Im Jahr 2025 bearbeitete CERT-UA 5.927 Cybervorfälle — 37,4 % mehr als 2024. Darunter waren 1.727 Phishing-Fälle gegenüber 843 im Vorjahr. Diese Daten spiegeln die Zahl der bearbeiteten Vorfälle wider, nicht die Gesamtzahl aller Angriffsversuche auf ukrainische Unternehmen und staatliche Einrichtungen.
Im globalen Bericht Verizon DBIR 2026 war der menschliche Faktor bei 62 % der untersuchten Sicherheitsverletzungen vorhanden. Dies ist eine breitere Kategorie als Phishing: Sie umfasst auch Social Engineering, Fehler und die Nutzung kompromittierter Zugangsdaten. Bei Phishing-Simulationen lag die mediane Erfolgsquote der Klicks für mobile Vektoren — Sprachanrufe und Textnachrichten — um 40 % höher als bei E-Mail.
Warum gerade die ersten 48 Stunden zählen
Der Zeitraum von 48 Stunden ist ein praktischer Orientierungsrahmen für die Organisation dringender Maßnahmen, keine gesetzlich festgelegte Frist und keine garantierte Grenze für die Rückerlangung von Geldern. Nach einer Kompromittierung laufen mindestens drei Prozesse parallel: Der Angreifer verankert sich im System, digitale Protokolle können überschrieben werden, und Gelder können zwischen Konten verschoben werden. Technische, finanzielle und rechtliche Reaktionen sollten daher nicht nacheinander, sondern gleichzeitig erfolgen.
Der Bericht des FBI IC3 für 2025 verzeichnet 24.768 Meldungen zur Kompromittierung von Geschäftskorrespondenz (Business Email Compromise, BEC) mit gemeldeten Verlusten von über 3,046 Mrd. US-Dollar. Das US-amerikanische Recovery Asset Team leitete in diesem Jahr 3.900 Financial-Fraud-Kill-Chain-Verfahren ein und meldete die Blockierung von 58 % der gemeldeten Diebstahlversuche. Diese Ergebnisse dürfen nicht automatisch auf die Ukraine übertragen oder als Garantie für die Rückerlangung von Geldern betrachtet werden; sie belegen lediglich die entscheidende Bedeutung des sofortigen Kontakts mit der Bank und der vollständigen Dokumentation der Transaktion.
Wichtiger Hinweis. Keine verlässliche Quelle bestätigt eine allgemeine Regel, wonach die Chancen auf Rückerlangung von Geldern nach 24 oder 48 Stunden automatisch auf einen bestimmten Prozentsatz sinken. Das Ergebnis hängt von der Art der Überweisung, den Jurisdiktionen, dem Zeitpunkt der Meldung, dem verbleibenden Guthaben und den Verfahren der jeweiligen Banken ab.
Ungefährer Zeitplan für die ersten 48 Stunden: 0–2 Stunden — Isolierung der betroffenen Systeme, Erfassung des Entdeckungszeitpunkts, Aktivierung des Reaktionsplans, Kontaktaufnahme mit der Bank, falls Gelder bereits überwiesen wurden; 2–6 Stunden — Sicherung von Protokollen, E-Mails und Zahlungsdokumenten, Sperrung kompromittierter Sitzungen, erste Einschätzung des Ausmaßes; 6–24 Stunden — Meldung an CERT-UA und Strafverfolgungsbehörden, Prüfung regulatorischer, vertraglicher und versicherungsrechtlicher Fristen; 24–48 Stunden — vertiefte forensische Analyse, Bewertung eines etwaigen Verlusts personenbezogener Daten, Dokumentation von Entscheidungen und ein Plan zur sicheren Wiederherstellung.
Schritt 1. Vorfall eindämmen, ohne Beweise zu verlieren
Das betroffene Gerät oder Netzwerksegment muss isoliert werden, doch Entscheidungen über das Abschalten, Bereinigen oder Neuaufsetzen eines Systems sollten mit einem Incident-Response-Spezialisten abgestimmt werden: Solche Maßnahmen können den Arbeitsspeicher, Protokolle und andere flüchtige Artefakte zerstören. CERT-UA empfiehlt, vor der Wiederherstellung Datenträgerkopien, Ereignisprotokolle, Netzwerkdaten und andere Spuren des Vorfalls zu sichern.
Insbesondere sollte man: das genaue Datum und die genaue Uhrzeit der Entdeckung des Vorfalls samt Zeitzone festhalten; die verdächtige E-Mail im Original im .eml- oder .msg-Format mit vollständigen Kopfzeilen sichern; Protokolle von Anmeldungen, Änderungen von E-Mail-Regeln, OAuth-Berechtigungen und Administratorhandlungen exportieren; Zahlungsaufträge, Rechnungen, Empfängerdaten und die Korrespondenz mit der Bank sichern; mit Kopien arbeiten, nach Möglichkeit Prüfsummen berechnen und ein Protokoll der Personen führen, die Zugang zu den Materialien hatten.
Ziel dieser Maßnahmen ist es, die Reproduzierbarkeit und Integrität der Materialien sicherzustellen. Das Hashing allein macht eine Datei nicht zu einem zulässigen Beweismittel, hilft aber zusammen mit einer dokumentierten Herkunft, der Art der Erlangung und der Aufbewahrung, zu belegen, dass die Daten nicht verändert wurden. Ein allgemeines Reaktionsmodell sollte Erkennung, Reaktion, Wiederherstellung und die weitere Verbesserung der Verfahren umfassen.
Schritt 2. Kontrolle über Konten zurückerlangen
Änderungen sollten von einem vertrauenswürdigen Gerät vorgenommen werden, das während der Kompromittierung nicht verwendet wurde. Das alleinige Ändern eines Passworts kann unzureichend sein, wenn der Angreifer Weiterleitungsregeln eingerichtet, eine Drittanwendung verbunden oder ein aktives Sitzungstoken behalten hat.
Erforderlich ist: aktive Sitzungen zwangsweise zu beenden und Zugangstoken zu widerrufen; die Passwörter kompromittierter und verbundener privilegierter Konten zu ändern; eine mehrstufige Authentifizierung, vorzugsweise phishing-resistent, zu aktivieren; Weiterleitungsregeln, Postfachdelegierungen, Filter und OAuth-Anwendungen zu überprüfen; Änderungen an Zahlungsvorlagen, vertrauenswürdigen Empfängern und Kontaktdaten zu überprüfen.
Schritt 3. Sofortiger Kontakt mit der Bank
Wurde eine Zahlung bereits ausgeführt, ist die auszahlende Bank unverzüglich über einen offiziellen Kanal zu informieren, mit der schriftlichen Bitte, einen Rückruf oder ein anderes verfügbares Verfahren zur Stoppung der Gelder einzuleiten. Übermitteln Sie die vollständigen Transaktionsdaten, den Betrag, den Zeitpunkt, den Zahlungsgrund, die Empfängerdaten und eine Erläuterung der Betrugsmethode. Bitten Sie darum, die Meldung zu registrieren und eine Vorgangsnummer zu erhalten.
Es ist zwischen einer nicht autorisierten Transaktion und einer Zahlung zu unterscheiden, die eine bevollmächtigte Person selbst unter dem Einfluss einer Täuschung bestätigt hat. Dies kann die rechtliche Bewertung, das Anfechtungsverfahren und die Verteilung der Haftung verändern. Die bloße Tatsache des Betrugs begründet keine automatische Pflicht der Bank zur vollständigen Erstattung; maßgeblich sind das Gesetz der Ukraine „Über Zahlungsdienste“, der Vertrag, die Authentifizierungsmethode und der tatsächliche Ablauf der Handlungen.
Prüfen Sie parallel die Meldefristen gegenüber dem Versicherer sowie die Pflichten aus Verträgen mit Kunden, Lieferanten oder Zahlungspartnern. Die Meldung sollte sachlich und ausgewogen erfolgen: voreilige Schlussfolgerungen zur Ursache oder zum Ausmaß des Vorfalls können die spätere Regulierung erschweren.
Schritt 4. CERT-UA und Strafverfolgungsbehörden informieren
Ein Cybervorfall kann CERT-UA unter incidents@cert.gov.ua oder über die Kontaktdaten auf der offiziellen Website gemeldet werden. CERT-UA ist das nationale Reaktionsteam im Rahmen des Staatsdienstes für besondere Kommunikation und Informationsschutz: Es hilft bei der Untersuchung und Eindämmung eines Vorfalls und gibt Empfehlungen, ersetzt jedoch nicht die Behörde des vorgerichtlichen Ermittlungsverfahrens.
Bei Anzeichen einer Aneignung von Geldern oder unbefugten Eingriffs ist Anzeige bei der Nationalpolizei oder deren Cyberpolizei-Abteilung zu erstatten. Die rechtliche Einordnung hängt von der Angriffsmethode und den Folgen ab: Je nach Umständen können unter anderem Art. 190 des Strafgesetzbuchs der Ukraine (Betrug) und Art. 361 des Strafgesetzbuchs der Ukraine (unbefugter Eingriff) in Betracht kommen. Die endgültige Einordnung sollte nicht automatisch allein anhand der Bezeichnung des Vorfalls erfolgen.
