestimmt

Kurz gefasst: Ransomware ist längst kein reines Verschlüsselungsproblem mehr. Wer sie noch so behandelt, meldet den falschen Vorfall — und übersieht die zweite Meldepflicht.

Die klassische Definition — Schadsoftware verschlüsselt Daten, die Täter fordern Lösegeld für den Schlüssel — beschreibt nur noch die halbe Tat. Der heute übliche Ablauf heißt Double Extortion: Die Angreifer kopieren die Daten vor der Verschlüsselung und drohen zusätzlich mit der Veröffentlichung. Daneben stehen Triple Extortion (zusätzliche DDoS-Angriffe) und Second Stage Extortion, bei der auch die Kunden des Opfers erpresst werden ^[10]. Das BSI formuliert die praktische Konsequenz in seinem Notfallpapier in einem Satz: „Mit einem Abfluss von Daten ist zu rechnen.“ ^[3]

Der Mechanismus dahinter erklärt, warum das für die Meldung zählt. Verschlüsselung ist der letzte Schritt, nicht der erste. Angreifer nehmen die Verschlüsselung zunehmend erst geraume Zeit nach dem unentdeckten Eindringen vor — oft so spät, dass die Backup-Versionierung keinen sauberen Wiederherstellungspunkt mehr enthält ^[10]. Für Sie bedeutet das: Sobald personenbezogene Daten betroffen sind — und das BSI sagt für schwere Vorfälle ausdrücklich, dass mit einem Datenabfluss zu rechnen ist ^[3] —, ist derselbe Vorfall gleichzeitig ein meldepflichtiger Sicherheitsvorfall nach BSIG und eine Datenschutzverletzung nach Artikel 33 DSGVO, mit getrennten Empfängern und getrennten Fristen.

Zur Einordnung der Bedrohungslage: Im Berichtszeitraum Juli 2024 bis Juni 2025 richteten sich laut BSI rund 80 Prozent der angezeigten Angriffe — Ransomware ausdrücklich eingeschlossen — gegen kleine und mittlere Unternehmen. Die Zahlungsbereitschaft sank weiter, gleichzeitig wurden bei Datenleaks nach Exploitation-Angriffen die durchschnittlich höchsten Lösegelder seit Beginn der Aufzeichnungen registriert ^[4]. Auch der EU-Gesetzgeber hat das Phänomen benannt: Erwägungsgrund 54 der NIS2-Richtlinie spricht vom „exponentiellen Anstieg von Ransomware-Angriffen“ und formuliert, die Mitgliedstaaten sollten eine Strategie dagegen ergreifen ^[2]. Erwägungsgründe sind nicht bindend — sie erklären die Absicht des Gesetzgebers. Die Pflichten stehen in Artikel 23.

Sind Sie meldepflichtig? Drei Fragen vor allem anderen

Kurz gefasst: Die 24-Stunden-Frist gilt nicht für jedes Unternehmen. Sie gilt für besonders wichtige und wichtige Einrichtungen — und erst ab dem Zeitpunkt, zu dem der Meldeweg überhaupt eingerichtet ist.

Prüffrage	Rechtsgrundlage	Wenn ja
Ist Ihre Einrichtung eine besonders wichtige oder wichtige Einrichtung?	§ 28 BSIG	§ 32 BSIG gilt in vollem Umfang.
Hat der Vorfall erhebliche Auswirkungen — schwerwiegende Betriebsstörung, finanzieller Verlust oder erheblicher Schaden bei Dritten?	Art. 23 Abs. 3 NIS2	Es ist ein erheblicher Sicherheitsvorfall. Bei Vollverschlüsselung der Produktion praktisch immer.
Sind personenbezogene Daten abgeflossen oder unzugänglich?	Art. 33 DSGVO	Zusätzliche, eigenständige Meldung an die Datenschutzaufsicht.

