IT-Strafrecht nach einem Cyberangriff: Was Unternehmen jetzt tun müssen

Stand: Oktober 2026 · Zuletzt geprüft: 11.10.2026 · Nächste Überprüfung: November 2026

Wann ein Cyberangriff das Unternehmen strafrechtlich betrifft

Ein Cyberangriff betrifft das Unternehmen strafrechtlich in bis zu drei Rollen, als Verletzter, als Adressat von Bußgeld- und Strafverfahren wegen eigener Versäumnisse und als Arbeitgeber bei Datenabfluss durch Mitarbeiter. IT-Strafrecht umfasst die Straftatbestände, die informationstechnische Systeme und Daten schützen oder ihren Missbrauch als Tatmittel erfassen. Im Kern sind das Ausspähen und Abfangen von Daten, Datenveränderung, Computersabotage und Computerbetrug, ergänzt um das Datenschutzstrafrecht des § 42 BDSG. Der ältere Begriff Computerstrafrecht bezeichnet dasselbe Feld.

Verletzter ist das Unternehmen bei Ransomware, Datendiebstahl oder Zahlungsmanipulation. CEO-Fraud ist Betrug nach § 263 StGB mit eigener Zeitlogik, die der Ablaufplan für die ersten 72 Stunden nach einem CEO-Fraud beschreibt.

Aufsichtsbehörden und Staatsanwaltschaften prüfen nach einem Angriff, ob Schutzmaßnahmen fehlten, Meldungen verspätet waren oder personenbezogene Daten unbefugt verarbeitet wurden. Das Unternehmen selbst ist nicht strafbar. Es haftet aber über Geldbußen nach § 30 OWiG, Art. 83 DSGVO und § 65 BSIG, und seine Leitungspersonen können persönlich verfolgt werden.

Nehmen Mitarbeiter Daten mit, muss das Unternehmen Strafantrag, arbeitsrechtliche Schritte und Datenschutzmeldung aufeinander abstimmen. Für eine außerordentliche Kündigung läuft die Zweiwochenfrist des § 626 Abs. 2 BGB ab Kenntnis des Kündigungsberechtigten von den maßgebenden Tatsachen.

Zurechnungsfragen beim Einsatz eigener KI-Systeme behandelt der Beitrag zu KI-Compliance und Strafbarkeitsrisiken beim KI-Einsatz. Seit dem 18. August 2026 können Anbieter digitaler Dienste Herausgabeanordnungen aus anderen EU-Staaten erhalten, deren Folgen der Beitrag zur E-Evidence-Verordnung für betroffene Unternehmen erläutert.

Welche Straftatbestände ein Cyberangriff berührt und wer sie verfolgt

Ein Cyberangriff berührt vor allem Ausspähen, Datenveränderung, Computersabotage, Erpressung und Computerbetrug. Für das Unternehmen entscheidet, welche davon nur auf Antrag verfolgt werden.

Antragsberechtigt ist das Unternehmen als Verletzter, vertreten durch seine Organe. Bei § 42 BDSG sind nach Abs. 3 auch die betroffene Person und die Datenschutzaufsicht antragsberechtigt.

Art. 83 Abs. 4 DSGVO erlaubt bei Verstößen gegen die Sicherheits- und Meldepflichten bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Nach dem EuGH darf die Aufsichtsbehörde diese Geldbuße verhängen, ohne den Verstoß zuvor einer identifizierten Leitungsperson zuzurechnen. Sie muss aber Vorsatz oder Fahrlässigkeit des Unternehmens nachweisen (EuGH, Urt. v. 05.12.2023 – C-807/21, Deutsche Wohnen).

Schritt 1: Beweise sichern, bevor die Systeme wiederhergestellt werden

Sichern Sie Protokolldaten, Speicherabbilder und die Kommunikation mit den Angreifern forensisch, bevor Systeme neu aufgesetzt werden. Eine gesetzliche Frist gibt es nicht, die Grenze setzt die Speicherdauer der Protokolle.

Nach dem EuGH beweist ein erfolgreicher Zugriff Dritter für sich nicht, dass die technischen und organisatorischen Maßnahmen ungeeignet waren. Die Beweislast für ihre Eignung trägt aber der Verantwortliche (EuGH, Urt. v. 14.12.2023 – C-340/21).

