Achtung: Bis zum 01.09.26 übernehmen wir nur noch ausgewählte Strafverteidigungen!
Anwaltskanzlei Ferner Alsdorf (Rechtsanwalt für Strafrecht & IT-Recht im Raum Aachen, Heinsberg, Düren)

Anwaltskanzlei Ferner Alsdorf (Rechtsanwalt für Strafrecht & IT-Recht im Raum Aachen)

Schlagwort: Cyberangriff

Cyberangriffe entwickeln sich zunehmend zu einer existenziellen Bedrohung für Unternehmen – nicht nur technisch, sondern auch rechtlich. Von Meldepflichten nach der NIS-2-Richtlinie bis hin zu zivil- und strafrechtlichen Konsequenzen bei unzureichenden Schutzmaßnahmen: Die rechtlichen Herausforderungen sind vielfältig. Dieses Schlagwort zeigt auf, wie Unternehmen durch proaktive IT-Compliance und gezielte Krisenkommunikation Haftungsfallen vermeiden und ihre Position im Schadensfall stärken können. Besonders im Fokus stehen dabei die Schnittstellen zwischen Datenschutzrecht, Vertragsgestaltung und strafrechtlicher Verantwortung.

Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen

Achtung: Bis zum 01.09.26 übernehmen wir nur noch ausgewählte Strafverteidigungen!

Kontakt
Rückruf Buchen
Rechtsanwalt Ferner in Alsdorf, Aachen; Fachanwalt für Strafrecht und Fachanwalt für IT-Recht in der Städteregion Aachen, leicht verfügbar für Betroffene in Alsdorf, Aachen, Würselen, Baesweiler, Herzogenrath, Eschweiler, Übach-Palenberg, Geilenkirchen und Aldenhoven
  • Untersagung kritischer Komponenten: § 41 BSIG im neuen Cybersicherheitsrecht

    Untersagung kritischer Komponenten: § 41 BSIG im neuen Cybersicherheitsrecht

    Am 23. Juni 2025 legte ein simpler Wartungsfehler am Bahnfunk den gesamten deutschen Zugverkehr lahm, und innerhalb weniger Stunden stand eine ganz andere Forderung im Raum: ein Verbot chinesischer Komponenten in kritischer Infrastruktur. Dabei zeigt der Vorfall vor allem eines, nämlich dass es keinen nachgewiesenen Angriff und keinen Bezug zum Herkunftsland einer Komponente braucht, damit ein Betreiber plötzlich vor einer Untersagungsverfügung nach § 41 BSIG und Millionenkosten für den erzwungenen Ausbau steht.

    Wer in kritischen Infrastrukturen tätig ist, kennt das Thema schon aus dem IT-Sicherheitsgesetz 2.0 von 2021: Bestimmte IKT-Produkte können vom Bundesministerium des Innern (BMI) verboten werden, wenn ihr Einsatz die öffentliche Sicherheit oder Ordnung der Bundesrepublik gefährdet. Früher war das in § 9b BSIG a.F. geregelt, nun – nach dem NIS-2-Umsetzungsgesetz vom 2. Dezember 2025 – findet es sich in § 41 BSIG n.F. Kommentarliteratur zur neuen Fassung ist noch kaum vorhanden.

    Das bedeutet aber nicht, dass die inhaltliche Behandlung von vorn beginnen müss: Die zur Vorgängernorm § 9b BSIG a.F. erschienene Kommentarliteratur dürfte in wesentlichen Teilen ihre Relevanz behalten, weil der neue § 41 BSIG strukturell und inhaltlich stark an die Vorgängernorm anknüpft.

    Hinweis: Ich kommentiere im BeckOK-StPO zum Thema kritische Komponenten im Bereich der Telekommunikation.

    (mehr …)
  • Schatten-KI im Betrieb

    Schatten-KI im Betrieb

    Während Schatten-IT – also die Nutzung nicht autorisierter Software oder Hardware – bereits seit Längerem bekannt ist, gewinnt nun ein verwandtes Phänomen an Bedeutung: Schatten-KI. Gemeint ist der Einsatz künstlicher Intelligenz durch Mitarbeiter ohne Wissen oder Genehmigung der Unternehmensführung.

