China verlangt Erstmeldung bei Cybervorfällen in wenigen Stunden Chinas neue Cyberregeln setzen deutsche Firmen unter Druck

Anbieter zum Thema

FTAPI Software GmbH

China hat die Regeln für Cybervorfälle neu geschrieben. „Wir prüfen den Vorfall" gilt nicht mehr als Antwort, wenn Behörden anklopfen. Reaktionen werden jetzt in Minuten statt Tagen gemessen. Chinas novelliertes Cyber­sicherheitsgesetz verlangt belastbare Prozesse unter Zeitdruck, auch von deutschen Unternehmen.

Am 1. Januar 2026 trat die erste grundlegende Novelle des chinesischen Cyber­sicher­heits­ge­set­zes von 2017 in Kraft. Die materiellen Pflichten – Sicherheitsmaßnahmen etablieren, Zu­stän­dig­keit­en definieren, Vorfälle dokumentieren und melden – sind deutschen Unternehmen vertraut. Neu ist jedoch der Ton.

Security-Insider Podcast – Folge 92

Unternehmen versus Chinas Great Firewall

Der Gesetzgeber zieht die Daumenschrauben an: höhere Bußgelder (bis zu 1,2 Millionen Euro), sehr enge Zeitfenster für die Erstmeldung (bei schwerwiegenden Vorfällen nur wenige Stunden) und eine unmissverständliche Adressierung persönlicher Verantwortung (individuelle Strafen von bis zu 120.000 Euro). Die Botschaft aus Peking ist klar: Compliance auf dem Papier reicht nicht mehr. Es zählt nur noch, ob Prozesse im Ernstfall auch unter extremem Zeitdruck funktionieren.

Die zugespitzte Frage, die sich daraus ergibt, ist unangenehm, aber strategisch hilfreich: Könnte Ihr Unternehmen bei einem schwerwiegenden Cybervorfall in China die Behörden innerhalb von wenigen Stunden qualifiziert informieren, während intern noch ermittelt wird, was eigentlich genau passiert ist?

Warum das Thema jetzt auf den Tisch der Geschäftsführung gehört

Das novellierte chinesische Cybersicherheitsgesetz ist kein Regelwerk, das sich „an die IT“ delegieren lässt. Es berührt Organisation, Entscheidungswege und Verantwortlichkeit und damit genau die Fragen, für die am Ende die Geschäftsführung geradestehen muss – das ist etwas, was auch in Deutschland eigentlich schon heute von vielen IT-Sicherheitsexperten gefordert wird. Das gilt erst recht, wenn die chinesische Tochter (oder einzelne Systeme) in Bereichen wie Energie, Verkehr, Finanzen, öffentlicher Kommunikation/IT oder öffentlichen Diensten als kritische Informationsinfrastruktur eingestuft wird – dort sind Pflichten und Sanktionsrisiken spürbar verschärft. Hinzu kommt: Der Adressatenkreis ist weit gefasst – als „Netzwerkbetreiber“ gilt regelmäßig, wer Unternehmensnetzwerke betreibt oder verwaltet (vom Intranet bis zu internen Kollaborations‑/Office‑Systemen und Webpräsenzen).

Bitkom Wirtschaftsschutz-Studie 2025

Finanzieller Schaden für deutsche Wirtschaft steigt um 22,6 Milliarden

Für deutsche Unternehmen mit China-Geschäft lässt sich das aktualisierte Cybersicherheitsgesetz auf drei Management-Themen herunterbrechen. Erstens: Verantwortung. Wer ist in China namentlich zuständig für Prävention, für Incident Response und für den Behördenkontakt? Rollen auf dem Papier reichen nicht, wenn im Ernstfall niemand entscheiden darf oder niemand erreichbar ist. Zweitens: Entscheidungsfähigkeit unter Zeitdruck. Kann die Organisation innerhalb von Minuten reagieren, ohne dass Zeitzonen, Übersetzungsrunden oder Freigabeschleifen den Takt bestimmen? Drittens: Kommunikations- und Nachweisfähigkeit. Was wird wann gesagt – intern, extern und gegenüber Behörden – und wie wird dokumentiert, dass Pflichten erfüllt, Maßnahmen ergriffen und Entscheidungen begründet wurden?