Ob ein Forensikbericht beschlagnahmefrei ist, hängt von Auftrag, Gewahrsam und den §§ 97, 160a StPO ab. Die Beauftragung über eine Kanzlei schützt ihn nicht automatisch. Lassen Sie ihn deshalb Tatsachen und Angriffswege festhalten, ohne Schuldzuweisungen.

Schritt 2: Meldungen fristgerecht und ohne rechtliche Selbstbewertung absetzen

Melden Sie eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden der zuständigen Datenschutzaufsicht (Art. 33 Abs. 1 DSGVO). Die Meldepflicht entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Bei voraussichtlich hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen (Art. 34 Abs. 1 DSGVO). Fehlende Informationen dürfen schrittweise nachgereicht werden (Art. 33 Abs. 4 DSGVO).

Besonders wichtige und wichtige Einrichtungen nach dem durch das NIS2-Umsetzungsgesetz neu gefassten BSIG melden erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK. Besonders wichtig sind unter anderem Betreiber kritischer Anlagen, unabhängig von ihrer Größe. Ebenso besonders wichtig sind Unternehmen der Einrichtungsarten in Anlage 1 ab 250 Beschäftigten oder mit mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme (§ 28 Abs. 1 S. 1 BSIG). Wichtig sind Unternehmen der Anlagen 1 und 2 ab 50 Beschäftigten oder mit jeweils mehr als 10 Mio. Euro Umsatz und Bilanzsumme (§ 28 Abs. 2 S. 1 Nr. 3 BSIG).

§ 32 Abs. 1 S. 1 BSIG verlangt eine frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung. Eine Meldung mit erster Bewertung folgt unverzüglich, spätestens 72 Stunden nach Kenntniserlangung. Die Abschlussmeldung ist spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung fällig (§ 32 Abs. 1 S. 1 Nr. 4 BSIG). Dauert der Vorfall dann noch an, ist zunächst eine Fortschrittsmeldung abzugeben (§ 32 Abs. 2 BSIG).

Beschränken Sie die Erstmeldung auf die Pflichtangaben nach § 32 Abs. 1 S. 1 Nr. 1 BSIG. Das sind der Vorfall, die Angabe, ob ein rechtswidriger oder böswilliger Angriff vermutet wird, und mögliche grenzüberschreitende Auswirkungen. Ursachen und Verantwortlichkeiten gehören erst in spätere Meldungen, wenn die Forensik sie trägt.

Erheblich ist ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann (§ 2 Nr. 11 BSIG). Erheblich ist er auch, wenn er andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Eine Meldung, die nicht, falsch, unvollständig oder verspätet erfolgt, ist ihrerseits bußgeldbewehrt (§ 65 Abs. 2 Nr. 4 BSIG).

Betreiber kritischer Anlagen prüfen zusätzlich eine Meldepflicht nach § 18 KRITIS-Dachgesetz, die der Beitrag zur KRITIS-Compliance und ihren Meldepflichten behandelt. Börsennotierte Emittenten prüfen parallel eine Ad-hoc-Pflicht nach Art. 17 MAR. Wann der Angriff zur Insiderinformation wird, klärt der Beitrag zum Cyberangriff als Ad-hoc-Meldung nach Art. 17 MAR.

Eine Meldung nach Art. 33 DSGVO darf im Strafverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden (§ 42 Abs. 4 BDSG). Im Bußgeldverfahren gilt dasselbe (§ 43 Abs. 4 BDSG). § 32 BSIG enthält kein solches Verbot.

§ 40 Abs. 6 BSIG bindet personenbezogene Daten, die das BSI als Meldestelle verarbeitet, an die dort genannten Zwecke. Ob das eine Übermittlung an Strafverfolgungsbehörden sperrt, ist nicht geklärt. Die Kopie der Meldung beim Unternehmen bleibt beschlagnahmefähig. Wie weit § 42 Abs. 4 BDSG die handelnden Organmitglieder erfasst, ist nicht abschließend geklärt. Offen ist auch, ob § 43 Abs. 4 BDSG Geldbußen nach Art. 83 DSGVO erfasst.

