Cyberangriffe im Job – Risiken vermeiden & Rechte kennen

Cyberangriffe am Arbeitsplatz sind eine wachsende Bedrohung: Pro Tag werden laut BSI rund 309.000 neue Schadprogramme entdeckt. Professionelle Cyberkriminelle nutzen Methoden wie Phishing, Ransomware oder DDoS-Attacken, um Daten zu stehlen oder Systeme zu sabotieren. Dabei sind nicht nur Großkonzerne, sondern auch Kommunen, Krankenhäuser oder kleinere Betriebe betroffen. Dieser Beitrag erläutert leicht verständlich, welche Risiken Arbeitnehmer:innen und Betriebsräte kennen sollten, welche rechtlichen Pflichten und Schutzmöglichkeiten bestehen und was im Ernstfall zu tun ist.

---

Kurz und Knapp

• Cyberangriffe nehmen zu: Professionelle Hacker verschicken täglich tausende neuer Schadprogramme (z.B. Phishing-Mails, Ransomware, DDoS) und treffen damit auch kleine Firmen, Kommunen und Krankenhäuser.
• Arbeitgeberpflichten: Der Arbeitgeber muss laut Arbeitsschutzgesetz und DSGVO für angemessene IT-Sicherheit sorgen (z.B. Firewalls, Backups, Schulungen). In kritischen Branchen gelten zusätzliche Vorschriften (§ 8a ff. BSIG für Energie, Gesundheit etc.). Beschäftigte müssen zu ihrem Teil Sicherheitsregeln befolgen.
• Mitbestimmung: Der Betriebsrat kann bei Einführung von Überwachungstechnik oder Schutzsoftware mitbestimmen (§ 87 Abs.1 Nr.6 BetrVG). Dauerhafte Kontrollen (z.B. Keylogger) sind nur bei konkretem Verdacht zulässig. Betriebsvereinbarungen regeln oft Passwortrichtlinien, E-Mail-Nutzung oder Sicherheits-Updates.
• Reaktion im Ernstfall: Ruhe bewahren und sofort melden – an IT-Abteilung, Datenschutzbeauftragte:n, Betriebsrat und ggf. Behörden. Belege sichern, betroffene Systeme isolieren und Backups verwenden. Niemals voreilig Lösegeld zahlen (weltweit wurden z.B. 1,1 Mrd. US$ Lösegeld erpresst).
• Praktische Schutzmaßnahmen: Schulungen für alle Mitarbeitenden, starke Passwörter und 2‑Faktor-Authentifizierung, regelmäßige Software-Updates und Virenschutz minimieren Risiken. Irrtümer vermeiden: Cybergefahren betrifft jeden – nicht nur die IT-Abteilung.

---

Was sind Cyperangriffe?

Cyberangriffe sind gezielte Attacken auf die IT-Systeme eines Unternehmens oder einer Behörde. Sie können den Geschäftsbetrieb lahmlegen oder sensible Daten stehlen – und damit Arbeitsplätze gefährden. Beispiele sind Phishing (gefälschte Mails, um Login-Daten abzugreifen), Ransomware (Erpressungstrojaner, die Daten verschlüsseln) und DDoS-Attacken (Überlastung von Servern durch massenhafte Anfragen). Laut BSI wird die Bedrohung als „besorgniserregend“ beschrieben: Cyberkriminelle arbeiten sehr professionell und aggressiv. Die Folgen können weitreichend sein – im Extremfall droht Produktionsstopp oder Ausfall wichtiger Dienstleistungen.

Typische Angriffsarten:

