Ein Wohlfahrts­verband ohne IT: die ersten Tage nach einem Cyberangriff

Betroffene Stelle

Caritasverband der Erzdiözese München und Freising; nach dem Bericht 10.000 Beschäftigte und 350 Einrichtungen

Zeitraum

Eindringen ab etwa Mitte August 2022, Verschlüsselung am 10. September 2022

Art des Vorfalls

Angriff mit Erpressersoftware (Ransomware): Datenentwendung, Verschlüsselung von Servern und Datenspeichern, Lösegeldforderung in Millionenhöhe

Ausgang

Lösegeld abgelehnt; IT vollständig neu aufgebaut, Betrieb schrittweise an Dienstleister übergeben

Hauptquelle

Thomas Schwarz: Nichts geht mehr, neue caritas 20/2024 (Seite zuletzt geändert am 14. November 2024)

Am Sonntag, dem 11. September 2022, blieben die Rechner von rund 10.000 Beschäftigten ausgeschaltet. In so einer Lage muss die Leitung klären, wer führt, womit kommuniziert wird und was weiterläuft. Für erfasste Einrichtungen weist das neue BSI-Gesetz (BSIG), die deutsche Umsetzung der europäischen Cybersicherheitsrichtlinie NIS2, den Geschäfts­leitungen Pflichten zu; es gilt seit dem 6. Dezember 2025 (§§ 30, 38 BSIG). Zur Sicherheit der Verarbeitung sind alle Träger verpflichtet: nach Art. 32 der Datenschutz-Grundverordnung (DSGVO), kirchliche Träger nach dem Gesetz über den Kirchlichen Datenschutz (KDG, katholisch) oder dem Datenschutzgesetz der EKD (DSG-EKD, evangelisch).

Ab Mitte August im Netz, am 10. September verschlüsselt

Genaue Daten nennt der Bericht nur wenige.

Wann die interne IT die beginnende Verschlüsselung bemerkte und Systeme isolierte, wann der Krisenstab zum ersten Mal zusammenkam, wann die Lösegeldforderung abgelehnt wurde, wann der Neuaufbau begann und wann der Normalbetrieb zurückkehrte, steht nicht im Bericht.

Sieben Aufgaben für den Krisenstab

Der Verband richtete einen Krisenstab ein, der täglich mehrfach tagte. Ihm gehörten die drei Vorstandsmitglieder und die Leitungen der Abteilungen IT und Kommunikation an; ein externer Krisenmanager der Cyberversicherung unterstützte ihn.

Als kurzfristige Aufgaben des Krisenstabs nennt der Bericht:

• mit den Erpressern verhandeln,
• die Liquidität sichern und die Kommunikation nach innen und außen aufrechterhalten,
• die IT-Forensik steuern, also die technische Spurensuche nach Weg und Umfang des Angriffs,
• Informationen innerhalb des Verbands bündeln und weitergeben,
• Öffentlichkeitsarbeit und interne Kommunikation gestalten,
• mit externen Partnern einen Notbetrieb der wichtigsten IT-Verfahren gestalten,
• die IT planmäßig wieder aufbauen, geordnet nach Geschäftsprozessen.

Im Rückblick hält der Autor zwei Punkte für entscheidend: Liquidität und Kommunikation. Die Organisation müsse mit Überforderung und Ohnmacht umgehen, auch in der obersten Leitung. Deshalb sei „Kommunikation in der Krise Chefsache“.

Neben diesem kleinen Stab arbeitete ein erweiterter Krisenstab mit der ersten Führungsebene. Er kümmerte sich um das Allerwichtigste: die Arbeit für die Menschen in Altenheimen, Kitas, Werkstätten und Sozialberatung fortzuführen, ohne Computer und Datenleitungen.

Was ohne IT weiterlief

Die Arbeit für die Menschen funktionierte auch ohne IT, verlangte aber allen Beteiligten überaus große Anstrengungen ab. Abläufe wurden ad hoc umgestaltet; wie, beschreibt der Autor nicht.

Zur IT nennt der Bericht zwei Dinge. Die interne IT isolierte Systeme, sobald sie die beginnende Verschlüsselung bemerkte; extern betriebene Fachverfahren (Spezialsoftware für einzelne Aufgaben) und mit dem Verbandsnetz verbundene Netze blieben nach seiner Darstellung unberührt. Zu den Aufgaben des Krisenstabs gehörte außerdem, mit externen Partnern einen Notbetrieb der wichtigsten IT-Verfahren zu gestalten. Wie weit er gelang, steht nicht im Bericht.