Für bestimmte Rechtsträger — Betreiber kritischer Infrastruktur, Banken, Anbieter von Zahlungs- oder Finanzdienstleistungen — gelten besondere Melde- und Zusammenarbeitsvorschriften. So melden Banken der Nationalbank der Ukraine bedeutende Cybervorfälle nach dem in der Verordnung des Vorstands der Nationalbank Nr. 24 festgelegten Verfahren. Eine Meldepflicht gegenüber dem staatlichen Finanzmonitoring entsteht nicht allein durch die Tatsache eines Phishing-Angriffs: Es ist gesondert zu prüfen, ob die Finanztransaktion einer Meldepflicht nach dem Recht der Finanzüberwachung unterliegt.
Wenn personenbezogene Daten kompromittiert wurden
Die DSGVO gilt nicht schon deshalb, weil sich unter den Betroffenen „EU-Bürger“ befinden. Der räumliche Anwendungsbereich der Verordnung nach Art. 3 ist zu prüfen. Ist die DSGVO anwendbar, meldet der Verantwortliche der zuständigen Aufsichtsbehörde die Verletzung unverzüglich und, wenn möglich, binnen 72 Stunden, nachdem er von ihr Kenntnis erlangt hat, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Bei hohem Risiko sind die Betroffenen unverzüglich zu benachrichtigen.
Das geltende Gesetz der Ukraine „Über den Schutz personenbezogener Daten“ sieht keine allgemeine 72-Stunden-Frist entsprechend Art. 33 DSGVO vor. Der Gesetzentwurf Nr. 8153 wurde am 20. November 2024 in erster Lesung verabschiedet und befindet sich zum Zeitpunkt dieses Materials in Vorbereitung auf die zweite Lesung. Seine Bestimmungen dürfen nicht als geltendes Recht dargestellt werden, sollten jedoch beim Aufbau interner Verfahren berücksichtigt werden.
Was für die juristische Arbeit aufzubewahren ist
Für die weitere juristische Arbeit sollten aufbewahrt werden: eine Chronologie der Ereignisse mit genauer Uhrzeit jeder Handlung und der ausführenden Person; die Original-E-Mails, vollständige Kopfzeilen sowie Domain- und DNS-Daten; Protokolle von Authentifizierung, VPN, Cloud-Diensten, E-Mail-Gateway und Sicherheitswerkzeugen; Kontoauszüge, Zahlungsanweisungen, Aufzeichnungen von Telefonaten und Antworten der Bank; Datenträgerabbilder oder andere forensische Kopien, Hash-Werte und ein Protokoll der Weitergabe von Materialien; Verträge mit Bank, Versicherer, IT-Auftragnehmern und Vertragspartnern; alle Meldungen an CERT-UA, Polizei, Aufsichtsbehörden, Betroffene und Partner.
Fazit
Nach einem Phishing-Angriff hat nicht die Suche nach einem Schuldigen innerhalb des Unternehmens Vorrang, sondern die gesteuerte Begrenzung des Schadens. In den ersten Stunden müssen gleichzeitig kompromittierte Systeme isoliert, digitale Spuren gesichert, die Kontrolle über Konten zurückerlangt, die Bank kontaktiert und die verpflichtenden Meldeadressaten bestimmt werden.
Einen universellen Prozentsatz der Rückerlangung von Geldern oder einen einheitlichen Algorithmus für alle Vorfälle gibt es nicht. Die Lösung hängt vom technischen Bild, der Art der Zahlung, den Jurisdiktionen, dem Status des betroffenen Unternehmens und seinen Verträgen ab. Der praktische Richtwert von 48 Stunden sollte daher als Frist zur Mobilisierung des Teams verstanden werden, nicht als Ergebnisversprechen.
Haftungsausschluss. Dieses Material hat einen ausschließlich informativen Charakter, stellt keine individuelle Rechts- oder technische Beratung dar und garantiert keine Rückerlangung von Geldern. Das Vorgehen hängt von den Umständen des Vorfalls, den Verträgen, den Jurisdiktionen und den zum Zeitpunkt des Ereignisses geltenden regulatorischen Anforderungen ab.
Quellen: Staatsdienst für besondere Kommunikation — CERT-UA bearbeitete 2025 5.927 Cybervorfälle; Verizon 2026 Data Breach Investigations Report; FBI Internet Crime Complaint Center — 2025 IC3 Annual Report; CERT-UA — Wie ein Unternehmen den Betrieb nach einem Cyberangriff wiederherstellt; CERT-UA — Wann und wie ein Cybervorfall zu melden ist; Gesetz der Ukraine „Über die Grundsätze der Gewährleistung der Cybersicherheit der Ukraine“; Strafgesetzbuch der Ukraine, Art. 190 und 361; Verordnung des Vorstands der Nationalbank vom 25.02.2025 Nr. 24; Verordnung (EU) 2016/679 (DSGVO), Art. 33 und 34; Gesetz der Ukraine „Über den Schutz personenbezogener Daten“; Aktenkarte des Gesetzentwurfs Nr. 8153; NIST SP 800-61 Rev. 3.