• Phishing & Social Engineering: Kriminelle verschicken täuschend echte E-Mails (z.B. von angeblichen Bank- oder Behördenkonten) und locken Mitarbeitende auf falsche Webseiten. Dort werden Passwörter und vertrauliche Informationen abgefragt. Häufig führen Phishing-Mails zu unbemerkter Installation von Schadsoftware.
• Ransomware (Erpressungstrojaner): Schadprogramme verschlüsseln Dateien auf Rechnern und Servern. Die Täter fordern Lösegeld für Entschlüsselungs-Keys. Der BSI-Bericht zeigt, dass Ransomware gezielt Kleinbetriebe und Kommunen trifft. Beispiel: Ein Ransomware-Angriff auf einen kommunalen IT-Dienstleister Ende 2023 legte 72 Gemeinden (ca. 20.000 Arbeitsplätze) vorübergehend lahm. Oft drohen die Erpresser mit Veröffentlichung der Daten.
• DDoS-Angriffe: Hacker überfluten Server mit Anfragen, bis sie zusammenbrechen. Dadurch werden Online-Dienste (z.B. Onlineshops, Betriebsportale) unerreichbar. Das BSI beobachtet einen alarmierenden Anstieg solcher Attacken. Im Energiesektor etwa führte ein DDoS-Angriff zur Überlastung einer Firewall, was regional zu Ausfällen in der Kraftstoff- und Heizölversorgung führte.

---

Fallbeispiel: Ransomware bei Kommunen

Im Herbst 2023 verschlüsselte eine Ransomware mehrere kommunale IT-Systeme. Weil keine aktuellen Backups verfügbar waren, drohten die Angreifer mit Veröffentlichung sensibler Daten. Die betroffenen Städte mussten zeitweise auf Papierakten umsteigen. Dieses Szenario verdeutlicht, dass gute Backup-Strategien essenziell sind – fehlerhafte Wiederherstellungen sind nach BSI-Bericht oft nicht einfach rückgängig zu machen.

Fallbeispiel: DDoS-Angriff auf Energieversorger

Ein aktueller BSI-Lagebericht dokumentiert einen DDoS-Angriff auf einen Energiekonzern. Die Angreifer bombardierten ein Kraftstoff-Vertriebssystem mit Anfragen, überlasteten die Firewall und lösten so einen bundesweiten Teilausfall der Kraftstoff- und Heizölversorgung (für etwa 2,5 Stunden) aus. Selbst kurze Ausfallzeiten kritischer Dienste können in solchen Branchen erhebliche Probleme verursachen.

Fazit: Cyberangriffe sind vielseitig und können sowohl Finanzdaten als auch Betriebsabläufe betreffen. Jeder Mitarbeitende sollte die gängigsten Methoden kennen, um sie zu erkennen (z.B. verdächtige E-Mails, unerwartete Verschlüsselungsnachrichten) und an die richtige Stelle weiterzuleiten.

---

Wie können sich Beschäftigte im Arbeitsalltag schützen?

Antwort: Mitarbeitende schützen sich primär durch Vorsicht und Schulung. Dazu gehört, Verdächtiges zu melden, starke Passwörter zu verwenden und technische Schutzmaßnahmen zu beherzigen.

• Schulung & Sensibilisierung: Arbeitgeber sollten regelmäßige IT-Sicherheits-Schulungen anbieten (ggf. gemeinsam mit dem Betriebsrat). Dabei lernen Beschäftigte, Phishing-Mails zu erkennen und sichere Verhaltensregeln. Experten betonen, dass starke IT-Architektur und geschulte Mitarbeiter für jedes Unternehmen elementar sind. Schulungen können auch simulierte Angriffe enthalten („Phishing-Tests“), um das Bewusstsein zu schärfen.
• Starke Passwörter & 2‑Faktor-Authentifizierung: Nutzen Sie komplexe, einmalige Passwörter für jede Anwendung. Wo möglich, sollte 2‑Faktor-Authentifizierung (z.B. per App-Code) aktiviert sein. Dies erschwert Hackern den Zugriff, selbst wenn ein Passwort geleakt wurde.
• Aktualisieren und Patchen: Halten Sie Betriebssysteme und Programme stets auf dem neuesten Stand. Der BSI-Lagebericht zeigt, dass viele neue Schadprogramme gezielt alte Schwachstellen in Windows- und Android-Systemen ausnutzen. Regelmäßige Updates schließen diese Sicherheitslücken.
• Vorsicht bei E-Mails und Anhängen: Öffnen Sie keine Links oder Dateianhänge aus unbekannten Quellen. Vergewissern Sie sich im Zweifel telefonisch bei Absendern. Aktuelle Virenschutz-Software kann viele bekannte Gefahren erkennen und blockieren. Vertrauen Sie aber nicht blind auf den Virenscanner – eine neue Ransomware-Variante kann noch unbekannt sein.
• Betriebsgeräte nutzen, Heimnetz sichern: Verwenden Sie vorzugsweise die firmeneigenen Geräte und Netzwerke (z.B. VPN, gesicherte WLANs). Private Geräte am Arbeitsplatz oder unsichere Heim-WLANs erhöhen das Risiko. Falls Sie im Homeoffice arbeiten, sollten Sie die vom Arbeitgeber vorgegebenen Sicherheitsvorkehrungen (z.B. Firewall, Antivirus, Firmen-Laptop) einhalten.
• Regelmäßige Backups: Sichern Sie wichtige Geschäftsdaten gemäß Vorgaben. Gute Backups verhindern Datenverlust durch einen Angriff. Speichern Sie Sicherungskopien an einem getrennten Ort (oder in einer geschützten Cloud). Auf diese Weise kann selbst bei Verschlüsselung der Zugriff wiederhergestellt werden.