Womit der Verband in den ersten Tagen kommunizierte

In den ersten Tagen lief die Kommunikation über das mobile Internet der Handys, über private E-Mail-Konten und Chatgruppen, über SMS- und Faxketten und über das Telefon. Damit blieb der Verband nach dem Bericht handlungsfähig.

Von Vorteil war, schreibt der Autor, dass die öffentliche Website und die Social-Media-Kanäle unabhängig von der internen IT betrieben wurden. Sie standen deshalb sofort für die Krisenkommunikation bereit, etwa für eine Liste mit Fragen und Antworten.

Die Botschaften sollen klar, transparent, zeitnah und zielgruppengerecht sein, damit bei Mitarbeitenden, Klientinnen und Klienten keine Missverständnisse und Ängste entstehen. Verlässliche Dienstleister seien in der Krise sehr wertvoll. Auch die Zusammenarbeit mit dem Aufsichtsrat dürfe nicht zu kurz kommen.

Neuaufbau statt Wiederherstellung: was der Bericht festhält

• Als Einfallstor gilt vermutlich eine E-Mail mit einem Link auf Schadcode. Die forensische Untersuchung geht davon aus, dass der erste Schadcode eine Zero-Day-Lücke nutzte, also eine Schwachstelle, die öffentlich unbekannt und vom Hersteller noch nicht geschlossen war. Firewall, Netzfilter und Virenscanner erkannten ihn nicht.
• Entwendet wurden auch Daten. Im Nachhinein betrachtet wirkte der Datenklau sehr zufällig; die Daten dienten vor allem dazu, die Verschlüsselung vorzubereiten. Art und Umfang nennt der Autor nicht.
• Die alte IT wurde nicht wiederhergestellt, sondern vollständig neu aufgebaut. Die Betriebsverantwortung ging schrittweise an Dienstleister über.
• Technisch überwacht seither ein Dienstleister den Betrieb. Wer nicht von einem Standort des Verbands aus zugreift, meldet sich mit mehreren Faktoren an (Mehrfaktor-Authentifikation). Die Umgebungen für einzelne Anwendungen sind strikt getrennt; Dateiablagen liegen in einer Cloud. Die Fachanwendungen verteilen sich auf mehrere Umgebungen, damit sich ein Angriff auf ein Rechenzentrum schnell abkoppeln lässt.
• Organisatorisch sollen Notfallpläne Dienste, Einrichtungen und Geschäftsbereiche auf weitere IT-Ausfälle vorbereiten. Für Schulungen entstanden Kenntnisstufen nach Tätigkeit und Person, dazu Kampagnen wie Phishing-Simulationen (Test-E-Mails, die echte Angriffe nachahmen).

Kontrollfragen für die eigene Leitung

Ich halte es für sinnvoll, die folgenden Fragen vor dem Ernstfall einmal in der Leitungsrunde durchzugehen. Warum diese Entscheidungen bei der Leitung liegen und nicht bei der IT, ordnet der Beitrag zur Verantwortung der Leitung ein.

Wer entscheidet, wenn am Wochenende alles steht?

• Wer gehört in den Krisenstab, wer vertritt wen und wie sind diese Personen ohne dienstliche E-Mail erreichbar?
• Wer spricht mit Erpressern und wer entscheidet über eine Forderung?
• Besteht eine Cyberversicherung, welche Hilfe stellt sie im Ernstfall und liegt ihre Notrufnummer auch auf Papier vor?
• Ist ein Dienstleister für die Forensik vorab ausgewählt und zur Verschwiegenheit verpflichtet?

Der Europäische Datenschutzausschuss (EDSA), das Gremium der europäischen Datenschutz­aufsichts­behörden, empfiehlt, eine entdeckte Datenschutz­verletzung unbedingt an die geeignete Managementebene weiterzuleiten (Leitlinien 9/2022, Rn. 37).

