Die 72 Stunden für die Meldung einer Datenpanne laufen auch am Samstag und am Sonntag. Die Uhr beginnt in dem Moment, in dem Sie vom Vorfall erfahren, und sie wartet nicht, bis die Rechner wieder laufen.

In einem kleinen Betrieb fallen die ersten Stunden eines IT-Notfalls meist auf die Person, die sich im Büro mit Computern auskennt. Ob Rechner verschlüsselt sind, ein Microsoft-Konto übernommen wurde, Fremde mit Ihrer Absenderadresse Mails verschicken oder nur ein Cloud-Dienst ausfällt, entscheidet über die nächsten Schritte. Die zehn kostenlosen Werkzeuge unten helfen, das schnell auseinanderzuhalten. Die Szenen sind typische Lagen aus kleinen Büros, die Zahlen haben wir am 21. Oktober 2026 auf den Werkzeugseiten abgelesen.

Verschlüsselte Rechner

1. Samstag, 9.15 Uhr, die Ordner der Hausverwaltung lassen sich nicht öffnen

Eine Mitarbeiterin einer Hausverwaltung will am Wochenende die Nebenkostenabrechnungen fertig machen. Auf dem Server tragen alle Dateien eine fremde Endung, in jedem Ordner liegt eine Textdatei mit einer Kontaktadresse. Unter den Dateien sind Mieterlisten mit Bankverbindungen.

Bevor jemand an den Rechnern herumprobiert, gehört der Meldefristen-Zeitstrahl im Cyber-Lagebild von frag.hugo auf den Bildschirm eines anderen Geräts. Er beginnt mit „Stunde 0“, dem Zeitpunkt, an dem der Vorfall bemerkt wurde. Den sollen Sie notieren, denn ab hier zählen alle Fristen. Binnen 72 Stunden muss die Meldung einer Datenpanne bei der Datenschutzaufsicht sein, das gilt nach Art. 33 DSGVO für jedes Unternehmen und laut Seite ausdrücklich auch am Wochenende. Eine Erstmeldung ans BSI binnen 24 Stunden verlangt § 32 Abs. 1 Nr. 1 BSIG nur von NIS2-Einrichtungen, die Regel gilt seit dem 6. Dezember 2025. Die 72 Stunden gegenüber der Datenschutzaufsicht gelten für NIS2-Einrichtungen genauso, beim BSI kommt für sie nach 72 Stunden eine erste Bewertung dazu.

Die Meldung nach DSGVO entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht, und diese Einschätzung muss dokumentiert werden. Bei Mieterlisten mit Kontodaten wird sie kaum gelingen. Darunter listet die Seite sechs Handgriffe für die erste Stunde, darunter Netz trennen, jede Maßnahme mit Uhrzeit notieren und die Anzeige bei der Cybercrime-Stelle der Landespolizei, die Anzeigen rund um die Uhr aufnimmt. Zum Einordnen zählt das Lagebild nebenbei, wie oft Erpressergruppen Firmen aus Deutschland auf ihren Leak-Seiten veröffentlichen. Im Schnitt der letzten zwölf Monate waren es 4,6 Fälle pro Woche.

Ob die Daten der Hausverwaltung schon irgendwo zum Download stehen, lässt sich dort nicht nachschlagen. Das Lagebild zählt nur und nennt keine Betroffenen. Die Fristen sind eine allgemeine Übersicht. Ob in Ihrem Fall gemeldet werden muss, klären Sie mit dem Datenschutzbeauftragten, die Seite nennt sich selbst keine Rechtsberatung im Einzelfall.

2. Samstag, 9.40 Uhr, der Kollege will den Virenscanner laufen lassen

Der Kollege aus der Buchführung, der sonst die Drucker repariert, will sich mit dem Administratorkonto am Server anmelden, den Virenscanner starten und danach alles neu hochfahren.