Ein Detail, das in kaum einer Darstellung auftaucht: § 32 Absatz 1 Satz 2 BSIG stellt klar, dass die Meldepflicht „frühestens ab Einrichtung des Meldewegs“ gilt ^[1]. Das ist kein Freibrief — es ist eine Terminvorgabe an Sie. Wer die Registrierung und den Zugang zum Meldeverfahren nicht vorbereitet hat, hat im Ernstfall keine 24 Stunden, sondern 24 Stunden minus die Zeit, die eine Erstregistrierung unter Zeitdruck kostet. Die Details des Verfahrens und der Meldungsinhalte legt das Bundesamt nach § 32 Absatz 4 BSIG fest und veröffentlicht sie auf seiner Internetseite. Wie der Ablauf im Einzelnen aussieht, haben wir in unserem Leitfaden zu Meldepflichten, Fristen und meldepflichtigen Ereignissen und im Detailartikel zur BSI-Vorfallmeldung im 24/72-Stunden-Ablauf aufgeschlüsselt.

Die ersten 60 Minuten: sechs Schritte, die Ihre 72-Stunden-Meldung erst befüllbar machen

Kurz gefasst: Der folgenreichste Fehler der ersten Stunde ist kein Meldefehler. Es ist das Herunterfahren der befallenen Rechner.

Das BSI-Arbeitspapier „Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“ ist hier ungewöhnlich direkt: „Potenziell infizierte Systeme sollten umgehend vom Netzwerk isoliert werden […] Dazu das Netzwerkkabel ziehen. Gerät nicht herunterfahren oder ausschalten.“ ^[3] Der Mechanismus dahinter steht im selben Absatz: Das BSI empfiehlt, „gegebenenfalls forensische Sicherung inkl. Speicherabbild für spätere Analysen“ anzufertigen ^[3] — ein Speicherabbild lässt sich nach dem Ausschalten nicht mehr erstellen. Aus genau solchen Analysen entstehen die Kompromittierungsindikatoren, die § 32 Absatz 1 Nummer 2 BSIG in der 72-Stunden-Meldung abfragt ^[1]. Wer den Stecker zieht, stoppt die Verbreitung. Wer den Rechner ausschaltet, verliert den Beweis.

Schritt	Warum	Wirkung auf Ihre Meldung
Netzwerkkabel ziehen, Gerät eingeschaltet lassen [3]	Stoppt Lateral Movement, erhält den flüchtigen Speicher	Erhält die Datengrundlage für die IoC-Angabe nach 72 Stunden
Keine Anmeldung mit Administratorkonten auf potenziell infizierten Systemen [3]	Verhindert, dass privilegierte Zugangsdaten in die Hände der Täter fallen	Begrenzt den Schadensumfang, den Sie später beschreiben müssen
Krisenstab einsetzen und eine Person als Meldeverantwortliche benennen [3]	Ohne benannte Zuständigkeit meldet niemand	Sichert, dass die 24-Stunden-Frist überhaupt jemand bedient
Ersatzkommunikation bereitstellen — Mobiltelefone, Papierkontaktlisten [3][11]	E-Mail, VoIP und Kontaktdaten können mitverschlüsselt sein	Ohne funktionierende Kommunikation gibt es keine fristgerechte Meldung
Strafanzeige und Kontakt zur Zentralen Ansprechstelle Cybercrime (ZAC) prüfen [3][14]	Das BSI empfiehlt grundsätzlich, für alle Cyber-Angriffe Anzeige zu erstatten	Erfordert gerichtsfeste Beweiserhebung und lückenlose Dokumentation
Cyber-Versicherung früh informieren [3]	Die Police macht häufig Vorgaben zu Forensik und Zahlungen	Vermeidet, dass Sie Ansprüche durch eigenes Vorgehen verlieren

Eine realistische Erwartung gehört dazu: Das BSI beziffert die Erfahrungswerte bei vollständiger Kompromittierung auf zwei bis vier Wochen eingeschränkten Betrieb ^[3]. Und rechnen Sie nicht mit einem Einsatzteam des Bundes. Das BSI stellt selbst klar, dass es nur in absoluten Ausnahmefällen operativ unterstützen kann — „insbesondere eine Infektion mit gängiger Ransomware fällt hier regelmäßig nicht darunter“ ^[3]. Wie Sie den Betrieb in dieser Zeit aufrechterhalten, behandelt unser Leitfaden zur Betriebskontinuität nach Artikel 21 Absatz 2 Buchstabe c.