    Eine aktuelle Umfrage zeigt auf, dass ein beträchtlicher Teil der Fachkräfte, insbesondere in MINT-Berufen, KI-Tools wie ChatGPT, Google Gemini oder andere generative Systeme im Arbeitsalltag nutzt, oft ohne dass dies von der IT-Abteilung oder Geschäftsleitung autorisiert wurde. Die Rede ist hier von drei von vier MINT-Fachkräften (77 Prozent). Durch einen solchen (unkontrollierten) Einsatz werden nicht nur technische, sondern vor allem rechtliche und organisatorische Fragen aufgeworfen.

    Hinweis/Update: Zu dem Thema habe ich dem IT-Fachmagazin t3n im Juni 2026 ein Interview gegeben.

    (mehr …)
  • MOVEit-Datenleck und DSGVO-Haftung im Sozialrecht

    MOVEit-Datenleck und DSGVO-Haftung im Sozialrecht

    Wer Opfer eines Hackerangriffs wird, sieht sich schnell selbst auf der Anklagebank: Geschädigte verlangen Schmerzensgeld, und der naheliegende Gedanke lautet, dass schon der erfolgreiche Angriff den Beweis für lückenhafte Sicherheit liefere. Genau dieser Schluss ist falsch – das Sozialgericht Nürnberg hat ihn mit Endurteil vom 10.06.2026 (Az. S 5 SF 65/24 DS) im Zusammenhang mit dem weltweiten MOVEit-Datenleck zurückgewiesen und die Klage einer Versicherten gegen ihre Krankenkasse und deren Auftragsverarbeiter vollständig abgewiesen.

    (mehr …)
  • UN-Übereinkommen zur Bekämpfung von Cyberkriminalität verabschiedet (Update 2026)

    UN-Übereinkommen zur Bekämpfung von Cyberkriminalität verabschiedet (Update 2026)

    Am 8. August 2024 haben die Vereinten Nationen nach intensiven Verhandlungen den Text für ein neues, globales Übereinkommen zur Bekämpfung von Cyberkriminalität verabschiedet. Dieses Abkommen markiert einen bedeutenden und damit auch durchaus kritischen Schritt in der internationalen Zusammenarbeit gegen kriminelle Aktivitäten im digitalen Raum.

    Was nun im Jahr 2024 noch ein Verhandlungstext war, ist seit Herbst 2025 ein unterschriebener völkerrechtlicher Vertrag – und damit für Strafverteidigung und IT-Recht keine ferne Brüsseler oder New Yorker Angelegenheit mehr, sondern eine konkrete Perspektive grenzüberschreitender Datenherausgabe. Die UN-Generalversammlung verabschiedete das Übereinkommen zur Bekämpfung von Cyberkriminalität am 24. Dezember 2024 mit der Resolution 79/243. Seither hat sich entscheidend etwas bewegt: Der Vertrag wurde am 25. und 26. Oktober 2025 in Hanoi zur Unterzeichnung aufgelegt, weshalb er heute meist schlicht „Hanoi-Konvention“ heißt. In Kraft ist er allerdings noch nicht – und genau in dieser Schwebephase entscheidet sich, wie scharf das Instrument am Ende wird.

    Das Abkommen zielt darauf ab, Straftaten wie illegale Zugriffe auf IT-Systeme, Dateninterferenzen, die Verbreitung von schädlicher Software, Identitätsdiebstahl, Kinderpornografie, und andere Formen von Cyberkriminalität zu verhindern und zu bestrafen. Weiterhin – und hier liegen ganz besondere Gefahren – fördert es den Austausch von elektronischen Beweismitteln und stärkt die internationale Zusammenarbeit bei Ermittlungen, einschließlich der gegenseitigen Rechtshilfe und Auslieferung. Das Übereinkommen legt großen Wert auf den Schutz von Opfern und auf Maßnahmen zur Beschlagnahme und Einziehung von Vermögenswerten, die durch Cyberkriminalität erlangt wurden.

    Hinweis: Beachten Sie dazu meinen Kommentar bei Beck-Aktuell. Ich habe den Beitrag im Juni 2026 zuletzt aktualisiert.

    (mehr …)
  • Strafanzeige für Unternehmen: Warum geschädigte Unternehmen den Strafprozess nicht der Staatsanwaltschaft überlassen sollten

    Strafanzeige für Unternehmen: Warum geschädigte Unternehmen den Strafprozess nicht der Staatsanwaltschaft überlassen sollten

    Von der Strafanzeige bis zur Hauptverhandlung: Wie Unternehmen ihre Verletztenrechte aktiv nutzen – und warum sich daraus oft auch ein Hebel für zivilrechtliche Vergleiche ergibt.