Die Checkliste Technik des BSI für den Vorfall rät in fast jedem Punkt davon ab. Betroffene Geräte trennen Sie vom Netz, indem Sie das Netzwerkkabel ziehen. Ausschalten sollen Sie sie nicht, solange eine technische Analyse beabsichtigt ist. Mit privilegierten Konten meldet sich niemand an einem möglicherweise befallenen System an, und das Virenprogramm kommt erst nach der Sicherung der Spuren zum Zug. Für die Zeit danach ist die Checkliste deutlich. Ein befallener Rechner gilt als vollständig kompromittiert, im Regelfall wird er neu installiert, und jedes Kennwort, das darauf gespeichert war oder nach dem Befall eingetippt wurde, gilt ebenfalls als verbrannt. Wer mehr Hintergrund will, findet dort das längere BSI-Papier „Ransomware: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“ in Version 1.2.

Das Papier stammt vom Januar 2020, und die Punkte der Checkliste sind bewusst allgemein gehalten. Sie richtet sich vor allem an kleine Betriebe, die sich nicht vorbereiten konnten, und ersetzt laut BSI kein fehlendes Notfall-Management.

Störung beim Cloud-Dienst

3. Outlook verbindet sich im ganzen Steuerbüro nicht

Seit Arbeitsbeginn zeigt Outlook in einem Steuerbüro an allen sieben Plätzen „Verbindung wird hergestellt“, Teams bleibt leer. Die Chefin fragt, ob das ein Angriff ist.

Ein Blick auf den Live-Status von Microsoft 365, Teams und Exchange Online bei hagel IT spart dann oft den Notruf. Für 14 Dienste holt die Seite im Drei-Minuten-Takt den Stand direkt bei den Herstellern. Microsoft 365, Teams und Exchange Online stehen dort getrennt, so sehen Sie auch, ob nur das Postfach klemmt. Meldet Microsoft eine Störung, ist die wahrscheinlichste Erklärung gefunden, und das Büro kann auf Telefon umstellen, statt Kennwörter zurückzusetzen.

Steht alles auf Grün und trotzdem geht nichts, liegt es laut den Antworten auf der Seite meist an der eigenen Internetverbindung, am DNS im eigenen Netz oder an einem einzelnen Rechner. Einen Angriff schließt Grün nicht aus. Die Seite erfährt von einer Störung außerdem erst, wenn der Hersteller sie einräumt, und regionale Ausfälle zeigt sie gar nicht.

Ein übernommenes Konto

4. Fahrschüler bekommen Mails, die die Chefin nie geschrieben hat

Mehrere Fahrschüler melden sich bei ihrer Fahrschule, weil sie vom Postfach der Inhaberin eine Mail mit einem Link zu einem „geteilten Dokument“ bekommen haben. Abgeschickt hat die Inhaberin nichts. Ihr Kennwort ist inzwischen geändert, aber unklar ist, welche Türen im Microsoft-365-Konto der Fahrschule sonst noch offen stehen.

Dafür gibt es die zwölf Prüfungen von hagel IT für einen Microsoft-365-Mandanten. Das kostenlose PowerShell-Skript schaut nach, ob die Mehr-Faktor-Anmeldung für alle gilt, wer Administratorrechte hat, ob alte Anmeldeverfahren ohne zweiten Faktor noch funktionieren und ob Mails automatisch nach außen weitergeleitet werden dürfen. Im Notfall praktisch ist, dass es mit PowerShell 7 auch auf einem Mac oder unter Linux läuft. Wer der Checkliste aus Punkt 2 folgt und sich nicht an einem verdächtigen Windows-Rechner anmelden will, startet es von einem sauberen Gerät.

Das Skript bewertet Einstellungen und repariert nichts. Was der Angreifer im Postfach getan hat, steht in keinem seiner Befunde. Dafür nennt die Werkzeugseite das Prüfprotokoll, und dessen Auswertung bleibt Handarbeit. Das Prüfprotokoll zeichnet erst ab dem Einschalten auf, was davor geschah, lässt sich dort nicht mehr nachlesen. Starten kann das Skript nur jemand mit einem Konto, das im Mandanten lesen darf. Ohne jemanden, der PowerShell bedienen kann, startet das Skript in der Fahrschule nicht. Datensicherungen bleiben außen vor.