Aufräumen oder Spuren sichern — die Entscheidung, die niemand vorher trifft

Kurz gefasst: Der Krisenstab muss in den ersten Stunden eine Frage beantworten, die den gesamten weiteren Verlauf bestimmt. Das BSI stellt sie wörtlich: „Sollen Systeme schnell wieder aufgesetzt werden oder Spuren gesichert werden?“ ^[3]

Beide Wege sind legitim, aber sie sind nicht gleichwertig — und die Wahl bestimmt, was Sie in den nächsten vier Wochen überhaupt melden können. Der Zusammenhang ist konkret: § 32 Absatz 1 Nummer 4 Buchstabe b BSIG verlangt in der Abschlussmeldung „Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache“ ^[1]. Wer die Systeme sofort neu aufsetzt, hat diese Ursache in der Regel gelöscht. Die Meldung wird dann zu einem Dokument, das eine Wissenslücke einräumen muss — im selben Verfahren, in dem die Aufsicht Ihre Sorgfalt beurteilt.

Situation	Empfehlenswerter Weg	Begründung
Saubere Offline-Backups vorhanden, Ausfall wirtschaftlich tragbar	Erst Spuren sichern, dann bereinigen	Sie können Ursache und IoCs melden — und die Schwachstelle wirklich schließen
Kritische Dienstleistung steht, Menschen oder Versorgung sind gefährdet	Wiederherstellung zuerst, Speicherabbilder parallel sichern	Die forensische Sicherung inklusive Speicherabbild lässt sich vor dem Neuaufsetzen anfertigen [3]
Strafanzeige ist beabsichtigt	Spurensicherung hat Vorrang	Beweise müssen gerichtsfest erhoben und alle Vorgänge dokumentiert werden [3]
Active Directory ist kompromittiert	Vollständiger Neuaufbau des Netzes einplanen	Das BSI empfiehlt in diesem Fall ausdrücklich den kompletten Neuaufbau [3]

Die praktische Lehre daraus ist unspektakulär und wird trotzdem selten gezogen: Diese Entscheidung gehört in den Notfallplan, nicht in die Krisensitzung. Wer sie vorab trifft und begründet, spart in der ersten Stunde die zwei Stunden, die sie sonst kostet.

Drei Uhren laufen gleichzeitig — und nur eine kennt eine Ausrede

Kurz gefasst: BSIG und DSGVO haben unterschiedliche Fristen, unterschiedliche Adressaten und — der entscheidende Unterschied — unterschiedliche Toleranz gegenüber Verspätung.

Frist	Ab wann	An wen	Rechtsgrundlage
24 Stunden — frühe Erstmeldung	Kenntniserlangung vom erheblichen Sicherheitsvorfall	Gemeinsame Meldestelle BSI/BBK	§ 32 Abs. 1 Nr. 1 BSIG [1]
72 Stunden — Meldung mit erster Bewertung	Kenntniserlangung (nicht ab der Erstmeldung)	Gemeinsame Meldestelle BSI/BBK	§ 32 Abs. 1 Nr. 2 BSIG [1]
72 Stunden — Datenschutzmeldung	Bekanntwerden der Datenschutzverletzung	Zuständige Datenschutzaufsichtsbehörde	Art. 33 Abs. 1 DSGVO [5]
Auf Ersuchen — Zwischenmeldung	Anforderung durch das Bundesamt	Bundesamt	§ 32 Abs. 1 Nr. 3 BSIG [1]
1 Monat — Abschlussmeldung	Ab Übermittlung der 72-Stunden-Meldung	Gemeinsame Meldestelle BSI/BBK	§ 32 Abs. 1 Nr. 4 BSIG [1]