Damit wird Cybersecurity in China zu einem Governance-Thema. Die persönliche Dimension tritt sichtbarer hervor: Nicht, weil Führungskräfte für jeden Angriff „automatisch haften“, sondern weil im Nachgang gefragt wird, ob Pflichten angemessen organisiert, vorbereitet und im Ereignisfall umgesetzt wurden. Wer diese Steuerungsfragen früh klärt, reduziert nicht nur Risiken, sondern gewinnt im Ernstfall Zeit, Handlungsspielraum und Glaubwürdigkeit. Bezeichnend ist auch, dass der Gesetzgeber KI ausdrücklich im Gesetz adressiert – als Governance‑Signal im Kontext von Ethik und Risikomonitoring, sowie als Technologie, die auch für das Sicherheitsmanagement genutzt werden soll.

Die gute Nachricht: Der chinesische Gesetzgeber honoriert umfassende Krisenprävention. Die Novelle bietet einen wichtigen strategischen Anreiz, da sie ausdrücklich auf mildernde Umstände verweist. Maßnahmen wie rechtzeitige Abhilfe, unverzügliche Korrektur und der Nachweis fehlenden subjektiven Verschuldens – etwa durch klare Dokumentation getroffener Schutzmaßnahmen – können Sanktionen erheblich reduzieren oder sogar zum Erlass solcher führen. Das zeigt: Präventionsarbeit ist nicht nur Risikominimierung, sondern im Ernstfall gut investiertes Geld. Wer nachweislich vorbereitet ist, steht im Behördenkontakt anders da als jemand, der improvisiert.

Neue Gesetze und Regelungen in China

Cyber Security und Datensicherheit im Chinageschäft

Warum globale Playbooks in China oft scheitern

Ergänzend zum novellierten Gesetz prägen seit Ende 2025 konkretisierte Vorgaben zur Meldung von Cybersicherheitsvorfällen die Erwartung an Unternehmen: Schwerwiegende Vorfälle müssen – je nach Betreiberstatus – teils innerhalb von 1 bis 4 Stunden initial gemeldet werden; die konkreten Schwellen und Kaskaden sind deutlich operationalisiert. Für viele internationale Unternehmen ist das kulturell ungewohnt. Etablierte Playbooks folgen oft dem Muster: Erst stabilisieren, dann forensisch verifizieren, dann informieren. In China kann diese Reihenfolge im Ernstfall zu langsam sein.

Das bedeutet nicht, dass Unternehmen spekulieren sollen. Erstmeldungen müssen jedoch auch dann beherrscht werden, wenn noch nicht alle Fakten feststehen. Wer im Krisenmodus lediglich sagt, dass man etwas prüfen werde, verliert möglicherweise Zeit, Vertrauen und Gestaltungsspielraum. Die Frage „Können wir innerhalb von zwei Stunden qualifiziert melden?" ist deshalb ein praktischer Stresstest für die eigene Entscheidungs- und Kommunikationsfähigkeit.

Viele Firmen sind da nicht China-tauglich. Die typischen Bruchstellen sind selten hochtechnisch, sondern organisatorischer Natur. Die erste Schwachstelle sind unklare Entscheidungsrechte. Wer darf in China Systeme isolieren, externe Forensik aktivieren, Dienstleister verpflichten und den Behördenkontakt auslösen? Wenn diese Fragen erst im Ernstfall geklärt werden, ist es zu spät.

