Standardmäßig ist der Prompt ausgewählt, der zuerst die Quelle prüft. Sie können zu einem direkten Befehl wechseln oder eine lokale Kopie herunterladen.
Quelldateien prüfen
Lesen Sie SKILL.md und alle von SkillsMP angezeigten Begleitdateien, bevor Sie sich für eine Installation entscheiden.
Mit Codex oder Claude installieren Kopieren Sie diesen Prompt, fügen Sie ihn in Codex, Claude oder einen anderen Assistant ein und lassen Sie die Skill-Seite prüfen und installieren.
Ein direkter Befehl überspringt den Prüf-Prompt. Prüfen Sie die Quelle, bevor Sie ihn ausführen.
Art des Vorfalls — Ransomware (Bildschirmsperre, Erpressungsmail), Datenleck (Exfiltration nach extern), DDoS (Nichterreichbarkeit), Insider-Threat (Mitarbeiter-Exfiltration)?
Wann wurde der Vorfall entdeckt — seit wann läuft er vermutlich (Angriffszeitpunkt vs. Entdeckungszeitpunkt)?
Welche Systeme und Datenkategorien sind betroffen — personenbezogene Daten (Kunden, Mitarbeiter, Patienten), Geschäftsgeheimnisse, Infrastruktur?
Ist Mandant KRITIS-Betreiber oder fällt unter NIS2UmsuCG (§ 28 BSIG n. F. wichtige oder besonders wichtige Einrichtung)?
Besteht eine Cyber-Versicherung — Deckungsumfang, Notfallhotline des Versicherers bekannt?
Wurden bereits Maßnahmen ergriffen — Systeme abgeschaltet (Forensik-Problem!), Passwörter geändert, Backups überprüft?
Liegt eine Erpressungsforderung vor — Betrag, Zahlungsanweisung, Frist?
Ist eine betroffene Begleitperson oder Datenschutzbeauftragter vorhanden?
Was will der Mandant wirklich erreichen? (Nicht: was steht im Standardweg, sondern: welches Ergebnis ist fuer den Mandanten persoenlich/wirtschaftlich das beste? Manchmal ist der schnellere Vergleich besser als der formal "richtige" Weg.)
Rechtsgrundlagen
Datenschutz
Art. 33 DSGVO — Meldepflicht bei Verletzung des Schutzes personenbezogener Daten: binnen 72 Stunden nach Kenntnis an zuständige Aufsichtsbehörde.
Art. 32 DSGVO — Pflicht zu technischen und organisatorischen Maßnahmen; bei Verstoß Mitursache für Haftung.
Art. 82 DSGVO — Schadensersatz Betroffener; Verantwortlicher haftet für Schäden aus Verletzung.
Bußgeldrahmen Art. 83 Abs. 4 DSGVO — Verstoß gegen Art. 32: bis 10 Mio. EUR oder 2 % Jahresumsatz; Verstoß gegen Art. 33/34: bis 10 Mio. EUR oder 2 % Jahresumsatz.
NIS2 / BSIG
NIS2UmsuCG (in Kraft seit 06.12.2025) — umsetzt NIS-2-Richtlinie (EU) 2022/2555.
§ 32 BSIG n. F. — Meldepflichten erheblicher Sicherheitsvorfälle für wichtige und besonders wichtige Einrichtungen.
§ 65 BSIG n. F. — Bußgeld bis 10 Mio. EUR oder 2 % weltweiten Jahresumsatzes bei wichtigen Einrichtungen; bis 20 Mio. EUR oder 4 % bei besonders wichtigen.
Adressat: BSI (Bundesamt für Sicherheit in der Informationstechnik) über IT-Sicherheitsportal.
Strafrecht
§ 202a StGB — Ausspähen von Daten (Freiheitsstrafe bis 3 Jahre).
§ 202b StGB — Abfangen von Daten.
§ 202c StGB — Vorbereiten des Ausspähens (Hacker-Tools).
§ 8a BSIG a. F. / § 30 BSIG n. F. — Sicherheitsanforderungen KRITIS.
Entscheidungen
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Rechtsprechung live prüfen: Keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über amtliche oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Strategische Optionen (vor dem Template entscheiden)
Bevor das Template eins-zu-eins gefuellt wird, ist zu pruefen welche Variante zur Mandantenkonstellation passt. Das Template ist eine moegliche Form — nicht die einzige.