Die Frage nach dem Forensikdienstleister hat einen strafrechtlichen Hintergrund. Wer der Schweigepflicht unterliegt, etwa als staatlich anerkannte Sozialarbeiterin, darf Geheimnisse an Mitwirkende nur weitergeben, soweit deren Arbeit es erfordert (§ 203 Abs. 3 Satz 2 StGB). Wird eine mitwirkende Person nicht zur Geheimhaltung verpflichtet und offenbart sie dann unbefugt ein Geheimnis, kann sich auch die schweigepflichtige Person strafbar machen, die die Verpflichtung unterlassen hat (§ 203 Abs. 4 Satz 2 Nr. 1 StGB). Was das für Dienstleister bedeutet, steht im Beitrag zur Schweigepflicht bei IT, Cloud und KI.

Was läuft weiter, wenn kein Rechner startet?

• Weiß jede Einrichtung, wie sie einen Tag und eine Woche ohne Fachsoftware arbeitet?
• Liegen die Unterlagen dafür außerhalb der IT bereit?
• Wie werden Gehälter und Rechnungen bezahlt, wenn die Buchhaltung nicht erreichbar ist?
• Welche Fachverfahren laufen im eigenen Netz und welche bei Dienstleistern? Bleiben diese getrennt, wenn das eigene Netz befallen ist?
• Wann wurde zuletzt erprobt, ob sich Daten aus der Sicherung tatsächlich zurückspielen lassen?

Hier setzt die DSGVO an. Verantwortliche müssen risikoangemessene Maßnahmen treffen. Dazu gehört unter anderem die Fähigkeit, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen und die Verfügbarkeit der Daten nach einem Zwischenfall rasch wiederherzustellen; ob die Maßnahmen wirken, ist in einem festen Verfahren wiederkehrend zu überprüfen (Art. 32 Abs. 1 Buchst. b bis d DSGVO). Einen Notfallplan nennt der Wortlaut nicht. Der EDSA empfiehlt aber einen Reaktionsplan für Cybervorfälle, einen Plan zur Wiederherstellung der Daten und einen Plan zur Fortführung des Betriebs, die sorgfältig getestet sind (Leitlinien 01/2021, Rn. 49).

Kirchliche Träger finden eine entsprechende Pflicht im KDG (§ 26) und im DSG-EKD (§ 27). Beide Gesetze enthalten einen ausdrücklichen Vorbehalt der Verhältnismäßigkeit (§ 26 Abs. 3 KDG, § 27 Abs. 3 DSG-EKD).

Wie erreicht die Leitung Teams, Angehörige und Öffentlichkeit?

• Über welche Kanäle erreicht die Leitung Einrichtungen und Dienste, wenn E-Mail und Netzlaufwerke ausfallen?
• Welche dieser Kanäle sind für Angaben über Klientinnen und Klienten zugelassen?
• Läuft die Website unabhängig von der eigenen IT und wer kann sie im Ernstfall von außen pflegen?
• Wer informiert Aufsichtsgremium, Kostenträger und Kooperationspartner und wer spricht mit der Presse?

Im geschilderten Fall liefen die Kanäle in den ersten Tagen über Handys, private Konten und Chatgruppen. Ich halte es für ratsam, den Kanal für Angaben über Klientinnen und Klienten vorab festzulegen. Die Sächsische Datenschutz- und Transparenzbeauftragte empfiehlt einen Notfallplan, der regelt, wann wer zu informieren ist, von der IT-Administration bis zur Kundschaft. Betroffene Personen oder Abteilungen sollten schnell informiert werden, auch wenn noch nicht sicher ist, ob und welche personenbezogenen Daten betroffen sind (Tätigkeitsbericht 2025). Beide Hinweise sind Empfehlungen, keine Rechtspflichten; die Benachrichtigung nach Art. 34 DSGVO bleibt davon unberührt.

Wer meldet was, an wen und bis wann?

Verschlüsseln Angreifer Systeme mit personenbezogenen Daten, ist das nach Auffassung des EDSA eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), auch wenn die Daten nur vorübergehend nicht erreichbar sind (Leitlinien 9/2022, Rn. 17 und 21). Jede solche Verletzung ist intern zu dokumentieren (Art. 33 Abs. 5 DSGVO). Der Datenschutzaufsicht gemeldet wird sie unverzüglich und möglichst binnen 72 Stunden, außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen (Art. 33 Abs. 1 DSGVO). Bei hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34 DSGVO).