Schritt 3: Über Strafanzeige und Strafantrag entscheiden

Stellen Sie den Strafantrag innerhalb von drei Monaten, nachdem das Unternehmen von Tat und Täter Kenntnis erlangt hat (§ 77b StGB). Bei unbekannten Angreifern beginnt die Frist erst mit der Kenntnis vom Täter. Ein Antrag gegen Unbekannt sichert die Verfolgung trotzdem früh ab.

Strafanzeige und Strafantrag können bei der Staatsanwaltschaft, der Polizei oder einem Amtsgericht angebracht werden (§ 158 StPO). Eine Schriftform verlangt das Gesetz nicht mehr. Identität und Verfolgungswille der antragstellenden Person müssen aber sichergestellt sein (§ 158 Abs. 2 StPO).

Als Verletzter kann das Unternehmen über einen Rechtsanwalt die Akten einsehen, soweit es ein berechtigtes Interesse darlegt (§ 406e Abs. 1 StPO). Welche Rechte das Unternehmen als Verletzter hat und wo eine Anzeige auf es selbst zurückfallen kann, zeigt der Leitfaden Unternehmen als Geschädigte im Strafverfahren.

Wenn Mitarbeiter Daten mitnehmen

Kopiert ein Mitarbeiter vor dem Wechsel zu einem Wettbewerber Kundendaten, scheitert das Ausspähen nach § 202a StGB oft am Tatbestand. Die Vorschrift verlangt die Überwindung einer Zugangssicherung. Wer innerhalb seiner Zugangsberechtigung kopiert, überwindet regelmäßig keine Sicherung.

Bei Datenmitnahme durch Mitarbeiter tragen § 23 GeschGehG und § 42 Abs. 2 BDSG. § 23 GeschGehG setzt angemessene Geheimhaltungsmaßnahmen (§ 2 Nr. 1 Buchst. b GeschGehG) und eine der Absichten nach § 23 Abs. 1 GeschGehG voraus. Den Weg vom Verdacht bis zur Anzeige beschreibt der Beitrag zu Wirtschaftsspionage und Geheimnisabfluss durch Mitarbeiter.

Schritt 4: Eine Lösegeldforderung dokumentiert entscheiden

Entscheiden Sie über eine Lösegeldzahlung erst nach einer schriftlich festgehaltenen Abwägung und einer Prüfung der Sanktionslisten. Ein ausdrückliches gesetzliches Verbot der Zahlung besteht in Deutschland nicht. Strafrechtlich diskutiert werden vor allem diese Anknüpfungen.

• Unterstützung einer kriminellen Vereinigung nach § 129 Abs. 1 S. 2 StGB, Freiheitsstrafe bis zu drei Jahren. Bei Gruppen außerhalb der EU ist die Verfolgung nach § 129b StGB an eine Ermächtigung des Bundesjustizministeriums gebunden.
• Verstoß gegen ein Bereitstellungsverbot nach § 18 Abs. 1 Nr. 1 AWG, wenn der Empfänger auf einer EU-Sanktionsliste steht, etwa nach dem Cyber-Sanktionsregime der Verordnung (EU) 2019/796. Der Strafrahmen beträgt drei Monate bis fünf Jahre.
• Untreue nach § 266 StGB, wenn die Zahlung wirtschaftlich nicht zu rechtfertigen ist.

Eine Rechtfertigung nach § 34 StGB setzt eine gegenwärtige, nicht anders abwendbare Gefahr voraus, etwa für den Betrieb oder für Leib und Leben Dritter. Das geschützte Interesse muss das beeinträchtigte wesentlich überwiegen, und die Zahlung muss ein angemessenes Mittel sein. Eine veröffentlichte Gerichtsentscheidung zur Strafbarkeit einer Lösegeldzahlung durch ein Unternehmen ist, soweit ersichtlich, nicht ergangen.

Binden Sie vor einer Zahlung die Zentrale Ansprechstelle Cybercrime des Landeskriminalamts ein. Für das Bereitstellungsverbot ist maßgeblich, ob der Empfänger im Zeitpunkt der Zahlung gelistet ist. Ab wann Zahlungen an neu gelistete Personen strafbar sind, erläutert der Beitrag zum Bereitstellungsverbot nach einer neuen EU-Sanktionslistung.