    Wird ein Unternehmen Opfer einer Straftat – durch einen untreuen Geschäftsführer, einen Mitarbeiter, der Geschäftsgeheimnisse verkauft, oder durch Betrug und Cyberangriffe –, herrscht im Management häufig dieselbe Annahme: „Wir erstatten Anzeige, und ab dann macht der Staat das schon.“ Diese Annahme ist verständlich, aber teuer. Wer das Strafverfahren passiv laufen lässt, verschenkt Einflussmöglichkeiten, die das Recht dem Verletzten ausdrücklich einräumt – und die sich gerade für Unternehmen erheblich auswirken.

    (mehr …)
  • Trojanische Pferde in Unternehmen

    Trojanische Pferde in Unternehmen

    Unsichtbare Bedrohung durch nordkoreanische Hacker

    Eine der gravierendsten modernen Cyberrisiken ist die Gefahr durch nordkoreanische IT-Arbeiter, die sich als trojanische Pferde in Unternehmen auf der ganzen Welt einschleichen. Derart hochqualifizierte Hacker agieren verdeckt, tarnen ihre wahre Identität und dringen so in die Netzwerke von Firmen ein, um enorme Summen zu generieren – Gelder, die letztlich das nordkoreanische Waffenprogramm finanzieren. Im Folgenden kurz dazu, wie diese Hacker vorgehen, welche Risiken sie darstellen und warum es unerlässlich ist, funktionierende Verifikationsprozesse für externe IT-Remote-Arbeiter zu etablieren.

    Updates: Im Oktober 2024 hat auch das Bundesamt für Verfassungsschutz eine entsprechende Warnung herausgegeben, die hier aufgenommen wurde. Im Dezember 2025 wurden ein Erfahrungsbericht von Amazon sowie weitere aktuelle Daten in den Beitrag aufgenommen. Und im Juni 2026 habe ich nochmals um aktuelle Entwicklungen erweitert.

    (mehr …)
  • Claude Mythos und die NSA: Neue hybride Kriegsführung?

    Claude Mythos und die NSA: Neue hybride Kriegsführung?

    Cyberwar mittels Claude Mythos? Anfang Juni 2026 berichtete die Financial Times (dazu bei TheDecoder und bei Heise), dass das US-amerikanische Unternehmen Anthropic rund sechs eigene Ingenieure – sogenannte „Forward-Deployed Engineers“ – direkt bei der NSA stationiert haben soll, um sein bislang nicht öffentlich zugängliches KI-Modell Claude Mythos für offensive Cyberoperationen gegen China und Iran einzusetzen.

    Was auf den ersten Blick wie eine technologische Kuriosität aus dem US-Geheimdienstumfeld wirkt, ist bei näherer Betrachtung eine Zäsur: Zum ersten Mal betreibt ein privates Unternehmen hochfähige KI-Systeme aktiv als verlängerter Arm eines staatlichen Nachrichtendienstes – im Rahmen hybrider Konfliktführung, versteht sich ohne förmliche Kriegserklärung, unterhalb der Schwelle des bewaffneten Angriffs. Das verdient eine genauere juristische und konzeptionelle Einordnung.

    Ich befasse mich als Fachanwalt für Strafrecht und für IT-Recht seit Jahren publizistisch mit den rechtlichen Dimensionen des Cyberraums – von der strafrechtlichen Einordnung staatlich gesteuerter Cyberangriffe über die Phänomenologie moderner Cyberkriminalität bis hin zu konkreten Angriffsvektoren wie GPS-Jamming. Zuletzt erschienen sind meine Beiträge „Cyberwar, Hackbacks und Desinformation – Juristische und technische Implikationen unklarer Begriffe“ (AnwZert ITR 3/2025 Anm. 2), „Neuentwicklungen der Cybercrime-Phänomenologie“ (AnwZert ITR 22/2025 Anm. 2) sowie „Rechtsfragen des GPS-Jammings“ (AnwZert ITR 1/2026 Anm. 3), auf die ich im Folgenden an geeigneter Stelle Bezug nehme.