Die Asymmetrie zwischen den beiden 72-Stunden-Fristen wird selten benannt, ist aber praktisch bedeutsam. Artikel 33 Absatz 1 DSGVO kennt zwei Entlastungen: Die Meldung entfällt, wenn die Verletzung „voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt“, und eine verspätete Meldung ist zulässig, sofern ihr „eine Begründung für die Verzögerung beizufügen“ ist ^[5]. § 32 BSIG enthält im Wortlaut keine vergleichbaren Regelungen — weder eine Risikoausnahme noch ein Verfahren für die begründete verspätete Meldung ^[1]. Für die Praxis heißt das: Wenn Sie unter Zeitdruck priorisieren müssen, hat die BSIG-Frist Vorrang.

Zwei weitere Punkte, die im Kalender fehlen sollten und meist fehlen. Erstens: Die 72-Stunden-Frist des BSIG läuft ab Kenntniserlangung, nicht ab der Erstmeldung. Sie haben also nicht 24 plus 72, sondern 72 Stunden insgesamt. Zweitens: Wenn der Angriff nach Erfahrung des BKA typischerweise am Freitagabend beginnt und die Störung erst am Montagmorgen sichtbar wird ^[11], dann startet die Uhr am Montag — aber Ihre Forensik startet drei Tage nach dem Angreifer.

Was in die Erstmeldung wirklich gehört — und was bei Ausbleiben droht

Kurz gefasst: Die 24-Stunden-Erstmeldung verlangt keinen Lagebericht. Sie verlangt zwei Einschätzungen — und eine davon ist bei Ransomware trivial.

Der Wortlaut von § 32 Absatz 1 Nummer 1 BSIG fragt nach einer Erstmeldung, „in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte“ ^[1]. Bei einer Erpressung mit Lösegeldforderung ist die erste Frage am Tag null beantwortet: ja. Die zweite verlangt eine Einschätzung, keine Gewissheit — betroffene Standorte, Kunden oder Dienstleister im EU-Ausland genügen als Anhaltspunkt. Die NIS2-Richtlinie nennt diese Stufe „Frühwarnung“; das BSIG spricht von der „frühen Erstmeldung“ ^[2][1]. Beide Begriffe beschreiben dasselbe: ein Signal, keinen Bericht.

Erst die 72-Stunden-Meldung verlangt Substanz — Bestätigung oder Aktualisierung der Erstangaben, eine erste Bewertung von Schweregrad und Auswirkungen sowie, „gegebenenfalls“, die Kompromittierungsindikatoren ^[1]. Das „gegebenenfalls“ ist ernst gemeint: Sie müssen liefern, was Sie haben, nicht erfinden, was Sie nicht haben. Die Abschlussmeldung folgt einen Monat nach der 72-Stunden-Meldung; dauert der Vorfall dann noch an, tritt nach § 32 Absatz 2 BSIG zunächst eine Fortschrittsmeldung an ihre Stelle ^[1].

Was viele unterschätzen: Melden bringt auch etwas zurück. Nach § 36 Absatz 1 BSIG bestätigt das Bundesamt den Eingang „unverzüglich und nach Möglichkeit innerhalb von 24 Stunden“ und liefert auf Ersuchen Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen ^[7]. Und was Sie einkalkulieren sollten: § 36 Absatz 2 BSIG erlaubt es dem Bundesamt, Sie nach Anhörung zu verpflichten, die Öffentlichkeit zu informieren — oder sie selbst zu informieren ^[7]. Der Zeitpunkt Ihrer Offenlegung ist also nicht unter allen Umständen Ihre Entscheidung. Das ist ein Argument dafür, die Sprachregelung früh vorzubereiten; unser Leitfaden zur Krisenkommunikation während eines Vorfalls zeigt die Reihenfolge.

