Mobile-Menu

Nach den Cyberangriffen in Liechtenstein Cyberkrisen sind nicht nur Sache der IT, sondern ein Teamsport

Ein Gastbeitrag von Jan-Peter Ohrtmann und Anna Dold 5 min Lesedauer

Anbieter zum Thema

PwC (PricewaterhouseCoopers GmbH)
cidaas by Widas ID GmbH
FTAPI Software GmbH

Cyberangriffe treffen längst auch kleine Wirtschaftsräume wie Liechtenstein, von der Landesverwaltung bis zum Mittelstand. Doch was ist wirklich wichtig im Ernstfall? Ein Blick auf die Praxis der Incident Response zeigt: Ein Cyber­vorfall lässt sich nie allein durch die IT bewältigen.

Ein Boxenstopp gelingt nur durch eingeübtes Zusammenspiel vieler Spezialisten unter Zeitdruck. Genauso entscheidet bei Cybervorfällen die Abstimmung zwischen IT, Recht und Kommunikation über den Ausgang.(Bild: © Christian - stock.adobe.com)
Ein Boxenstopp gelingt nur durch eingeübtes Zusammenspiel vieler Spezialisten unter Zeitdruck. Genauso entscheidet bei Cybervorfällen die Abstimmung zwischen IT, Recht und Kommunikation über den Ausgang.
(Bild: © Christian - stock.adobe.com)

Es sind Daten, die möglichst nicht in falsche Hände geraten sollten: Eigentümeridentitäten, Beteiligungsverhältnisse, Stiftungs- und Treuhand-Konstruktionen. Genau diese In­for­ma­ti­onen sind Gegenstand eines Cyberangriffs geworden, der im Sommer 2026 das Fürstentum Liech­ten­stein traf. Unbekannte verschafften sich unbefugten Zugriff auf das offizielle Register der wirt­schaft­lich berechtigten Personen, das die liechtensteinische Justizbehörde zur Geld­wäsche­prä­ven­ti­on führt, und entwendeten 31.000 Datensätze. Betroffen sind Stiftungen, Vermögens­ver­wal­ter sowie Unternehmerfamilien und mit ihnen ganze Beziehungsgeflechte zwischen Personen, Vermögensträgern und Rechtsstrukturen.

Die Brisanz reicht weit über den einzelnen Datensatz hinaus. Vor allem bieten abgeflossene Informationen dieser Tiefe einen idealen Nährboden für weitere, zielgerichtete Cyberangriffe. Der Vorfall reiht sich in eine Entwicklung ein, die keinen Wirtschaftsraum und keine Un­ter­neh­mens­grö­ße mehr ausspart. Ob Großkonzern, öffentliche Verwaltung oder mittelständisches Unternehmen: Niemand kann heute noch davon ausgehen, von Cyberangriffen verschont zu bleiben. Die entscheidende Frage lautet damit nicht mehr, ob eine Organisation betroffen sein wird, sondern wie gut sie darauf vorbereitet ist.

Ein Cybervorfall ist nicht nur IT-Sache

In vielen Unternehmen liegt der Notfallplan bei der IT: von der IT geschrieben, (im Idealfall) von der IT geübt, in einem IT-Ordner abgelegt. Doch ein Cybervorfall ist selten ein rein technisches Ereignis. Er ist eine organisationsweite Ausnahmesituation, in der viele Stellschrauben gleichzeitig in Bewegung geraten: Die IT analysiert, die Geschäftsleitung priorisiert wirt­schaft­liche Risiken, die Rechtsabteilung bewertet Meldepflichten, die Information von Betroffenen und Stakeholdern sowie Haftungsrisiken, die Kommunikation bereitet interne und externe Mitteilungen vor, die Personalabteilung steuert die Kommunikation mit Betriebsrat sowie Beschäftigten und der operative Betrieb muss natürlich arbeitsfähig bleiben.

Ohne klare Schnittstellen und Kommunikation entstehen Parallelprozesse, divergierende Bewertungen und verlängerte Entscheidungswege. Binden die Verantwortlichen relevante Stakeholder zu spät ein, können erhebliche Folgeschäden drohen. Verzögert sich etwa die Freigabe einer Pressemitteilung, weil die Kommunikationsabteilung nicht rechtzeitig informiert wurde, kann daraus schnell ein signifikanter Reputationsschaden erwachsen. Solche Reibungsverluste entstehen in der Regel nicht, weil die Technik versagt, sondern weil das Zusammenspiel der relevanten Entscheidungsträger und Experten nicht geübt ist.

Regulatorischer Rahmen: Ein Vorfall, viele Pflichten

Ein Cybervorfall bleibt selten ohne regulatorische Folgen. Betroffene Unternehmen müssen ihn regelmäßig mehrfach parallel bewerten, etwa gegenüber sektorspezifischen Aufsichts­be­hör­den, unter der DSGVO bei Betroffenheit personenbezogener Daten und unter der einschlägigen europäischen Cybersicherheits-Gesetzgebung.

NIS-2 und die entsprechenden nationalen Umsetzungen verpflichten wesentliche und wichtige Einrichtungen zu einer Frühwarnmeldung binnen 24 Stunden ab Kenntnisnahme, gefolgt von einer vertieften Meldung nach 72 Stunden. Parallel dazu greift die DSGVO: Sobald personen­be­zo­ge­ne Daten betroffen sind und ein Risiko für die Rechte und Freiheiten natürlicher Personen entsteht, kommt eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden in Betracht. Für regulierte Unternehmen – insbesondere Banken, Vermögensverwalter, Versicherungen und Treuhänder – kommen sektorspezifische Meldepflichten hinzu (u. a. DORA für Finanzunternehmen). Ein einziger Vorfall kann drei oder vier parallele Meldepflichten auslösen, jede mit eigener Frist, eigener Erheblichkeitsschwelle, eigenem Empfänger und eigenem Formular.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Die entscheidende juristische Feinheit: Die Fristen laufen in der Regel ab Kenntnisnahme vom relevanten Vorfall. Und Kenntnis ist nicht deckungsgleich mit forensischer Gewissheit. Bereits ein hinreichend konkreter Verdacht auf einen erheblichen Vorfall kann die Meldepflicht auslösen.