    (mehr …)
  • Privacy by Design und Mangelhaftung: Wenn nicht-datenschutzkonforme Software den Käufer trifft

    Privacy by Design und Mangelhaftung: Wenn nicht-datenschutzkonforme Software den Käufer trifft

    Stellen Sie sich vor, ein mittelständisches Unternehmen kauft für teures Geld eine Personalverwaltungssoftware – modern, funktional, vom etablierten Anbieter. Zwei Jahre später steht die Aufsichtsbehörde im Haus, weil sich Bewerberdaten nicht löschen lassen, jeder Sachbearbeiter sämtliche Personalakten einsehen kann und im Hintergrund Datenbestände schlummern, von denen niemand wusste. Das Bußgeld trifft nicht den Hersteller, sondern den Käufer. Genau hier liegt der wunde Punkt, an dem datenschutzfreundliche Technikgestaltung von einer abstrakten Programmieridee zum handfesten wirtschaftlichen Risiko wird – und an dem sich entscheidet, wer am Ende für die Versäumnisse haftet.

    (mehr …)
  • Cyberangriff auf Unternehmen

    Cyberangriff auf Unternehmen

    Was in den ersten Stunden nach einem Cyberangriff über Schaden und Haftung entscheidet

    Am Stuttgarter Staatstheater stand Anfang 2026 plötzlich ein Mann am Telefon, den niemand bestellt hatte: ein Verhandler, der zwischen einem öffentlichen Kulturbetrieb und einer Erpressergruppe vermitteln sollte. Die ZEIT hat den Fall im Januar nachgezeichnet – verschlüsselte Systeme, eine Lösegeldforderung in Kryptowährung, ein Prozess vor dem Landgericht, und am Ende die nüchterne Erkenntnis, dass die Täter sich verhalten wie scheue Wildtiere, die beim kleinsten Fehler verschwinden. Was sich liest wie ein Krimi, ist für die deutsche Wirtschaft längst Alltag. Und es trifft nicht mehr nur die Konzerne, sondern mit voller Wucht den Mittelstand.

    Der Bitkom beziffert den jährlichen Schaden durch Datendiebstahl, Spionage und Sabotage für 2025 auf 289,2 Milliarden Euro, davon über 200 Milliarden allein durch Cyberattacken. 87 Prozent der Unternehmen waren betroffen. Das Bundesamt für Sicherheit in der Informationstechnik registrierte zuletzt täglich 119 neue Schwachstellen – ein Zuwachs von fast einem Viertel binnen eines Jahres. Wer in dieser Lage glaubt, ein gut gemeinter Notfallplan im Aktenordner reiche aus, hat die eigentliche Dynamik eines Angriffs nicht verstanden.

    Ich selbst habe umfangreich fachlich zu dem Thema publiziert: zur Haftung der Geschäftsleitung, Haftungsverteilung im Schadensfall beim CEO-Fraud, dem Recht der Cyberversicherungen – aber auch zu Erscheinungsformen modernen Cybercrimes.

    (mehr …)
  • Zero-Day-Exploit und DSGVO-Schadensersatz

    Zero-Day-Exploit und DSGVO-Schadensersatz

    Mit Urteil vom 6. November 2025 (3 O 93/24) hat die 3. Zivilkammer des Landgerichts Krefeld die auf Art. 82 DSGVO gestützte Klage einer Riester-Kundin gegen ihre Versicherungsgesellschaft und deren Auftragsverarbeiterin vollständig abgewiesen, nachdem über die Managed-File-Transfer-Software „G.“ ein erfolgreicher Hackerangriff geführt worden war. Die Entscheidung reiht sich ein in eine wachsende obergerichtliche Linie, die den Anspruch auf immateriellen Schadensersatz nach DSGVO-Vorfällen an die substantiierte Darlegung eines konkreten, über den reinen Kontrollverlust hinausgehenden Schadens bindet – und zieht zugleich klare Grenzen der Zumutbarkeit technischer Schutzmaßnahmen bei unvorhergesehenen Zero-Day-Exploits.