Verstoß	Besonders wichtige Einrichtung	Wichtige Einrichtung
Meldung nach § 32 Abs. 1 S. 1 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig [6]	bis 10 Mio. Euro	bis 7 Mio. Euro
Abschlussmeldung nicht oder nicht rechtzeitig [6]	bis 10 Mio. Euro	bis 7 Mio. Euro
Gesamtumsatz über 500 Mio. Euro — alternativer Rahmen [6]	bis 2 % des weltweiten Gesamtumsatzes	bis 1,4 % des weltweiten Gesamtumsatzes

Diese Rahmen sind Höchstbeträge, keine Regelbußgelder; die Einordnung der einzelnen Tatbestände haben wir in der Bußgeldstaffel nach § 65 BSIG aufgeschlüsselt.

Lösegeld zahlen? Das ist zuerst eine strafrechtliche Frage

Kurz gefasst: Die Diskussion wird meist als betriebswirtschaftliche Abwägung geführt. Sie beginnt aber im Strafrecht — und dort ist die Lage für Zahlende unangenehmer, als die meisten Geschäftsleitungen annehmen.

Die behördliche Empfehlung ist eindeutig. Das BSI schreibt: „Im Fall einer bereits erfolgten Verschlüsselung sollten Sie grundsätzlich auf jedwede Form von Erpressung nicht eingehen und kein Lösegeld bezahlen.“ ^[3] Falls die Backups ebenfalls verschlüsselt sind und eine Zahlung dennoch erwogen wird, nennt dasselbe Papier vier nüchterne Punkte: Cyber-Versicherung früh einbinden; Zahlungen „auf jeden Fall mit den zuständigen Ermittlungsbehörden bzw. mit Ihrer Rechtsabteilung / Rechtsanwälten abklären“; vor Verhandlungsbeginn die beispielhafte Entschlüsselung einzelner Dateien verlangen; und die Erkenntnis, dass „die erfolgreiche Entschlüsselung nicht die Neuinstallation der kompromittierten Systeme ersetzt“ ^[3].

Juristisch ist die Frage weiter offen, aber nicht harmlos. Eine strafrechtliche Untersuchung in der Saarbrücker Rechtszeitschrift kommt zu dem Ergebnis, dass Zahlende „in den üblichen Fallkonstellationen“ regelmäßig den Tatbestand des § 129 Absatz 1 Satz 2 StGB — Unterstützung einer kriminellen Vereinigung — erfüllen; die Norm sieht dafür Freiheitsstrafe bis zu drei Jahren oder Geldstrafe vor ^[10][8]. Ob die Zahlung über den rechtfertigenden Notstand nach § 34 StGB gerechtfertigt sein kann, ist in der Literatur umstritten; eine Entschuldigung nach § 35 StGB scheidet regelmäßig aus, weil diese Vorschrift nur Leib, Leben und Fortbewegungsfreiheit schützt — nicht das Eigentum ^[10]. Hinzu kommt das Sanktionsrecht: § 18 Absatz 1 AWG stellt Verstöße gegen unmittelbar geltende EU-Sanktionsvorschriften unter Strafe und erfasst ausdrücklich das Verbot der Bereitstellung von Finanzmitteln oder eines Krypto-Wallets ^[9].

Zwei Relativierungen gehören zur Ehrlichkeit dazu. Erstens: Verurteilungen von Ransomware-Opfern sind nicht bekannt — die Untersuchung verweist auf 25 Verurteilungen nach § 129 StGB im Jahr 2018, von denen sich keine auf Lösegeldzahlungen bezog ^[10]. Zweitens, und praktisch relevanter: Schon die Einleitung eines Ermittlungsverfahrens eröffnet strafprozessuale Zwangsmaßnahmen, die den Geschäftsbetrieb erheblich stören können ^[10]. Das eigentliche Risiko ist selten die Verurteilung. Es ist die Durchsuchung mitten in der Wiederherstellung.