Das Krisenteam: Wer muss am Tisch sitzen?

Damit ein Cybervorfall geordnet bewältigt werden kann, braucht es ein Krisenteam, das bereits vor dem Ernstfall steht. Wer genau dazugehört, hängt von der konkreten Unternehmens­struk­tur ab. In der Praxis bewährt hat sich ein Kern aus:

  • Geschäftsleitung, die entscheidet, priorisiert und – gerade unter NIS-2 und DSGVO – zunehmend persönliche Verantwortung trägt,
  • IT und Informationssicherheit, die analysieren, isolieren und wiederherstellen,
  • Rechtsberatung (intern oder extern), die die regulatorischen Meldepflichten bewertet, Haftungsfragen einordnet und die Dokumentation absichert,
  • Datenschutzbeauftragter bei Betroffenheit personenbezogener Daten,
  • Unternehmenskommunikation, die interne und externe Kommunikation vorbereitet, freigibt und steuert,
  • Personalabteilung bei Betroffenheit von Mitarbeiterdaten, sowie
  • externe Spezialisten wie Forensik- und Incident-Response-Dienstleistern.

Natürlich ist diese Liste nicht abschließend und sollte anhand des konkreten Unternehmens­auf­bau ergänzt werden. Entscheidend ist, dass alle Beteiligten Klarheit über Rollen, Ver­tre­tun­gen, Erreichbarkeiten und Entscheidungsbefugnisse haben, wenn Führungskräfte den Krisenstab besetzen. Damit die Mitglieder des Krisenstabes jederzeit über den aktuellen Stand der Erkenntnisse verfügen, sollten die Verantwortlichen regelmäßige Austauschformate etablieren, in denen sie mit dem Stab neue Erkenntnisse besprechen, Aufgaben klar vergeben und Fortschritte dokumentieren. Hier gilt: Kurze, verbindliche Update-Meetings sind effektiver als E-Mail-Ping-Pong. Ebenso wichtig ist ein gemeinsames Vokabular. Zentrale Begriffe sollten vorab geklärt und nicht im Krisenmodus verhandelt werden. Und schließlich braucht es eine Kommunikationsstrategie, die klar regelt, wer wann mit wem spricht: Kunden, Geschäftspartner, Aufsichtsbehörden, Mitarbeitende, Medien und Öffentlichkeit.

All das lässt sich unter realistischen Bedingungen erproben. Empfehlenswert ist deshalb mindestens eine jährliche Tabletop-Übung mit allen Krisenteam-Mitgliedern.

Der Versicherer: Krisenteam-Mitglied, kein Ordner im Aktenschrank

Ein Punkt, der in vielen Notfallplänen zu kurz oder zu spät kommt: die Cyberversicherung. Cyber-Policen enthalten regelmäßig strikte Obliegenheiten. So muss die Meldung eines Schadensfalls in der Regel innerhalb definierter Fristen und unter Einhaltung bestimmter Bedingungen erfolgen; einige Policen sehen zudem die verpflichtende Nutzung gelisteter Panel-Dienstleister für Forensik und Verhandlung vor.

Umso wichtiger ist es, die Voraussetzungen für den Versicherungsschutz von Anfang an mitzudenken und im Notfallplan zu verankern. Dazu gehört, dass die im Vertrag vorgesehenen Kontaktpersonen bekannt sind, dass Fristen und Obliegenheiten eingehalten, Ansprüche früh bewertet und Beweismittel systematisch gesichert werden, zumal die Beweislast für die Voraussetzungen eines gedeckten Vorfalls in der Regel beim Versicherungsnehmer liegt. Bereits mit dem ersten begründeten Verdacht sollten Unternehmen deshalb den Versicherer bzw. den Broker informieren, nicht erst dann, wenn konkrete Klarheit über den Schaden herrscht.

Fazit: Vorbereitung ist Führungsaufgabe und Teamsport

Der Angriff auf das Register der wirtschaftlich berechtigten Personen macht sichtbar, was für viele Organisationen längst gilt: Ein Cybervorfall ist keine Frage des „ob", sondern des „wann". Und: Er trifft nicht nur die Großen. Die gute Nachricht ist: Vieles lässt sich vorbereiten. Ein Krisenteam mit klar verteilten Rollen, eingeübte Kommunikationswege, eine früh ein­ge­bun­de­ne Versicherung und ein gemeinsames Verständnis der regulatorischen Anforderungen entscheiden im Ernstfall darüber, ob eine Organisation den Vorfall gut bewältigen kann. Cyberresilienz ist damit nicht nur eine technische sondern vor allem auch eine organisatorische Frage. Und sie beginnt lange vor dem ersten Alarm.

Über die Autoren

Jan-Peter Ohrtmann ist Rechtsanwalt und Partner bei PwC Legal. Er leitet den Bereich IT- und Datenschutzrecht und berät Unternehmen zu Datenschutz, Cybersicherheit und der rechtlichen Bewältigung von IT-Sicherheitsvorfällen.

Anna Dold ist Rechtsanwältin und Senior Manager bei PwC Legal im Bereich IT- und Datenschutzrecht. Ihre Beratungsschwerpunkte liegen in den Bereichen Datenschutz, Cybersicherheit und Incident Response.

(ID:50941798)

Weiterführende Inhalte