Konstellation
Empfohlener Weg
Standard — Cyber-Incident 72h DSGVO-Meldung
Incident-Response-Protokoll; Template unten
Variante A — Kein meldepflichtiger Vorfall
Interne Dokumentation ohne Meldung; Template vereinfacht
Variante B — Kritische Infrastruktur betroffen
BSI-Meldepflicht § 8b BSIG zusaetzlich zur DSGVO-Meldung
Variante C — Strafanzeige erwaegen
§ 202a ff. StGB; parallel zu Aufsichtsbehoerde informieren
Wenn die Mandantenkonstellation nicht ins Standardschema passt, ist das Template anzupassen oder durch ein anderes Skill abzuloesen — nicht das Mandat in das Schema zu pressen.
Schriftsatzbausteine
DSGVO-Meldung Art. 33 (Vorlage)
An: [Zustaendige Datenschutz-Aufsichtsbehoerde]
Betreff: Meldung einer Verletzung des Schutzes personenbezogener
Daten gemaess Art. 33 DSGVO
Verantwortlicher: [Name, Anschrift, Datenschutzbeauftragter]
Datum/Uhrzeit Kenntnis: [...]
Meldenummer (falls Folgemeldung): [...]
A) Art der Verletzung
[Vertraulichkeitsverletzung / Integritaetsverletzung /
Verfuegbarkeitsverletzung] durch [Ransomware-Angriff / externen
Angreifer / Datenleck / Insider]
B) Betroffene Kategorien und Anzahl
Betroffene Personen: ca. [Anzahl] ([Kunden / Mitarbeiter /
Patienten])
Datenkategorien: [Name, Adresse, Kontonummer, Gesundheitsdaten,
besondere Kategorien Art. 9 DSGVO?]
C) Wahrscheinliche Folgen
[Identitaetsdiebstahl / Phishing / Reputationsschaden /
Diskriminierung]
D) Ergriffene Massnahmen
- [Netztrennung am Datum Uhrzeit]
- [Forensik beauftragt am Datum]
- [Passwortzuruecksetzung]
- [Backup-Wiederherstellung im Gange]
E) Kontakt
Datenschutzbeauftragter: [Name, Tel, E-Mail]
Hinweis: Diese Meldung erfolgt nach bestem aktuellem
Kenntnisstand. Wir behalten uns Nachreichung weiterer
Informationen gemaess Art. 33 Abs. 4 DSGVO vor.
[Unterschrift, Datum]
Forensik-Auftrag mit AVV-Klausel (Kurzform)
Auftrag zur digitalen Forensik und AVV gemaess Art. 28 DSGVO
Verantwortlicher: [Unternehmen]
Auftragsverarbeiter: [Forensik-Dienstleister]
1. Gegenstand: Sicherung und Analyse digitaler Beweismittel
im Zusammenhang mit Sicherheitsvorfall vom [Datum].
2. Weisungsgebundenheit: Dienstleister handelt ausschliesslich
nach Weisung des Verantwortlichen.
3. Vertraulichkeit: Alle im Rahmen des Auftrags erlangten
Informationen sind streng vertraulich zu behandeln.
4. Technische und organisatorische Massnahmen: Dienstleister
wendet mindestons die in Anlage 1 beschriebenen TOMs an.
5. Sub-Verarbeiter: Nur mit vorheriger schriftlicher Zustimmung.
6. Rueckgabe/Loeschung: Nach Abschluss des Auftrags werden
alle personenbezogenen Daten unverzueglich zurueckgegeben
oder geloescht, soweit keine gesetzliche Aufbewahrungspflicht
entgegensteht.
7. Chain of Custody: Alle Beweismittel werden mit Hash-Werten
gesichert und lueckenlos protokolliert.
--- vor Versand klaeren ---
Welches Verhandlungsziel hat der Mandant? [Bestand / Abfindung / Reputation / Schnelle Loesung]
Welche Kompromisslinien sind absolut? [Mindestabfindung / Freistellung / Zeugnisformulierung]
Sind Anschlusswege erwuenscht? [Mediation / Direktgespraech / Settlement vor Klageerhebung]
Beweislast und Darlegungslast
Frage
Last
Norm
Verletzung der Meldepflicht Art. 33
Behörde; Entlastung durch Dokumentation des Verantwortlichen
Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht)
Rechtsprechung live prüfen
Live-Verifikation erforderlich
keine Entscheidung aus Modellwissen; Quelle vor Ausgabe protokollieren
Entlastung Verantwortlicher
Verantwortlicher: Nachweis angemessener TOMs
Art. 82 Abs. 3 DSGVO
Straftat § 202a StGB
Staatsanwaltschaft
StPO
Versicherungsschutz
Versicherungsnehmer
AVB Cyber-Police
Fristen und Verjährung
Pflicht
Frist
Norm
DSGVO-Meldung Aufsichtsbehörde
72 Stunden ab Kenntnis
Art. 33 Abs. 1 DSGVO
Betroffenen-Benachrichtigung
Unverzüglich (kein Zahlenwert)
Art. 34 Abs. 1 DSGVO
NIS2-Frühwarnung (Verdacht)
24 Stunden ab Kenntnis
§ 32 Abs. 1 BSIG n. F.