Die Frist beginnt, sobald hinreichende Gewissheit besteht, dass ein Sicherheitsvorfall den Schutz personenbezogener Daten beeinträchtigt hat; der EDSA nennt als Beispiel einen Angriff mit Lösegeldforderung (Leitlinien 9/2022, Rn. 31 bis 33). Nach der Handreichung der Landesbeauftragten für den Datenschutz Brandenburg verlängern Nächte, Wochenenden und Feiertage die Frist nicht; wird ein Angriff an einem Samstag bekannt, fallen damit 48 der 72 Stunden auf das Wochenende. Einzelheiten und Quellen stehen im Beitrag Datenpanne in der Einrichtung.

Auch der Datenschutz­beauftragte gehört in den Notfallplan. Er berät die Leitung zu ihren Pflichten (Art. 39 Abs. 1 Buchst. a DSGVO). Die Meldung muss seinen Namen und seine Kontaktdaten oder die einer sonstigen Anlaufstelle enthalten (Art. 33 Abs. 3 Buchst. b DSGVO). Ob ein Träger eine Person benennen muss, klärt der Beitrag zur Benennungspflicht.

Für kirchliche Träger gilt eigenes Recht. Nach dem KDG geht die Meldung bei einem Risiko unverzüglich an die kirchliche Datenschutzaufsicht; wer die 72 Stunden überschreitet, muss die Verzögerung begründen (§ 33 KDG). Das DSG-EKD verlangt die unverzügliche Meldung, wenn voraussichtlich ein nicht unerhebliches Risiko besteht; eine Stundenzahl nennt es nicht (§ 32 DSG-EKD).

Für Einrichtungen, die unter das BSIG fallen, kommt eine zweite Meldepflicht hinzu. Sie melden einen erheblichen Sicherheitsvorfall an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Verlangt sind eine frühe Erstmeldung spätestens binnen 24 Stunden nach Kenntniserlangung, eine Meldung mit erster Bewertung spätestens binnen 72 Stunden und spätestens einen Monat nach dieser Meldung eine Abschlussmeldung (§ 32 Abs. 1 BSIG; die Pflicht gilt frühestens ab Einrichtung des Meldewegs durch das BSI). Erheblich ist ein Vorfall unter anderem, wenn er schwerwiegende Betriebsstörungen verursacht hat oder verursachen kann (§ 2 Nr. 11 BSIG). Mit Kenntniserlangung meint das BSI die Kenntnis eines Mitarbeiters innerhalb der Arbeitszeit; ob das auch für einen Angriff am Wochenende gilt, sagt seine FAQ nicht.

Diese Meldung steht neben der Meldung nach der DSGVO; Empfänger, Auslöser und Fristen unterscheiden sich. Im Zweifel hat nach Auffassung des BSI die Eindämmung der akuten Folgen Vorrang.

Dieselben Einrichtungen müssen nach § 30 BSIG für die Aufrechterhaltung des Betriebs sorgen, etwa durch Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement, gegebenenfalls auch durch gesicherte Notfallkommunikation. Die Geschäfts­leitung muss diese Maßnahmen umsetzen, ihre Umsetzung überwachen und wiederkehrend an Schulungen teilnehmen (§ 38 Abs. 1 und 3 BSIG).

Wer erfasst ist, hängt von Leistungsfeld und Größe ab. Einrichtungen der Langzeitpflege fallen nach Auffassung des BSI nicht unter den Sektor Gesundheitsdienstleistung. Ob Einrichtungen der Eingliederungs­hilfe betroffen sind, beantwortet das BSI mit Nein: Sie seien nicht ausdrücklich als Einrichtungsart vorgesehen. Eine Betroffenheit komme jedoch in Betracht, wenn sie als Gesundheitsdienstleister einzustufen wären. Bei Trägern mit gemischtem Angebot dürfen nur Tätigkeiten außer Betracht bleiben, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind (§ 28 Abs. 3 BSIG). Die Einordnung der Leistungsfelder, auch die Ausnahme bei einem erheblichen medizinischen Anteil, steht im Beitrag Fällt unser Träger unter NIS2?

Stand: 8. Oktober 2026. Zugrunde liegen KDG (Beschluss vom 24. November 2025), DSG-EKD (Fassung ab 1. Mai 2025) und BSIG (Fassung vom Abrufdatum).