    (mehr …)
  • Cybercrime Bundeslagebild 2025: Deutschland im Stresstest

    Cybercrime Bundeslagebild 2025: Deutschland im Stresstest

    Der Cybercrime-Befund für Deutschland fällt 2025 ernüchternd aus: Die Fallzahlen bleiben hoch, die Professionalisierung der Täter nimmt weiter zu, und mit der breiten Nutzung von KI verschiebt sich die Bedrohungslage qualitativ wie quantitativ. Gleichzeitig wächst der Erwartungsdruck auf Politik und Sicherheitsbehörden, mit neuen Befugnissen die Lücke zwischen Angriffs- und Verteidigungsfähigkeit zu schließen. Im Gesamtbild aller verfügbaren Informationen zeigt sich die wahre Gefährdungslage – und warum der Gesetzgeber ganz aktuell versucht, eine Vielzahl neuer Cybercrime-Gesetze durchzubringen.

    (mehr …)
  • Cyber Resilience Act als Ende der analogen Fabrik

    Cyber Resilience Act als Ende der analogen Fabrik

    Wer eine Maschine baut, denkt an Stahl, Hydraulik und Steuerungslogik. Dass er künftig auch an Firewalls, Schwachstellenscans und automatische Sicherheitsupdates denken muss, markiert einen Epochenwechsel im europäischen Produktsicherheitsrecht. Der Cyber Resilience Act der Europäischen Union verlangt von Herstellern vernetzter Produkte, was ihnen bislang weitgehend fremd war: lebenslange digitale Verantwortung für das, was sie auf den Markt bringen. Für den Maschinen- und Anlagenbau, das industrielle Rückgrat Europas, ist das mehr als ein regulatorisches Update. Es ist ein Paradigmenwechsel, der Geschäftsmodelle, Lieferketten und das Selbstverständnis einer ganzen Branche auf den Prüfstand stellt.

    (mehr …)
  • Cyberfähigkeiten von Israel und Iran

    Cyberfähigkeiten von Israel und Iran

    Die Cyberfähigkeiten Israels und Irans haben sich über zwei Jahrzehnte in einer Art stillen Rüstungswettlauf entwickelt. Beide Staaten betrachten den digitalen Raum längst nicht mehr nur als Nebenbühne militärischer oder politischer Auseinandersetzungen, sondern als eigenständiges Operationsfeld mit unmittelbarem Einfluss auf nationale Sicherheit, wirtschaftliche Stabilität und geopolitische Handlungsfreiheit. Dabei spiegelt der Cyberkonflikt zentrale Merkmale ihrer Rivalität wider: hohe wechselseitige Bedrohungswahrnehmung, asymmetrische Taktiken und eine bewusste Nutzung von Ambiguität und Deniability.

    Hinweis: In meiner fachlichen Publikation „Cyberwar, Hackbacks und Desinformation – Juristische und technische Implikationen unklarer Begriffe“, erschienen bei Juris im AnwZert ITR 3/2025, gehe ich aus juristischer Sicht den Fragen rund um Cyberwar auf den Grund. Der Beitrag wurde zuletzt im März 2026 aktualisiert.

    (mehr …)
  • Irans Cyberfähigkeiten und Hacker

    Irans Cyberfähigkeiten und Hacker

    In den letzten Jahren hat der Iran seine Cyberfähigkeiten erheblich ausgebaut und nutzt diese aggressiv gegen westliche Staaten. Diese Maßnahmen umfassen eine Vielzahl von Angriffen, die von Datendiebstahl bis hin zu destruktiven Cyberangriffen reichen. Die iranische Cyberstrategie spiegelt die allgemeine asymmetrische Kriegsführung des Landes wider und zeigt, wie Teheran seine begrenzten Ressourcen einsetzt, um erhebliche Auswirkungen zu erzielen.

    Der Beitrag aus dem Februar 2024 wurde im März 2026 aktualisiert. Berücksichtigt wurde neue Entwicklungen und natürlich der IRAN-Krieg.

    (mehr …)
  • Gesetzentwurf zur Stärkung der Cybersicherheit 2026

    Gesetzentwurf zur Stärkung der Cybersicherheit 2026

    In einem aktuellen Entwurf eines „Gesetzes zur Stärkung der Cybersicherheit“ wird den Schwerpunkt der deutschen Cyberpolitik spürbar in Richtung einer aktiven Gefahrenabwehr im Netz verschoben – mit massiven neuen Befugnissen für BKA, Bundespolizei und BSI, aber auch mit spürbaren Folgen für Unternehmen und offene Fragen für Bürgerrechte.

    (mehr …)