Irrtum: Manche Beschäftigte glauben, dass Cybergefahren nur die IT-Spezialisten angehen. Tatsächlich muss jeder einzelne mithelfen. Jeder Klick kann eine Sicherheitslücke schließen oder öffnen. Ohne Mitarbeit der Beschäftigten lassen sich technische Schutzmaßnahmen (Firewalls, Antivirenprogramme) oft wirkungslos umgehen.

---

Welche Pflichten hat der Arbeitgeber für IT-Sicherheit?

Antwort: Der Arbeitgeber ist gesetzlich verpflichtet, seine Mitarbeitenden vor Gefahren zu schützen – dazu zählt auch die IT-Sicherheit. Nach dem Arbeitsschutzgesetz (§3 ArbSchG) muss er Gefährdungen ermitteln und minimieren. Dazu gehört die Durchführung einer Gefährdungsbeurteilung, in der auch Cyberrisiken bewertet werden sollten. Betriebssicherheits- und Betriebsdatenschutzregelungen (Art. 32 DSGVO) fordern „geeignete technische und organisatorische Maßnahmen“ zum Schutz personenbezogener Daten.

• Allgemeine Schutzpflicht (§ ArbSchG): Der Arbeitgeber muss durch organisatorische Vorkehrungen Ausfälle oder Sabotage abwenden. Das kann z.B. bedeuten, redundante Systeme einzuführen, regelmäßige Backups zu fahren und eine klare Kommunikationskette für Notfälle zu etablieren. Versäumt er dies grob fahrlässig und entsteht ein Schaden, kann er haftbar gemacht werden.
• Branchenvorgaben (§ BSIG/EnWG): Speziell für kritische Infrastrukturen (z.B. Energieversorgung, Gesundheitswesen, Wasser, Verkehr) gelten höhere Standards. Nach dem IT-Sicherheitsgesetz (§ 8a BSIG, KRITIS-Verordnung) müssen Energieversorger, Krankenhäuser usw. Mindest­schutzmaßnahmen nachweisen (z.B. Firewalls, Backup-Konzept, IT-Sicherheitsbeauftragter). Diese Regelungen verpflichten auch Arbeitgeber, in ihren Unternehmen entsprechende Vorkehrungen zu treffen.
• Datenschutzpflichten: Bei der Verarbeitung von Mitarbeiter- und Kundendaten ist der Chef an die DSGVO gebunden. Er muss Sicherheitsmaßnahmen (Verschlüsselung, Zugangsbeschränkungen, Protokollierung) nach dem Grundsatz der Datenschutz-Folgenabschätzung implementieren. Bei einem Datenleck drohen empfindliche Bußgelder (bis zu 20 Mio. € oder 4 % des Umsatzes) und Schadensersatzansprüche.
• Informations- und Dokumentationspflichten: Tritt ein IT-Sicherheitsvorfall ein (z.B. Datenleak), muss der Arbeitgeber rasch reagieren. Nach Art. 33 DSGVO ist ein Datenverstoß binnen 72 Stunden an die Aufsichtsbehörde zu melden. Zudem muss er den Betriebsrat (§80, 81 BetrVG) über Sicherheitsvorfälle informieren. Fehlende Meldung kann zusätzlich problematisch werden.

Beispiel: Mancher Arbeitgeber nimmt die Gefahr zu leicht. Dabei zeigt der BSI-Bericht: Cyberangreifer nutzen immer raffiniertere Methoden – das Entfernen von Schadsoftware ist nicht immer möglich. Für den Arbeitgeber bedeutet das: Er darf nicht darauf vertrauen, dass „schon nichts passiert“. Er muss proaktiv in die IT-Sicherheit investieren. Eine reine Konzentration auf Datenschutzgesetze reicht nicht aus – es geht auch um Gesamtsicherheit der Firma.

 

Welche Mitbestimmungs- und Datenschutzrechte haben Betriebsrat und Arbeitnehmer?

Antwort: Betriebsräte und Arbeitnehmer haben umfangreiche Rechte beim Thema IT-Sicherheit und Datenschutz. Ziel ist, die Privatsphäre der Beschäftigten zu wahren und gleichzeitig

• Mitbestimmung nach BetrVG: Nach § 87 Abs. 1 Nr. 6 BetrVG darf der Betriebsrat mitbestimmen bei „technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Das umfasst Überwachungssoftware, Webcam-Kameras, aber je nach Umfang auch z.B. Auswertungen von PC-Protokollen. Will der Arbeitgeber z.B. ein neues Überwachungssystem (Keylogger, E-Mail-Scanner, Videokamera) einführen, braucht er meist die Zustimmung des Betriebsrats. Fehlt sie, kann der Betriebsrat Beschwerde einlegen. Das Bundesarbeitsgericht hat klargestellt, dass dauerhafte, vollständige Überwachung(z.B. per Keylogger) ohne konkreten Verdacht unzulässig ist. Eine bloß anlassbezogene Kontrolle bei tatsächlichem Verdacht hingegen kann zulässig sein.
• Betriebsvereinbarungen und Schulungsrechte: Für Regelungen zum sicheren IT-Einsatz (Passwortrichtlinien, Homeoffice-Regeln, Umgang mit dienstlichen Smartphones) können Betriebsvereinbarungen geschlossen werden. Der Betriebsrat kann beispielsweise mitbestimmen, ob regelmäßige Sicherheitsschulungen veranstaltet werden und welche Inhalte diese haben.
• Beschäftigtendatenschutz: Arbeitnehmer haben einen Anspruch auf Vertraulichkeit ihrer personenbezogenen Daten (§ 75 BetrVG, Art. 88 DSGVO, BDSG). Private E-Mails oder Fotos auf dienstlichen Geräten dürfen nur in engen Grenzen kontrolliert werden. Grundsätzlich gilt: Recht auf informationelle Selbstbestimmung. Eine heimliche Durchleuchtung des Mailverkehrs oder Foto-Ordners wäre nur erlaubt, wenn ein konkreter Verdachtsfall vorliegt (z.B. akute Geheimnisverletzung) und selbst dann nach dem Verhältnismäßigkeitsgrundsatz. Typischerweise spricht man hier von § 26 BDSG, wonach der Arbeitgeber bei konkretem Verdacht (und nur hier) Ermittlungen durchführen darf. Ein bloßes „Bauchgefühl“ reicht nicht. Sonstige anlasslose Datensammlungen sind grundsätzlich tabu. Der Betriebsrat hat das Recht, solche Vorgänge zu überprüfen und ggf. mit dem Datenschutzbeauftragten (intern oder extern) abzustimmen.
• Informations- und Beschwerderecht: Wenn Sie merken, dass gegen Datenschutz-Regeln verstoßen wird (z.B. Einsicht in private Mails), können Sie den Betriebsrat oder den externen Datenschutzbeauftragten informieren. Der Betriebsrat kann beim Arbeitgeber auf Änderungen drängen. Artikel 33 DSGVO und Whistleblower-Richtlinien bieten zudem Schutz, wenn Sie Verstöße melden (Achtung: Privatgespräche am Arbeitsplatz sind kein Freibrief).

Irrtum: Viele glauben, der Arbeitgeber dürfe private Kommunikation am Büro-PC jederzeit mitlesen. Tatsächlich darf er nur technische Daten (z.B. übertragene Datenmengen oder Zugriffszeiten) routinemäßig erfassen – jedoch nicht den konkreten Inhalt (z.B. Text einer E-Mail), ohne besonderen Anlass. Achten Sie daher immer auf einen klaren Schnitt zwischen dienstlicher und privater Nutzung – ein völliges Verbot privater IT-Nutzung ist arbeitsrechtlich oft ebenfalls umstritten.

---

Was tun, wenn tatsächlich ein Cyberangriff stattgefunden hat?

Antwort: Im Ernstfall sind schnelle, kooperative Maßnahmen entscheidend, um Schaden zu begrenzen. Folgen Sie im Betrieb den vorab festgelegten Notfallplänen und halten Sie sich an Weisungen der IT-Verantwortlichen.

1. Alarmieren: Informieren Sie umgehend die IT-Abteilung oder den IT-Sicherheitsbeauftragten. Parallel sollte der Betriebsrat (§ 80 BetrVG) und die Unternehmensleitung informiert werden. Bei Angriffen auf personenbezogene Daten muss der Datenschutzbeauftragte hinzugezogen werden. In kritischen Fällen (KRITIS-Unternehmen) kann eine Meldepflicht (z.B. § 8a BSIG) bestehen. Erwägen Sie zudem eine Anzeige bei der Polizei: Cyberkriminalität ist eine Straftat (z.B. nach §§ 202a StGB – Ausspähen von Daten, oder § 269 StGB – Computerbetrug). Auch das BSI kann für Prävention und Analysen kontaktiert werden.
2. IT sichern: Arbeiten Sie nach Plan: Trennen Sie betroffene Rechner ggf. vom Netz (nur in Abstimmung mit IT-Experten, um Beweise zu sichern). Stellen Sie auf Notbetrieb um und setzen Sie betriebliche Backups ein. Wenn verschlüsselte Daten wiederherstellbar sind, nutzen Sie Recovery-Tools. Löschen oder zahlen Sie kein Lösegeld. Der BSI-Lagebericht weist ausdrücklich darauf hin, dass Erpressungen nur weitere Schäden provozieren (insgesamt wurden 1,1 Mrd. US$ Lösegeld weltweit erpresst). Einmal gezahltes Lösegeld garantiert keine Rückgabe der Daten oder Geheimhaltung – die Täter bieten nur vorübergehende Sicherheit.
3. Dokumentation: Führen Sie ein genaues Protokoll aller Abläufe: Wer hat welchen Alarm ausgelöst? Welche IT-Logs liegen vor? Welche Systeme waren betroffen? Diese Dokumentation ist wichtig für spätere Ermittlungen (Polizei) und für Haftungsfragen. Zudem kann sie im Ernstfall vor Gericht ein Beleg für umsichtiges Verhalten sein.
4. Datenschutzmeldungen: Haben Angreifer personenbezogene Daten erbeutet (Kunden-, Mitarbeiterdaten), muss der Arbeitgeber binnen 72 Stunden die Datenschutzbehörde informieren (Art. 33 DSGVO) und in manchen Fällen auch die Betroffenen (Art. 34 DSGVO). Als Beschäftigter können Sie den Arbeitgeber auf diese Pflicht aufmerksam machen.
5. Rechtliche Prüfung: Nach der Akutphase sollten Unternehmen (und Betroffene) überlegen, ob gegenüber Dritten Ersatzansprüche bestehen. Zum Beispiel kann geprüft werden, ob IT-Dienstleister ihren Vertrag verletzt haben oder ob Schadensersatz von den Tätern (durch Strafverfahren) verlangt werden kann. Betriebsräte können hinterfragen, ob der Arbeitgeber seiner Dokumentations- und Informationspflicht (z.B. gegenüber dem Betriebsrat) nachgekommen ist.

Wichtig: Behalten Sie einen kühlen Kopf. Viele Schäden lassen sich durch Ruhe und professionelle Hilfe minimieren. Nutzen Sie IT-Forensiker und Rechtsberater, um den Vorfall sicher aufzuarbeiten. Wenn Sie als Arbeitnehmer unsicher sind, ob Ihr Verhalten korrekt war oder ob Ihre Rechte verletzt wurden (z.B. in Bezug auf Überwachung beim Vorfall), sollten Sie sich beraten lassen – eine kostenlose Erstberatung bieten wir Ihnen selbstverständlich an.

