Die Erstmeldung: wenig Inhalt, aber innerhalb von 24 Stunden
Die Erstmeldung an das BSI ist bewusst schlank gehalten. Sie verlangt keine Ursachenanalyse und keine Schadensbilanz, sondern drei Angaben, die Sie auch mit unvollständigem Bild machen können. Diese Seite zeigt, was hineingehört, was Sie weglassen dürfen und wie eine Vorlage aussieht, die unter Druck funktioniert.
- 24 Stunden Frist ab Kenntnis des Vorfalls
- 3 Kernangaben in der Erstmeldung
- keine Ursachenanalyse erforderlich
- BSI-Portal Meldeweg, Registrierung vorausgesetzt
Warum die Erstmeldung so schlank ist
Das BSI will früh wissen, dass etwas passiert, nicht was genau. Wer das versteht, hört auf, in den ersten Stunden Fakten zu sammeln, die erst in der 72-Stunden-Meldung gebraucht werden.
-
Frühwarnung, keine Untersuchung
Die Erstmeldung soll dem BSI ermöglichen, Muster zu erkennen und andere Einrichtungen zu warnen. Dafür reicht der Verdacht. Eine belastbare Ursache haben Sie nach 24 Stunden in aller Regel nicht, und das Gesetz erwartet sie auch nicht.
-
Korrektur ist vorgesehen
Die Meldung nach 72 Stunden bestätigt oder aktualisiert die Erstmeldung ausdrücklich. Angaben, die sich als unzutreffend herausstellen, werden dort richtiggestellt. Das nimmt der ersten Stufe den Druck, perfekt zu sein.
-
Die Frist beginnt mit der Kenntnis
Die 24 Stunden laufen ab dem Zeitpunkt, an dem Ihre Einrichtung Kenntnis vom erheblichen Vorfall erlangt. Deshalb ist die interne Bewertung der eigentliche Engpass, siehe die Kriterien für einen erheblichen Sicherheitsvorfall.
Was in die Erstmeldung gehört
Neben der Identifikation Ihrer Einrichtung sind es drei Angaben. Für jede reicht eine Antwort in einem oder zwei Sätzen, auch 'unklar' ist eine zulässige Antwort.
| Angabe | Was gemeint ist | So formulieren Sie es |
|---|---|---|
| Einrichtung und Vorfall | Wer meldet, welche Registrierung, wann Kenntnis erlangt wurde, welcher Dienst oder Bereich betroffen ist. Ein Satz zum Sachverhalt, so wie er sich aktuell darstellt. | 'Seit dem 14.03., 06:40 Uhr, ist die zentrale Auftragsabwicklung an zwei Standorten nicht verfügbar. Es liegt ein erheblicher Sicherheitsvorfall vor.' |
| Verdacht auf rechtswidrige oder böswillige Handlung | Ob Anzeichen für einen Angriff vorliegen, im Gegensatz zu einem technischen Ausfall oder Bedienfehler. Ja, nein oder unklar, mit einem Satz Begründung. | 'Verdacht: ja. Auf mehreren Systemen wurden Erpressungsnachrichten und verschlüsselte Dateien gefunden.' |
| Mögliche grenzüberschreitende Auswirkungen | Ob der Vorfall Dienste, Kunden oder Standorte in anderen EU-Mitgliedstaaten betreffen kann. Auch hier: ja, nein oder unklar. | 'Grenzüberschreitend: möglich. Der betroffene Dienst wird auch für Kunden in Österreich und den Niederlanden erbracht.' |
| Kontaktdaten | Meldende Person, Funktionspostfach und Rufnummer, über die das BSI rund um die Uhr Rückfragen stellen kann. Idealerweise identisch mit der registrierten Kontaktstelle. | Funktionspostfach, Mobilnummer der Meldeverantwortlichen und der Vertretung, Erreichbarkeit in den nächsten 72 Stunden. |
Praxishinweis: Bereiten Sie den ersten und den vierten Block vollständig vor. Einrichtung, Registrierungsangaben und Kontaktdaten ändern sich nicht im Vorfall. Im Ernstfall füllen Sie nur noch zwei Felder aus.
Was nicht in die Erstmeldung gehört
Was Sie nicht sagen, ist in dieser Stufe kein Fehler. Was Sie falsch behaupten, muss später korrigiert werden und kostet Glaubwürdigkeit. Deshalb: knapp, ehrlich, ohne Spekulation.
-
Ursache und Angriffsweg
Wie der Angreifer hereingekommen ist, welche Schwachstelle ausgenutzt wurde, seit wann er im Netz war: Das sind Ergebnisse der forensischen Untersuchung und gehören in die Abschlussmeldung, nicht in die ersten 24 Stunden.
-
Schadensbilanz und Zahlen
Zahl der betroffenen Datensätze, Höhe des finanziellen Verlusts, Dauer des Ausfalls. Diese Werte sind früh fast immer falsch. Eine erste Bewertung von Schweregrad und Auswirkungen ist Inhalt der 72-Stunden-Meldung.
-
Bewertungen und Schuldfragen
Ob ein Dienstleister versagt hat, ob die Versicherung zahlt, ob ein Mitarbeitender fahrlässig war: keine Aussagen dazu. Die Erstmeldung beschreibt den Zustand, sie bewertet nicht. Rechtliche Einschätzungen klären Sie intern.
Von der Kenntnis zur Erstmeldung
Ein Zeitplan, der Spielraum lässt. Wer die Meldung nach vier Stunden absetzen kann, hat zwanzig Stunden Reserve für alles, was schiefgeht.
-
Kenntnis dokumentieren
Wer hat wann was festgestellt? Uhrzeit und Quelle notieren, denn ab jetzt läuft die Frist. Meldeverantwortliche und Geschäftsleitung informieren.