NIS2-Vorfallsmeldung
72 Stunden ab Kenntnis
§ 32 Abs. 2 BSIG n. F.
NIS2-Abschlussbericht
1 Monat ab Vorfallsmeldung
§ 32 Abs. 3 BSIG n. F.
Versicherer-Anzeige
Vertraglich 24–48 Stunden
AVB Cyber
DSGVO-Schadensersatz Verjährung
3 Jahre § 195 BGB ab Kenntnis
§§ 195, 199 BGB
Strafanzeige § 202a StGB
Keine Frist; Strafverfolgungsverjährung 5 Jahre
§ 78 StGB
Typische Gegenargumente und Reaktion
Einwand
Reaktion
Keine Datenpanne — nur Systemausfall
Verfügbarkeitsverletzung ist Datenpanne wenn personenbezogene Daten betroffen; Art. 4 Nr. 12 DSGVO prüfen
fachanwalt-it-recht-saas-vertrag-verhandlung — AVV-Prüfung bei Cloud-Diensten
fachanwalt-strafrecht-zeugenbeistand — bei Mitarbeiterbefragungen im Unternehmen
datenschutzrecht-datenpanne-meldung — für behördliches Verfahren
Quellen
DSGVO Art. 28, 32–34, 82, 83
NIS2UmsuCG in Kraft seit 06.12.2025; §§ 32, 65 BSIG n. F.
StGB §§ 202a–202d, 261, 263a, 269, 303a, 303b
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
BSI IT-Grundschutz-Kompendium
BSI-Lageberichte Cybersicherheit
Aktuelle Rechtsprechung (v14.2)
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Faktische Updates (Stand 05/2026)
NIS-2-UmsuCG (Umsetzungsgesetz): Das NIS-2-Umsetzungs- und Cybersicherheitsstaerkungsgesetz setzt die NIS-2-Richtlinie (EU) 2022/2555 in deutsches Recht um. Stand des Inkrafttretens (urspruenglich Frist 17.10.2024, verzoegert in Deutschland) ueber bgbl.de / BMI live pruefen. Bei Verzoegerung: ggf. Direktwirkung der Richtlinie gegenueber dem Staat (vertikale Direktwirkung), nicht gegenueber Privaten.
§ 32 BSIG n. F. — Meldefristen: Drei-Stufen-Meldung: 24 h Fruehwarnung (early warning), 72 h vollstaendige Vorfallsmeldung (incident notification), 1 Monat Abschlussbericht (final report). Quelle: bsi.bund.de, BSIG (BGBl 2025).
NIS-2-Adressatenkreis: Wesentliche (essential) und wichtige (important) Einrichtungen nach Anhang I und II der Richtlinie. Size-cap-Rule (mittlere/grosse Unternehmen) plus sektorale Ausnahmen. Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungs-Management, Oeffentliche Verwaltung, Raumfahrt; wichtig: Post/Kurier, Abfall, Chemie, Lebensmittel, Industrie, Anbieter digitaler Dienste, Forschung.
CRA — Cyber Resilience Act: VO (EU) 2024/2847 (Cyber Resilience Act) ergaenzt mit Produktsicherheits-Anforderungen fuer Produkte mit digitalen Elementen. Hauptpflichten gestaffelt ab 2026/2027. Vor Beratung Stand pruefen ueber eur-lex.europa.eu.
DORA — Digital Operational Resilience Act: VO (EU) 2022/2554 (DORA) ist seit 17.01.2025 anwendbar fuer Finanzunternehmen; Cyber-Vorfallsmeldungen an BaFin nach ITSV-DORA bei Schnittstelle zu DSGVO-Meldung beachten.
Art. 82 DSGVO — Schadensersatz: EuGH-Linie zum immateriellen Schadensersatz bei Datenpannen (Kontrollverlust kann genuegen, aber keine Pauschalierung). Konkrete Aktenzeichen live ueber curia.europa.eu pruefen.
OFAC-Sanktionen / EU-Sanktionen bei Loesegeld: Bei Loesegeld-Zahlung an sanktionierte Tätergruppen drohen Verstoesse gegen EU-Verordnungen (z.B. VO 269/2014 Russland, VO 833/2014) sowie US-OFAC-Sanktionen. Vor jeder Zahlung Sanktionsliste pruefen. Quellen: sanctionsmap.eu, ofac.treasury.gov.