5. Das neue Kennwort der Inhaberin

Die Inhaberin der Fahrschule hat ein neues Kennwort im Kopf, das sie schon für ihr privates Mailkonto benutzt.

Ob genau dieses Kennwort schon in einem Datenleck vorkam, zeigt Pwned Passwords, die Kennwortsuche von Have I Been Pwned. Die Seite sagt, wie oft ein Kennwort in bekannten Lecks gesehen wurde, und beruft sich auf die Richtlinien der US-Standardbehörde NIST, die so einen Abgleich empfehlen. Der Dienst ist kostenlos und quelloffen. Auf der Startseite lässt sich gleich noch die Adresse der Inhaberin eingeben, um zu sehen, in welchen Lecks sie auftaucht.

Ein Kennwort ohne Treffer ist damit noch kein gutes Kennwort. Es steht nur nicht in dieser Sammlung, so formuliert es die Seite selbst. Und ein Kennwort, das schon anderswo im Einsatz ist, gehört ohnehin nicht ins Firmenkonto.

Gefälschte Absender

6. Patienten bekommen eine Terminabsage, die niemand verschickt hat

Zwei Patientinnen rufen in einer Physiotherapiepraxis an, weil ihnen ihr Termin per Mail abgesagt wurde, mit Praxisadresse im Absender und einem Link zu einem angeblich neuen Buchungsportal. In der Praxis hat niemand so eine Mail geschrieben.

Die erste Frage ist, ob jemand die Absenderadresse nur vortäuscht. Der Fälschungscheck für die Praxisdomain bei frag.hugo beantwortet das ohne Anmeldung. Sie geben den Domainnamen der Praxis ein, und jeder Prüfpunkt bekommt eine von fünf Ampelstufen. Lautet das Gesamturteil „Lückenhaft“, haben Fälscher es leichter als nötig, und der Domainverwalter der Praxis hat eine klare Aufgabe für den Nachmittag.

Ob die Absage tatsächlich von außen kam oder aus einem übernommenen Praxispostfach, kann der Check nicht wissen. Er sieht nur, was im DNS der Domain öffentlich steht. Läuft die Praxismail über Microsoft 365, gehört deshalb auch Punkt 4 auf die Liste.

Melden, bevor die 72 Stunden um sind

7. Sonntag, 16 Uhr, die Meldung an die Hamburger Aufsicht

Zurück in der Hausverwaltung aus Punkt 1. Nach Rücksprache mit dem Datenschutzbeauftragten hat die Geschäftsführung entschieden, zu melden. Zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), und die Geschäftsführerin der Hausverwaltung fragt, ob sie dort mit so einer Meldung auffällt.

Die Hamburg-Seite im Aufsichtsbehörden-Vergleich dämpft diese Sorge. Laut Steckbrief gingen beim HmbBfDI im Berichtsjahr 2025 insgesamt 1.115 Meldungen von Datenpannen ein, 17 Prozent mehr als im Jahr davor. Hackerangriffe waren dabei erstmals die größte Einzelursache, noch vor Post und E-Mails, die an den falschen Empfänger gingen. Phishing, Ransomware und andere technische Vorfälle landen seit 2024 auf einer eigenen, schnelleren Spur in der Technikabteilung, die Behörde nennt sie „Fastlane“. Jede Zahl ist mit Seitenangabe aus dem 34. Tätigkeitsbericht belegt.

Was die Behörde mit einer einzelnen Meldung macht, steht dort nicht. Der Bericht blickt auf 2025 zurück, und eine Anleitung, was in Ihre Meldung gehört, ist der Steckbrief auch nicht.

8. Sonntag, 16.30 Uhr, „Müssen wir das wirklich melden?“

Kurz vor dem Absenden zögert die Geschäftsführerin. Wenn man meldet, gibt es dann nicht erst recht ein Bußgeld?