-
Erheblich oder nicht?
Bewertung anhand der vorab festgelegten Kriterien und Schwellenwerte. Ergebnis mit Begründung protokollieren, auch wenn es 'nicht erheblich' lautet.
-
Vorlage befüllen
Die vorbereitete Erstmeldung um Sachverhalt, Verdacht und grenzüberschreitende Auswirkungen ergänzen. Parallel prüfen, ob personenbezogene Daten betroffen sind, siehe DSGVO und NIS2.
-
Freigabe und Absenden
Freigabe nach der vorab geregelten Prozedur, Meldung über das BSI-Portal absetzen, Sendebestätigung und Kopie der Meldung mit Uhrzeit in der Vorfallsakte ablegen.
-
72-Stunden-Meldung vorbereiten
Erste Bewertung von Schweregrad und Auswirkungen sammeln, Kompromittierungsindikatoren sichern, Empfänger der Dienste informieren. Der Meldeverantwortliche hält die Fristen im Blick, nicht das Incident-Team.
Vor dem Absenden der Erstmeldung
Neun Punkte, die in der Vorlage stehen sollten. Wer sie abhakt, hat eine vollständige Erstmeldung und eine saubere Akte.
- Zeitpunkt der Kenntniserlangung ist festgehalten, mit Quelle und Person.
- Die Bewertung als erheblicher Sicherheitsvorfall ist mit Begründung protokolliert.
- Registrierungsangaben und Kontaktstelle sind eingetragen und aktuell.
- Der Sachverhalt ist in ein bis zwei Sätzen beschrieben, ohne Spekulation.
- Verdacht auf rechtswidrige oder böswillige Handlung: ja, nein oder unklar, mit Begründung.
- Mögliche grenzüberschreitende Auswirkungen: ja, nein oder unklar, mit Begründung.
- Erreichbarkeit der Meldeverantwortlichen für die nächsten 72 Stunden ist angegeben.
- Die Freigabe ist nach dem vorab geregelten Verfahren erteilt und dokumentiert.
- Kopie der Meldung und Sendebestätigung liegen mit Uhrzeit in der Vorfallsakte.
Zur Erstmeldung
Müssen wir in der Erstmeldung schon sagen, was genau passiert ist?
Nein. Die Erstmeldung ist eine Frühwarnung: Sie teilt mit, dass ein erheblicher Sicherheitsvorfall vorliegt, ob ein Verdacht auf eine rechtswidrige oder böswillige Handlung besteht und ob grenzüberschreitende Auswirkungen möglich sind. Ursache, Ausmaß und Bewertung folgen in der 72-Stunden-Meldung und in der Abschlussmeldung.
Was passiert, wenn sich der Verdacht später nicht bestätigt?
Dann korrigieren Sie in der 72-Stunden-Meldung. Das Meldeverfahren ist gestuft, damit die frühe Stufe auf unsicherer Grundlage abgegeben werden kann. Eine Erstmeldung, die sich als unbegründet herausstellt, ist kein Verstoß. Eine unterlassene Erstmeldung bei einem tatsächlich erheblichen Vorfall ist einer.
Der Vorfall ist bereits behoben. Müssen wir trotzdem melden?
Ja, wenn er erheblich war. Die Meldepflicht knüpft an den Vorfall an, nicht an seinen Fortbestand. Ein Ransomware-Angriff, der binnen Stunden eingedämmt wurde, aber die Produktion einen Tag stillgelegt hat, bleibt meldepflichtig. Halten Sie in der Erstmeldung fest, dass der Vorfall aus Ihrer Sicht beendet ist.
Wer gibt die Erstmeldung frei?
Das regeln Sie vorab. Verantwortlich ist die Geschäftsleitung, absetzen sollten benannte Meldeverantwortliche mit Vertretung. Eine Freigaberegel, die nachts und am Wochenende funktioniert, ist wichtiger als eine Unterschrift: etwa telefonische Freigabe durch ein Mitglied der Geschäftsleitung, dokumentiert mit Uhrzeit.
Was, wenn wir die Registrierungsdaten oder den Portalzugang nicht finden?
Dann verlieren Sie Stunden, die Sie nicht haben. Die Meldung erfolgt über das Melde- und Informationsportal des BSI, Voraussetzung ist die Registrierung nach § 33 BSIG. Legen Sie Zugangsdaten, Registrierungsangaben und Kontaktstelle an einem Ort ab, den beide Meldeverantwortlichen auch außerhalb des Firmennetzes erreichen.
Vertiefung zur Meldepflicht
-
Wann ist ein Vorfall erheblich?
Die zwei gesetzlichen Kriterien, Beispiele aus der Praxis und ein Entscheidungsbaum, der die Bewertung in einer Stunde ermöglicht.
-
DSGVO und NIS2 parallel
Wenn personenbezogene Daten betroffen sind, laufen zwei Meldepflichten mit unterschiedlichen Fristen. Wer was meldet, in einem Prozess.
-
Meldepflicht im Überblick
Die drei Stufen, die Meldewege und unser Angebot für einen Meldeprozess in vier Wochen auf der Startseite.
Marcel Rieger
Vorlagen, die in der Nacht funktionieren
Im kostenlosen Erstgespräch prüfen wir, ob Ihre Erstmeldung heute in vier Stunden absetzbar wäre, und zeigen, welche Vorbereitung dafür fehlt.
- Vorlagen für alle drei Meldestufen, vorbefüllt
- Freigaberegel und Erreichbarkeit außerhalb der Bürozeiten
- Übung mit Stoppuhr als Nachweis
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen