Cyberangriff

Was ist ein Cyberangriff?

Cyberangriff ist der fachsprachliche Oberbegriff für einen absichtlich gegen informationstechnische Werte gerichteten Angriff; DORA definiert ihn für ihren eigenen Anwendungsbereich enger als böswilligen IKT-bezogenen Vorfall mit einem bestimmten Angriffsversuch.

Der Normwortlaut

Normtext: Artikel 3 der Verordnung (EU) 2022/2554 (DORA) leitet die Begriffsbestimmungen ein und bestimmt in Nummer 14:

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck

14. „Cyberangriff“ einen böswilligen IKT-bezogenen Vorfall, der auf den Versuch eines Angreifers zurückgeht, einen Vermögenswert zu zerstören, offenzulegen, zu verändern, zu deaktivieren, zu entwenden oder sich unbefugten Zugang zu diesem Vermögenswert zu verschaffen oder diesen unbefugt zu nutzen;

Rechtliche Einordnung: Dieser Wortlaut ist eine Begriffsbestimmung für die Zwecke der DORA. Er ist keine sektorübergreifende Legaldefinition für sämtliche Unternehmen oder Sachverhalte und begründet für sich genommen weder eine Meldepflicht noch eine Meldefrist.

Welche Grundlage bestimmt den Begriff Cyberangriff?

Im allgemeinen technischen Sprachgebrauch ist Cyberangriff ein Oberbegriff. Rechtlich kommt es dagegen auf das jeweils anwendbare Spezialregime an. DORA verwendet in Artikel 3 Nummer 14 eine eigene Definition; Aussagen zu deren Voraussetzungen und Rechtsfolgen müssen deshalb auf den DORA-Anwendungsbereich begrenzt bleiben.

Für wen gilt die DORA-Definition?

Normative Reichweite: DORA gilt nach Artikel 2 Absatz 1 für die dort unter den Buchstaben a bis u aufgeführten Unternehmen. Nur die unter den Buchstaben a bis t genannten Unternehmen werden dort zusammenfassend als Finanzunternehmen bezeichnet; Buchstabe u erfasst IKT-Drittdienstleister. Artikel 2 Absätze 3 und 4 enthalten Ausnahmen beziehungsweise nationale Ausnahmemöglichkeiten. Ob ein Unternehmen erfasst ist, muss anhand seiner konkreten Kategorie geprüft werden.

Wann liegt nach DORA ein Cyberangriff vor?

Auslegung anhand des Normtexts: Sämtliche Merkmale des Artikels 3 Nummer 14 müssen vorliegen: ein böswilliger IKT-bezogener Vorfall, der auf den Versuch eines Angreifers zurückgeht, sowie mindestens eine der abschließend genannten Zielhandlungen gegen einen Vermögenswert. Eine bloße technische Störung erfüllt diese Voraussetzungen nicht automatisch.

Muss der Angriff bereits erfolgreich gewesen sein?

Nein. Nach dem DORA-Wortlaut kann der Versuch genügen; ein bereits eingetretener Schaden ist kein zusätzliches Merkmal der Cyberangriffsdefinition. Der erforderliche Versuch muss jedoch auf eine der in Artikel 3 Nummer 14 genannten Handlungen gerichtet sein.

Ist jeder IKT-bezogene Vorfall ein Cyberangriff?

Nein. Artikel 3 Nummer 8 erfasst als IKT-bezogenen Vorfall ein einzelnes, vom Finanzunternehmen nicht geplantes Ereignis oder eine entsprechende Reihe zusammenhängender Ereignisse, das beziehungsweise die die Sicherheit der Netz- und Informationssysteme beeinträchtigt und nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder auf die vom Finanzunternehmen erbrachten Dienstleistungen hat. Ein solches Ereignis kann vorliegen, ohne böswillig zu sein oder auf den Versuch eines Angreifers zurückzugehen. Dann fehlt mindestens ein Merkmal des Cyberangriffs nach Nummer 14.

Ist jeder Cyberangriff nach DORA meldepflichtig?

Nein. Cyberangriff, Cyberbedrohung, erhebliche Cyberbedrohung und schwerwiegender IKT-bezogener Vorfall sind getrennte Kategorien nach Artikel 3 Nummern 8, 10 sowie 12 bis 14. Artikel 19 Absatz 1 verpflichtet Finanzunternehmen zur Meldung schwerwiegender IKT-bezogener Vorfälle. Nach Artikel 19 Absatz 2 können Finanzunternehmen erhebliche Cyberbedrohungen freiwillig melden, wenn sie diese als für das Finanzsystem, Dienstnutzer oder Kunden relevant erachten. Die bloße Bezeichnung eines Geschehens als Cyberangriff löst keine dieser Rechtsfolgen automatisch aus.

Welche Fristen oder Schwellenwerte gelten für einen Cyberangriff?

Für den Begriff Cyberangriff als solchen bestehen weder eine einheitliche Frist noch ein allgemeiner Schwellenwert. DORA-Fristen und Schwellen knüpfen insbesondere an die Einstufung und Meldung schwerwiegender IKT-bezogener Vorfälle nach den Artikeln 18 bis 20 an; die konkreten Meldefristen und Meldeinhalte sind in der Delegierten Verordnung (EU) 2025/301, insbesondere in den Artikeln 5 bis 8, näher ausgestaltet. Erst das anwendbare Regime und die Einordnung des konkreten Ereignisses bestimmen, ob und wann gehandelt oder gemeldet werden muss.

Wie unterscheiden sich Cyberangriff und Cyberbedrohung?

Technische Einordnung: Ein Cyberangriff setzt nach DORA bereits einen böswilligen IKT-bezogenen Vorfall und den beschriebenen Angriffsversuch voraus. Eine Cyberbedrohung bezeichnet demgegenüber eine mögliche schädigende Situation, ein mögliches Ereignis oder eine mögliche Handlung. Die Bedrohung beschreibt damit ein Potenzial; sie ist nicht zwingend bereits ein Angriff.

Häufige Fehlannahmen

• „DORA definiert Cyberangriff in Artikel 3 Nummer 13.“ Falsch: Nummer 13 definiert die erhebliche Cyberbedrohung; der Cyberangriff steht in Nummer 14.
• „Die DORA-Definition gilt für jedes Unternehmen.“ Falsch: Sie ist auf die Zwecke und den Anwendungsbereich der DORA begrenzt; Artikel 2 bestimmt die erfassten Unternehmen und Ausnahmen.
• „Nur ein erfolgreicher Angriff ist ein Cyberangriff.“ Falsch: Der in Artikel 3 Nummer 14 beschriebene Versuch kann genügen.
• „Jede technische Störung ist ein Cyberangriff.“ Falsch: Für DORA müssen zusätzlich insbesondere Böswilligkeit und der Versuch eines Angreifers mit einer der genannten Zielhandlungen vorliegen.
• „Jeder Cyberangriff muss nach DORA gemeldet werden.“ Falsch: Die Pflichtmeldung nach Artikel 19 Absatz 1 knüpft an einen als schwerwiegend eingestuften IKT-bezogenen Vorfall an; erhebliche Cyberbedrohungen können nach Absatz 2 freiwillig gemeldet werden, wenn das Finanzunternehmen sie als für das Finanzsystem, Dienstnutzer oder Kunden relevant erachtet.
• „Für jeden Cyberangriff gilt dieselbe Meldefrist.“ Falsch: Die Begriffsdefinition selbst enthält weder eine allgemeine Frist noch einen allgemeinen Schwellenwert.

Was die Geschäftsleitung tun sollte

Pflicht bei DORA-Finanzunternehmen: Das Leitungsorgan trägt nach Artikel 5 Verantwortung für den IKT-Risikomanagementrahmen. Zusammen mit den Artikeln 6 und 17 verlangt DORA einen belastbaren Rahmen sowie Prozesse zur Erkennung, Behandlung und Meldung IKT-bezogener Vorfälle.

Praxisempfehlung: Unabhängig von der späteren rechtlichen Einordnung sollte die Geschäftsleitung folgende Vorkehrungen veranlassen; außerhalb anwendbarer Spezialnormen werden sie hier nicht als allgemeine Gesetzespflicht dargestellt:

• Verantwortlichkeiten, Eskalationswege und Entscheidungsbefugnisse für Verdachts- und Angriffsfälle schriftlich festlegen.
• Verfahren für Erkennung, Analyse, Eindämmung, Beweissicherung und sicheren Wiederanlauf vorbereiten und erproben.
• Für jeden Fall getrennt dokumentieren, ob Cyberangriff, IKT-bezogener Vorfall, schwerwiegender IKT-bezogener Vorfall oder erhebliche Cyberbedrohung vorliegt.
• Das anwendbare Aufsichts- und Melderegime, seine Adressaten, Einstufungskriterien und Fristen fachkundig prüfen lassen.
• Interne und externe Kommunikation einschließlich zuständiger Behörden, Dienstleister und betroffener Geschäftsbereiche vorab koordinieren.

Für die Geschäftsleitung

Entscheidend ist nicht das Etikett Cyberangriff allein. Zuerst sind Reichweite und Tatbestandsmerkmale des anwendbaren Regelwerks zu bestimmen; anschließend sind Vorfallkategorie, Meldeauslöser und Fristen getrennt zu prüfen. Die Geschäftsleitung sollte ihre Entscheidung, Zuständigkeiten, Eindämmungsmaßnahmen und die Gründe für oder gegen eine Meldung nachvollziehbar dokumentieren. Für DORA-Finanzunternehmen sind dabei insbesondere die verbindlichen Governance- und Vorfallprozesse nach den Artikeln 5, 6 und 17 maßgeblich.

Quellen

• Verordnung (EU) 2022/2554 (DORA), amtliche deutsche Fassung, insbesondere Artikel 2, Artikel 3 Nummern 8, 10 und 12 bis 14 sowie Artikel 5, 6 und 17 bis 20.
• Delegierte Verordnung (EU) 2025/301, amtliche deutsche Fassung, insbesondere Artikel 5 bis 8 zu Meldefristen und Meldeinhalten bei schwerwiegenden IKT-bezogenen Vorfällen.
• Bundesamt für Sicherheit in der Informationstechnik: Leitfaden zur Reaktion auf IT-Sicherheitsvorfälle, behördliche Orientierung zu Vorbereitung, Rollen und Reaktionsphasen.