---

Welche Besonderheiten gelten in kritischen Branchen und für Kleinbetriebe?

Antwort: In Bereichen kritischer Infrastruktur (KRITIS) gelten erhöhte Sicherheitsvorgaben: Energieversorger, Wasserwerke, Verkehrsbetriebe, Telekommunikationsunternehmen, Gesundheitswesen und Finanzdienstleister müssen strenge Standards einhalten. Etwa schreibt das Energiewirtschaftsgesetz (EnWG) vor, dass alle Gas- und Stromnetzbetreiber IT-Sicherheitsrichtlinien umsetzen und Risiken melden. Krankenhäuser müssen nach § 8a BSIG Systeme zur Angriffserkennung unterhalten. Mit Inkrafttreten von NIS2 (EU-Richtlinie) wird das Feld weiter ausgeweitet – künftig fallen fast alle größeren Unternehmen bestimmter Branchen darunter. Für Beschäftigte bedeutet dies oft, dass Notfallpläne, regelmäßige Sicherheitstrainings und spezielle Reporting-Pfade existieren. Beispiele aus dem BSI-Lagebericht zeigen den Ernst: Im Energiesektor galt die „Bedrohungslage […] als unverändert hoch“. Ransomware-Angriffe richteten sich gezielt gegen Zulieferer kritischer Anlagen. So waren zuletzt Softwarefirmen betroffen, die Steuerungssysteme für Kraftwerke liefern – die Angreifer verschlüsselten wichtige Komponenten und forderten hohe Lösegelder. Auch der zuvor erwähnte DDoS-Ausfall bei einer Tankstellennetz-Verwaltung ist belegt.

Irrtümer: Oft wird angenommen, dass kleine Betriebe weniger gefährdet sind. Tatsächlich bestätigen viele Studien: Genauso viele Ransomware-Angriffe treffen KMU und Kommunen wie Großkonzerne. Gerade kleine Unternehmen haben oft unzureichenden Schutz und gelten daher als leichte Beute. Wurde in einem kleinen Betrieb etwa ein IT-Dienstleister kompromittiert, können sich Auswirkungen sogar regional hochschaukeln. Arbeitsrechtlich ändert das wenig: Auch in kleinen Firmen gelten die Pflichten des ArbSchG, der DSGVO und (nach NIS2) bald auch Sicherheitsrichtlinien. Arbeitnehmer haben also in jeder Firma Anspruch auf grundlegende IT-Sicherheit.

Spezielle Branchenregelungen: In kritischen Sektoren existiert zudem die Pflicht, Vorfälle zu melden (→ IT-Sicherheitsgesetz §8a). Mitarbeiter in diesen Branchen sollten sich bewusst sein, dass bei ihnen höhere Kontrollen stattfinden können (z.B. Zugriff auf bestimmte IT-Systeme) und dass die interne IT-Abteilung oft strengere Prüfungen anstellt. Das Ziel ist, die Versorgungssicherheit zu garantieren. Mitarbeiterbeauftragte oder Betriebsräte in KRITIS-Unternehmen müssen daher besonders eng mit der IT-Abteilung zusammenarbeiten.

Fazit und rechtliche Unterstützung

Cyberangriffe sind keine abstrakte Gefahr – sie können jeden Arbeitsplatz treffen. Neben technischen Maßnahmen ist es entscheidend, dass Arbeitgeber, Betriebsrat und Beschäftigte zusammenarbeiten, um die Sicherheit im Betrieb zu erhöhen. Wenn Sie konkrete Fragen haben oder unsicher sind, welche Rechte Ihnen zustehen, unterstützen wir Sie gerne. Die Kanzlei Pöppel Rechtsanwälte berät Arbeitnehmer:innen und Betriebsräte bundesweit in allen Fragen rund um Arbeitsrecht und IT-Sicherheit am Arbeitsplatz. Kontaktieren Sie uns unverbindlich – wir helfen Ihnen, Ihre Rechte wahrzunehmen und Risiken im Job zu minimieren.