Für die Geschäftsleitung kommt eine dritte Ebene hinzu: § 38 Absatz 2 BSIG lässt Geschäftsleitungen, die ihre Umsetzungs- und Überwachungspflichten verletzen, ihrer eigenen Einrichtung nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform haften ^[13]. Eine Zahlungsentscheidung ohne dokumentierte rechtliche Prüfung ist deshalb schwer verteidigbar — unabhängig davon, ob sie technisch funktioniert hat.

Ein Satz aus der NIS2-Richtlinie entkräftet dabei eine verbreitete Sorge: „Mit der bloßen Meldung wird keine höhere Haftung der meldenden Einrichtung begründet.“ ^[2] Die Meldung an das BSI ist kein Geständnis. Sie ist die Erfüllung einer Pflicht, deren Verletzung eigenständig bußgeldbewehrt ist.

Was Sie vorher festlegen — nach Rollen

Kurz gefasst: Nichts an diesem Ablauf lässt sich im Ernstfall improvisieren. Die folgenden Punkte kosten in ruhigen Zeiten je einen halben Tag.

Die Vorlage, in der diese Festlegungen zusammenlaufen, behandelt unser Leitfaden Incident Response Plan: die Vorlage für die 24-Stunden-, 72-Stunden- und Abschlussmeldung — dort steht der Plan als Dokument im Mittelpunkt, hier der konkrete Ransomware-Vorfall.

Rolle	Vorab festzulegen	Grundlage
Geschäftsleitung	Wer entscheidet über Wiederherstellung vs. Spurensicherung, über Strafanzeige und über Zahlungsverhandlungen — namentlich, mit Vertretung	§ 38 Abs. 1 BSIG [13]
IT-Sicherheit / CISO	Isolationsverfahren ohne Herunterfahren; Verfahren zur Sicherung von Speicherabbildern; Offline-Backups mit getestetem Restore	BSI-Notfallpapier [3], § 30 Abs. 2 Nr. 3 BSIG [12]
Compliance / Recht	Zugang zum Meldeverfahren eingerichtet; Meldetexte für 24h / 72h vorformuliert; ZAC-Kontakt und Anwaltskontakt hinterlegt	§ 32 Abs. 1 S. 2 und Abs. 4 BSIG [1]
Kommunikation	Sprachregelung, Stakeholderliste und Ersatzinfrastruktur; interne Information vor externer	BSI-Notfallpapier Kap. 3.3 [3]

Eine Beobachtung zum Schluss dieses Abschnitts, die aus der Quellenlage selbst folgt: Das offizielle BSI-Notfallpapier ist in der Fassung 1.2 vom 7. Oktober 2022 aktuell und verweist im Kapitel Meldepflichten noch auf § 8b Absatz 4 BSIG ^[3] — eine Vorschrift aus der Fassung vor der deutschen NIS2-Umsetzung. Das geltende BSIG umfasst die §§ 1 bis 66 und kennt keinen § 8b mehr. Das technische Vorgehen des Papiers ist unverändert brauchbar; die Meldefristen darin sind es nicht. Prüfen Sie das, bevor Sie es als Anlage in Ihren Notfallordner legen.

Häufige Fragen

Wann genau beginnt die 24-Stunden-Frist? Mit der Kenntniserlangung vom erheblichen Sicherheitsvorfall, nicht mit dem Zeitpunkt des Angriffs und nicht mit dem Abschluss der Analyse ^[1]. Wenn die Verschlüsselung am Freitagabend läuft und am Montagmorgen bemerkt wird, startet die Uhr am Montagmorgen.

Muss ich melden, wenn die Verschlüsselung fehlgeschlagen ist? Entscheidend ist nicht der Erfolg der Verschlüsselung, sondern ob der Vorfall erheblich ist — also eine schwerwiegende Betriebsstörung oder einen finanziellen Verlust verursacht hat oder verursachen kann, oder erhebliche Schäden bei Dritten ^[2]. Ein abgewehrter Angriff ohne Betriebsauswirkung erfüllt diese Schwelle in der Regel nicht; eine Domänenkompromittierung mit Datenabfluss sehr wohl.