Was die Quellen nicht hergeben

Der Bericht ist keine Untersuchung von außen. Die Seite der Zeitschrift nennt den Autor, aber nicht seine Funktion; ob er für den Verband spricht, geht aus ihr nicht hervor. Eine behördliche oder gerichtliche Feststellung zu dem Vorfall enthalten die hier ausgewerteten Quellen nicht. Die Seite wurde zuletzt am 14. November 2024 geändert; wann der Bericht erstmals erschien, nennt sie nicht.

Offen lässt der Bericht Meldungen an Aufsichts­behörden, die Benachrichtigung Betroffener, Polizei und Strafanzeige, Art und Umfang der entwendeten Daten, die Kosten und die Dauer bis zum Normalbetrieb. Aus diesem Schweigen folgt nichts, weder dass gemeldet wurde noch dass es unterblieb. Die E-Mail als Einfallstor ist eine Vermutung, die Zero-Day-Lücke eine Annahme der Forensik. Presseberichte über den Vorfall sind nicht berücksichtigt.

Der Vorfall liegt vier Jahre zurück, der Bericht zwei; was er für 2025 plant, ist ein Vorhaben, dessen Umsetzung nicht belegt ist. Das neue BSIG galt 2022 noch nicht.

Fragen und Antworten

Quellen

1. Thomas Schwarz: Nichts geht mehr. neue caritas, Ausgabe 20/2024, Rubrik Ernstfall, Bericht über den Cyberangriff auf den Caritasverband der Erzdiözese München und Freising, Seite zuletzt geändert am 14. November 2024. caritas.de, abgerufen am 8. Oktober 2026.
2. Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 12, Art. 32, 33, 34 und 39. EUR-Lex, abgerufen am 8. Oktober 2026.
3. Europäischer Datenschutzausschuss (EDSA): Leitlinien 9/2022 für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der DSGVO, Version 2.0, angenommen am 28. März 2023, Rn. 17 bis 23, 31 bis 37. PDF des EDSA, abgerufen am 8. Oktober 2026.
4. Europäischer Datenschutzausschuss (EDSA): Leitlinien 01/2021 zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten, Version 2.0, angenommen am 14. Dezember 2021, Rn. 49. PDF des EDSA, abgerufen am 8. Oktober 2026.
5. Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg: Meldung von Datenschutz­verletzungen in Brandenburg, Stand August 2025, Abschnitt 2.1. PDF der Landesbeauftragten, abgerufen am 8. Oktober 2026.
6. Sächsische Datenschutz- und Transparenzbeauftragte: Tätigkeitsbericht Datenschutz 2025, Kap. 4.3.4 Vorbeugende Maßnahmen, S. 175. publikationen.sachsen.de, abgerufen am 8. Oktober 2026.
7. Katholisches Datenschutzzentrum (KDSZ) Bayern: 6. Tätigkeitsbericht, Berichtsjahr 2025, Abschnitt 4.2.8 Beispiele aus der Praxis, S. 128 und 129. PDF im Datenschutzarchiv, abgerufen am 8. Oktober 2026.
8. Diözese Rottenburg-Stuttgart: Kirchliches Amtsblatt 2026, Nr. 4 vom 26. Februar 2026, Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung des Beschlusses vom 24. November 2025, §§ 26 und 33. PDF des Amtsblatts, abgerufen am 8. Oktober 2026.
9. Evangelische Kirche in Deutschland: Kirchengesetz über den Datenschutz der EKD (DSG-EKD) in der ab dem 1. Mai 2025 geltenden Fassung, §§ 27 und 32. Kirchenrecht Online, abgerufen am 8. Oktober 2026.
10. Bundesministerium der Justiz und für Verbraucherschutz: Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz), §§ 2, 28, 30, 32 und 38. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
11. Bundesamt für Sicherheit in der Informationstechnik (BSI): FAQ zu NIS-2, Abschnitt Meldepflicht. bsi.bund.de, abgerufen am 8. Oktober 2026.
12. Bundesamt für Sicherheit in der Informationstechnik (BSI): Sektorspezifische FAQ zu NIS-2, Sektor Gesundheitsdienstleistung (Langzeitpflege, Eingliederungs­hilfe). bsi.bund.de, abgerufen am 8. Oktober 2026.
13. Bundesministerium der Justiz und für Verbraucherschutz: Strafgesetzbuch (StGB), § 203 Abs. 3 und 4. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.

Christian Monat

Ich bin externer Datenschutz­beauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich

Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.