Schritt 5: Vernehmungen und behördliche Datenzugriffe begleiten

Lassen Sie IT-Leiter und Administratoren nicht ohne Zeugenbeistand aussagen (§ 68b Abs. 1 StPO). Zeugen müssen auf Ladung der Staatsanwaltschaft erscheinen und aussagen (§ 161a Abs. 1 StPO). Vor der Polizei gilt das nur, wenn der Ladung ein Auftrag der Staatsanwaltschaft zugrunde liegt (§ 163 Abs. 3 StPO).

Ein Administrator, der Sicherheitswarnungen übergangen hat, kann im Lauf der Ermittlungen vom Zeugen zum Beschuldigten werden. Er darf die Auskunft auf Fragen verweigern, deren Beantwortung ihn der Gefahr aussetzt, wegen einer Straftat oder Ordnungswidrigkeit verfolgt zu werden (§ 55 StPO). Wann dieser Statuswechsel eintritt, erklärt der Beitrag Zeuge oder Beschuldigter im Wirtschaftsstrafverfahren.

§ 110 Abs. 3 StPO erlaubt die Durchsicht elektronischer Speichermedien und ihre Erstreckung auf räumlich getrennte Speicher, wenn sonst der Verlust der gesuchten Daten droht. Bieten Sie Spiegelkopien an, damit die Originalgeräte im Betrieb bleiben. Den Ablauf beschreibt der Leitfaden zur Durchsuchung im Unternehmen, die Grenzen der Datensicherung der Beitrag zur IT-Beschlagnahme von Servern und Passwörtern.

Schritt 6: Die Verantwortung der Geschäftsleitung nach dem Cyberangriff prüfen

Prüfen Sie früh, ob die Geschäftsleitung ihre Pflichten aus § 38 Abs. 1 BSIG verletzt hat. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung einer besonders wichtigen oder wichtigen Einrichtung, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Für Schäden haftet sie der Einrichtung nach den Regeln des Gesellschaftsrechts, etwa § 93 AktG oder § 43 GmbHG (§ 38 Abs. 2 BSIG).

Nach einem Cyberangriff können die Interessen des Unternehmens und einzelner Organmitglieder auseinanderlaufen, weil das Unternehmen Ersatzansprüche nach § 38 Abs. 2 BSIG prüfen muss. Organmitglieder mit eigenem Verfolgungsrisiko brauchen dann eine vom Unternehmen getrennte Beratung.

Bußgelder nach § 65 BSIG treffen die Einrichtung über § 30 OWiG und handelnde Leitungspersonen über § 9 OWiG. Sie reichen bei fehlenden Maßnahmen nach § 30 Abs. 1 BSIG bis 10 Mio. Euro für besonders wichtige und bis 7 Mio. Euro für wichtige Einrichtungen. Hat die Datenschutzaufsicht dasselbe Verhalten bereits nach Art. 58 Abs. 2 Buchst. i DSGVO mit einer Geldbuße geahndet, schließt § 65 Abs. 11 BSIG eine weitere Geldbuße nach dem BSIG aus. Die Verteidigung prüft an dieser Stelle zuerst die Dokumentation, die § 30 Abs. 1 S. 3 BSIG selbst verlangt.

Leitungspersonen können wegen einer Aufsichtspflichtverletzung nach § 130 OWiG persönlich mit einer Geldbuße belegt werden. Voraussetzung ist, dass im Betrieb gegen straf- oder bußgeldbewehrte Pflichten des Unternehmens verstoßen wurde und gehörige Aufsicht dies verhindert oder wesentlich erschwert hätte. Der Angriff Außenstehender genügt dafür nicht, wohl aber etwa eine von zuständigen Mitarbeitern unterlassene Pflichtmeldung. Gegen das Unternehmen kommt eine Verbandsgeldbuße nach § 30 OWiG hinzu, die der Beitrag zur Unternehmensgeldbuße nach § 30 OWiG erläutert.

Strafrechtlich wird unzureichende IT-Sicherheit vor allem als Untreue nach § 266 StGB relevant. Dafür muss die Geschäftsleitung ihre Vermögensbetreuungspflicht verletzt und vorsätzlich gehandelt haben. Den Nachteil müssen die Strafgerichte, von einfach gelagerten und eindeutigen Fällen abgesehen, der Höhe nach beziffern und wirtschaftlich nachvollziehbar darlegen (BVerfG, Beschl. v. 23.06.2010 – 2 BvR 2559/08). Führt der Ausfall einer kritischen Einrichtung zu Personenschäden, kommen fahrlässige Körperverletzung und Tötung in Betracht (§§ 229, 222 StGB). Die Maßstäbe beschreibt der Leitfaden zur Untreue durch Vorstand und Geschäftsführer.