Die zweite Schwachstelle ist die Schnittstelle zwischen Zentrale und lokaler Einheit. Globale Security-Strukturen sind betriebswirtschaftlich sinnvoll, müssen aber in China so aufgestellt sein, dass Zuständigkeiten, Eskalationswege und Nachweisführung lokal funktionieren. Was in der Firmenzentrale als „lokaler Vorfall" erscheint, kann in China schnell als meldewürdiges Ereignis bewertet werden – und dann zählt die lokale Reaktionsfähigkeit.

Die dritte Schwachstelle ist Kommunikation. In vielen Unternehmen wird Kommunikation immer noch als nachgelagerte Disziplin verstanden. Aber auch in China sollte sie Teil der Krisensteuerung sein – gegenüber Mitarbeitenden, Partnern, Kunden und Behörden. Unkoordinierte Aussagen, oder widersprüchliche interne Mails können die Lage verschärfen. Gleichzeitig kann Schweigen als Kontrollverlust wirken. Dieser Balanceakt muss daher regelmäßig in Krisensimulationen geübt werden – nicht nur, weil es sinnvoll ist, sondern weil Trainings/Übungen im Rahmen der chinesischen Compliance‑Erwartungen rechtlich und aufsichtspraktisch zum Pflichtprogramm gehören.

Krisenkommunikation in Cyberangriffen

Wenn der Angriff kommt, zählt jedes Wort

Interdisziplinär vorbereiten: Der unterschätzte Sicherheitshebel

Der größte Hebel liegt nicht in der Technik, sondern in der Orchestrierung über Abteilungen und Landesgrenzen hinweg. Wer in China handlungsfähig sein will, braucht eine interdisziplinäre Vorbereitung zwischen Management, IT-Sicherheit, Rechtsabteilung und Unternehmenskommunikation, die nicht aus Parallelplänen besteht, sondern aus einem gemeinsamen Ablauf: Wer entscheidet was, in welcher Reihenfolge, mit welchen Mindestinformationen, und wie wird dokumentiert, dass Pflichten erfüllt wurden?

Prävention heißt in diesem Kontext nicht primär mehr Tools, sondern weniger Reibung im Ernstfall. Klare Verantwortlichkeiten, Stellvertretungsregelungen, 24/7-Erreichbarkeit, abgestimmte Melde- und Freigabelogik sowie eine Kommunikationslinie, die Transparenz ermöglicht, ohne Spekulationen zu befeuern. Besonders wirksam sind dabei realistische Krisensimulationen, an denen nicht nur das Security-Team teilnimmt, sondern die gesamte Entscheidungskette unter Zeitdruck getestet wird. Wer einmal erlebt hat, wie schnell zwei Stunden vergehen, bewertet den Stand der eigenen Vorbereitung vermutlich anders.

Die Novelle des Cybersicherheitsgesetzes ist kein Grund für Alarmismus. Aber sie ist ein Grund, die eigene Reaktionsfähigkeit in China (und darüber hinaus) ehrlich zu testen. Wer vorbereitet ist, gewinnt im Ernstfall Zeit, Optionen und Glaubwürdigkeit – sowohl intern als auch gegenüber Behörden. Und genau darum geht es letztendlich: nicht um Perfektion, sondern um Handlungsfähigkeit unter Druck.

Über die Autoren: Paul Yang und Till Valentin Staschik sind Kommunikationsexperten im Hongkonger Büro von FGS Global, einer globalen Kommunikations- und Public-Affairs-Beratung. In den vergangenen Jahren haben sie zahlreiche asiatische und europäische Unternehmen – vom Scale-up bis zum multinationalen Konzern – bei der Prävention sowie der akuten Bewältigung von Cybervorfällen unterstützt. Dabei arbeiten sie regelmäßig über Ländergrenzen hinweg und navigieren komplexe Stakeholder- und Regulierungslandschaften.

Geplante Reaktionen auf Cyberangriffe

Incident-Response-Pläne und -Playbooks erstellen

Zertifizierungsprozesse im Mittelstand meistern

So schafft der Mittelstand Audits und Zertifikate ohne Stress

(ID:50712324)