In den belegten Bußgeldfällen zur Datensicherheit sieht man, in welcher Größenordnung es in Deutschland bisher teuer wurde. Für mangelnde Datensicherheit führt die Sammlung 14 deutsche Fälle, und die Hälfte davon blieb bei 46.000 € oder darunter. Europaweit ist Datensicherheit mit 21 Fällen der zweithäufigste Verstoß, nach fehlender Rechtsgrundlage. Lehrreich ist der Fall Marriott, gegen den die britische Aufsicht 20,45 Millionen Euro verhängte. Angreifer saßen seit 2014 unbemerkt in einer Datenbank der Hotelkette Starwood, die Marriott später übernahm, und das Unternehmen haftete für ein Leck, das vor der Übernahme entstanden war.

Wie oft eine fristgerechte Meldung ganz ohne Bußgeld endet, kann eine Sammlung verhängter Bußgelder naturgemäß nicht zeigen. Ob Sie melden müssen, klären Sie mit Ihrem Datenschutzbeauftragten, keine Fallsammlung nimmt Ihnen das ab.

Wenn wieder Ruhe ist

9. Wie andere Hamburger Betriebe ihre Mail-Domain absichern

Eine Woche später will der Praxisinhaber wissen, ob andere in Hamburg weiter sind. Die Messung Hamburger Mail-Domains durch hagel IT vom 1. Oktober 2026 zeigt, dass selbst von den 39 Betrieben mit mindestens 1.000 Beschäftigten nur die Hälfte gefälschte Absender abweist. MTA-STS, das verschlüsselte Zustellung erzwingt, nutzen 3,5 Prozent. Kleine Praxen stehen kaum in der Liste, die aus Wikidata stammt.

10. Eine Kollegin hatte die Mail schon am Mittwoch gesehen

In der Teamrunde der Fahrschule kommt heraus, dass eine Kollegin die Mail mit dem „geteilten Dokument“ schon am Mittwoch komisch fand und nichts gesagt hat.

Der Selbsttest zur Meldekultur nach Phishing-Mails von frag.hugo eignet sich für genau dieses Gespräch. Er fragt in sechs Bereichen, darunter Meldeweg, Übung und Anrufbetrug, und ordnet das Ergebnis in eine von vier Stufen ein. Den größten Wert legt er auf seine zweite Frage, was im Betrieb mit jemandem passiert, der auf eine Phishing-Mail hereingefallen ist. Wer dort ehrlich antwortet, versteht, warum die Kollegin geschwiegen hat. Probe-Mails an die Belegschaft braucht der Test dafür nicht.

Ob beim nächsten Mal wirklich jemand zum Telefon greift, misst der Test nicht, dafür bräuchte es laut Seite eine echte Kampagne. Das Paket für den Betriebsrat gibt es nur gegen Name, Firma und Mailadresse.

Was vorher im Browser liegen sollte

Am meisten bringen die Werkzeuge, wenn sie schon vorher im Browser liegen, am besten auf einem Gerät, das nicht am Firmennetz hängt.

• Das Lagebild mit dem Fristen-Zeitstrahl, damit am ersten Tag niemand nach dem Meldeweg suchen muss.
• Die Störungsseite von hagel IT, weil sie die Frage nach einer Herstellerstörung mit einem Blick beantwortet.
• Die Checkliste Technik des BSI, ausgedruckt neben dem Server. Ein Blatt Papier funktioniert auch dann, wenn alle Rechner verschlüsselt sind.

Lesen Sie das gerade, weil es schon brennt, dann notieren Sie zuerst die Uhrzeit, ziehen bei verdächtigen Rechnern das Netzwerkkabel und rufen Ihren IT-Dienstleister an. Alles Weitere aus dieser Liste hat danach Zeit. Was im Datenschutz ohne Notfall ansteht, vom Fristenkalender bis zum Prüfstand, sammelt frag.hugo in seinen Werkzeugen für die Zeit, in der nichts brennt.