Welche Fehler sich nach einem Cyberangriff nicht mehr korrigieren lassen

1. Die Erstmeldung bewertet die eigene Verantwortung. § 32 BSIG enthält für Aussagen zu Versäumnissen kein Verwendungsverbot nach dem Vorbild des § 42 Abs. 4 BDSG.
2. Die Systeme werden ohne forensisches Abbild neu aufgesetzt. Damit fehlen die Spuren gegen die Täter und der Beleg geeigneter Schutzmaßnahmen.
3. Die Antragsfrist verstreicht. Bei § 42 BDSG ist die Verfolgung ohne Antrag binnen drei Monaten nach Kenntnis von Tat und Täter ausgeschlossen.
4. Das Lösegeld fließt ohne dokumentierte Abwägung und Sanktionsprüfung. Ob die Voraussetzungen des § 34 StGB vorlagen, lässt sich nachträglich kaum noch belegen.

Die maßgebliche Entscheidung nach einem Cyberangriff fällt vor der ersten Behördenmeldung. Was das Unternehmen binnen 24 bis 72 Stunden an Meldestelle und Datenschutzaufsicht übermittelt, prägt den Sachverhalt, den Ermittler später der Geschäftsleitung vorhalten. In Verfahren nach Cybervorfällen zeigt sich erfahrungsgemäß, dass Ermittlungen gegen die Geschäftsleitung an die Behördenmeldungen anknüpfen.

Seit dem 6. Dezember 2025 rückt neben der Tat der Angreifer die Organisation des Unternehmens stärker in den Blick. Wie diese Verantwortung über die Felder hinweg wirkt, ordnet Das Fundament des Wirtschaftsstrafrechts.

Vor der Absendung entscheidet sich, ob die Erstmeldung nach § 32 BSIG und die Meldung nach Art. 33 DSGVO den Vorfall vollständig und zutreffend beschreiben. Ungeprüfte Bewertungen zur Verantwortung gehören nicht hinein. Die Abstimmung des Wortlauts mit einem im Unternehmensstrafrecht tätigen Verteidiger ist an dieser Stelle der übliche Weg.

Quellen

• EuGH, Urt. v. 05.12.2023 – C-807/21 (Deutsche Wohnen)
• EuGH, Urt. v. 14.12.2023 – C-340/21 (Natsionalna agentsia za prihodite)
• BVerfG, Beschl. v. 23.06.2010 – 2 BvR 2559/08, BVerfGE 126, 170, 211 (Untreue)
• Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung vom 02.12.2025, BGBl. 2025 I Nr. 301 (BSIG n. F.)
• Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen vom 11.03.2026, BGBl. 2026 I Nr. 66 (KRITIS-Dachgesetz)
• Verordnung (EU) 2023/1543 über Europäische Herausgabe- und Sicherungsanordnungen, Durchführung durch Gesetz vom 10.03.2026, BGBl. 2026 I Nr. 64
• Verordnung (EU) 2019/796 über restriktive Maßnahmen gegen Cyberangriffe, Art. 3 Abs. 2
• Stammkötter, Ist die Zahlung eines „Lösegeldes“ bei Ransomware strafbar?, SRZ 2023, 35
• Schulze-Bünte/Grosmann, Ransomware-Angriffe auf Unternehmen, BB 2025, 2115
• §§ 2, 23 GeschGehG; §§ 42, 43 BDSG; §§ 2, 28, 30, 32, 38, 40, 65 BSIG; §§ 34, 77b, 129, 129b, 202a, 202b, 205, 222, 229, 253, 263, 263a, 266, 303a–303c StGB; §§ 55, 68b, 97, 110, 158, 161a, 163, 406e StPO; §§ 9, 30, 130 OWiG; § 18 AWG; § 626 BGB; § 93 AktG; § 43 GmbHG; § 18 KRITIS-Dachgesetz; Art. 17 MAR; Art. 33, 34, 83 DSGVO