Reicht eine Meldung für BSIG und DSGVO? Nein. Es sind zwei getrennte Verfahren mit unterschiedlichen Adressaten: die gemeinsame Meldestelle von BSI und BBK einerseits ^[1], die zuständige Datenschutzaufsichtsbehörde andererseits ^[5].

Was passiert mit meiner Meldung im Behördenapparat? Nach § 32 Absatz 5 BSIG stellt das Bundesamt eingegangene Meldungen den zuständigen Aufsichtsbehörden des Bundes unverzüglich zur Verfügung ^[1]. Die Meldung bleibt also nicht beim BSI.

Darf ich das Lösegeld bezahlen? Die strafrechtliche Bewertung erfolgt nicht über ein eigenes Zahlungsverbot, sondern über die allgemeinen Tatbestände: Die Literatur sieht regelmäßig § 129 Absatz 1 Satz 2 StGB erfüllt, bei umstrittener Rechtfertigungsmöglichkeit ^[10]. Das BSI rät grundsätzlich ab ^[3]. Vor jeder Zahlung gehört eine dokumentierte rechtliche Prüfung — auch sanktionsrechtlich ^[9].

Fazit

Die 24-Stunden-Frist ist nicht das schwierige Stück dieses Vorfalls. Sie verlangt zwei Einschätzungen, von denen eine bei Ransomware feststeht. Schwierig sind die Entscheidungen der ersten Stunde, die darüber bestimmen, ob die 72-Stunden-Meldung und die Abschlussmeldung überhaupt Inhalt haben: nicht herunterfahren, sondern isolieren; Spuren sichern, bevor aufgeräumt wird; und vorher festlegen, wer das entscheidet.

Der billigste Schritt aus diesem Artikel kostet keine Investition: Richten Sie den Zugang zum Meldeverfahren ein, bevor Sie ihn brauchen, und formulieren Sie den Text der Erstmeldung heute — ohne Zeitdruck, mit den zwei Fragen, die § 32 Absatz 1 Nummer 1 BSIG tatsächlich stellt. Alles andere gewinnen Sie in der Krise nicht mehr zurück.

Dieser Artikel bietet allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Anforderungen können je nach Rechtsordnung und Art der Einrichtung variieren. Für auf Ihre Situation zugeschnittene Beratung wenden Sie sich an eine qualifizierte Juristin, einen qualifizierten Juristen oder eine Compliance-Fachkraft.

Quellen

1. Bundesministerium der Justiz — § 32 BSIG: Meldepflichten.
2. Amt für Veröffentlichungen der EU — Richtlinie (EU) 2022/2555 (NIS2), deutscher Volltext — Artikel 23 und Erwägungsgrund 54.
3. BSI — Erste Hilfe bei einem schweren IT-Sicherheitsvorfall, Arbeitspapier Version 1.2 (7. Oktober 2022).
4. BSI — Die Lage der IT-Sicherheit in Deutschland 2025 (Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025).
5. Artikel 33 DSGVO: Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde.
6. Bundesministerium der Justiz — § 65 BSIG: Bußgeldvorschriften.
7. Bundesministerium der Justiz — § 36 BSIG: Rückmeldungen des Bundesamtes gegenüber meldenden Einrichtungen.
8. Bundesministerium der Justiz — § 129 StGB: Bildung krimineller Vereinigungen.
9. Bundesministerium der Justiz — § 18 AWG: Strafvorschriften.
10. Stammkötter, Jan Marcel — Ist die Zahlung eines „Lösegeldes“ bei Ransomware strafbar?, Saarbrücker Rechtszeitschrift 1/2023, S. 35 ff. (Universität des Saarlandes).
11. Bundeskriminalamt / German Competence Centre against Cybercrime — Ransomware: Information für Unternehmen.
12. Bundesministerium der Justiz — § 30 BSIG: Risikomanagementmaßnahmen.
13. Bundesministerium der Justiz — § 38 BSIG: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen.
14. BSI — Ransomware: Fakten und Abwehrstrategien (Themenseite).