# Anzeige erstatten: Zentrale Ansprechstellen Cybercrime > Cyberangriff anzeigen: Wie Unternehmen die Zentralen Ansprechstellen Cybercrime der Polizei erreichen, was Sie vorbereiten und Beweise sichern. Quelle: https://phpsos.de/compliance/anzeige-polizei-zac/ Stand: 25.10.2026 Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6 **Kurz gesagt:** Nach einem Cyberangriff können Unternehmen Anzeige bei der Polizei erstatten. Die richtige Anlaufstelle sind die Zentralen Ansprechstellen Cybercrime (ZAC) der Landeskriminalämter, die auf Unternehmen und Behörden spezialisiert sind. Bereiten Sie eine kurze Zeitleiste vor und sichern Sie Beweise, bevor Systeme neu aufgesetzt werden. Diese Seite ist allgemeine Information, keine Rechtsberatung. ## Warum eine Anzeige sinnvoll sein kann Viele Unternehmen zögern nach einem Angriff, die Polizei einzuschalten. Sie befürchten Aufwand, Betriebsunterbrechung oder Öffentlichkeit. Dabei hat eine Anzeige handfeste Vorteile: Sie dokumentiert den Vorfall offiziell, ermöglicht Ermittlungen gegen die Täter und hilft den Behörden, die Lage zu überblicken. Für Versicherer, Geschäftspartner und gegebenenfalls Aufsichtsbehörden kann das Aktenzeichen ein nützlicher Beleg sein. Ob eine Anzeige im Einzelfall angebracht ist, hängt von der Lage ab. Bei Erpressung, Datendiebstahl, Manipulation von Zahlungsdaten oder einem Einbruch in einen Server mit Kundendaten spricht viel dafür. Besprechen Sie die Frage mit Ihrer Rechtsberatung und, falls vorhanden, Ihrem Cyberversicherer. ## Die Zentralen Ansprechstellen Cybercrime Die ZAC sind spezialisierte Stellen der Polizei, die es in jedem Bundesland gibt, angesiedelt bei den Landeskriminalämtern. Sie richten sich an Unternehmen, Behörden und Verbände. Dort arbeiten Ermittler mit technischem Hintergrund, die mit Angriffen auf Server, Erpressung und Datendiebstahl vertraut sind. Zuständig ist in der Regel die ZAC des Bundeslandes, in dem Ihr Unternehmen seinen Sitz hat. Eine Übersicht aller Stellen finden Sie auf polizei.de. Wir nennen hier bewusst keine Telefonnummern, weil sich Kontaktwege ändern können; nutzen Sie die aktuellen Angaben der Polizei. > **Tipp:** > Suchen Sie die Kontaktdaten der ZAC Ihres Bundeslandes heraus, bevor etwas passiert, und tragen Sie sie in Ihren Notfallplan ein, an einer Stelle, die auch ohne funktionierende IT erreichbar ist. ## Cyberangriff: Anzeige bei der Polizei vorbereiten Sie müssen nicht alles wissen, um Anzeige zu erstatten. Eine geordnete Darstellung des bekannten Stands erleichtert aber das Gespräch. Diese Punkte sollten Sie zusammentragen: - **Zeitleiste:** Wann wurde der Vorfall bemerkt, von wem, und welche Schritte folgten? - **Betroffene Systeme:** etwa Webserver, Shop, Kundenportal, mit Standort beim eigenen Betrieb oder beim Hoster. - **Beobachtungen:** unbekannte Dateien, auffällige Logeinträge, Erpressernachrichten, Datenabflüsse. - **Schaden:** Ausfall, betroffene Daten, finanzielle Folgen, soweit bekannt. - **Bisherige Maßnahmen:** Systeme isoliert, gepatcht, Passwörter geändert, Dienstleister eingeschaltet. - **Ansprechpartner:** wer im Unternehmen für Rückfragen zur Verfügung steht. Bei einem Vorfall im Zusammenhang mit PHP2Shell gehören die Lücken CVE-2026-109618 und CVE-2026-109619 sowie der Zeitpunkt Ihres Patches in die Darstellung. Ein Patch belegt nicht, dass vorher nichts passiert ist. ## Beweise erhalten Für Ermittlungen sind unveränderte Spuren entscheidend. Der Reflex, einen kompromittierten Server sofort zu löschen und neu aufzusetzen, vernichtet genau diese Spuren. Besser ist eine geordnete Reihenfolge: System isolieren, Logs, Dateilisten und gegebenenfalls Speicher- und Datenträgerabbilder sichern, Prüfsummen festhalten, dann bereinigen. Bei PHP2Shell empfiehlt die Fachpresse, Server-Logs ab dem 20.10.2026 aufzubewahren. Bitten Sie auch Ihren Hoster, die Protokolle zu sichern, wenn Sie selbst keinen Zugriff haben. Wie Sie Logs auswerten, ohne Spuren zu verändern, beschreibt [Webserver-Logs nach einem Angriff auswerten](https://phpsos.de/ratgeber/logfiles-auswerten/). Für eine gerichtsverwertbare Sicherung ist [IT-Forensik](https://phpsos.de/leistungen/it-forensik/) der passende Weg. Nach der Anzeige erhalten Sie in der Regel ein Aktenzeichen. Die Ermittler melden sich bei Rückfragen und stimmen mit Ihnen ab, welche Daten sie benötigen, etwa Kopien von Logs oder Speicherabbildern. Rechnen Sie nicht damit, dass Ermittlungen schnell zu einem Ergebnis führen; Täter sitzen oft im Ausland und nutzen verschleierte Infrastruktur. Der Wert einer Anzeige liegt deshalb nicht nur im Einzelfall. Erkenntnisse aus vielen Anzeigen helfen, Tätergruppen zuzuordnen und ihre Infrastruktur zu stören. Halten Sie das Aktenzeichen in Ihrer Vorfallsdokumentation fest und geben Sie es bei Bedarf an Versicherer oder Aufsichtsbehörde weiter. Neue Erkenntnisse aus Ihrer eigenen Untersuchung können Sie nachreichen. ## Anzeige und andere Pflichten Eine Anzeige ersetzt keine anderen Meldungen. Sind personenbezogene Daten betroffen, kann eine Meldepflicht an die Datenschutz-Aufsichtsbehörde nach Art. 33 DSGVO bestehen, möglichst binnen 72 Stunden ab Bekanntwerden. Fällt Ihr Unternehmen unter NIS2, kommen Meldungen an das BSI hinzu. Und viele Cyberversicherungen verlangen eine frühe Information. Stimmen Sie die Reihenfolge ab, damit kein Weg vergessen wird; Hinweise dazu stehen unter [Cyberversicherung im Schadensfall](https://phpsos.de/compliance/cyberversicherung/). Zahlungen an Erpresser sollten Sie nicht ohne Rücksprache mit Polizei, Rechtsberatung und Versicherer erwägen. Die ZAC können zu solchen Fragen beraten. ## Wie hilft PHP SOS konkret? - Wir sichern Logs und Systemzustände so, dass sie für Ermittlungen verwertbar bleiben, und dokumentieren die Prüfsummen. - Wir erstellen eine technische Zeitleiste und eine verständliche Zusammenfassung für das Gespräch mit der ZAC. - Auf Ihren Wunsch stehen wir den Ermittlern als technische Ansprechpartner zur Verfügung. - Parallel führen wir die [Incident Response](https://phpsos.de/leistungen/incident-response/) weiter, damit Ihr Betrieb so schnell wie möglich wieder sicher läuft. ## Häufige Fragen **Lohnt sich eine Anzeige nach einem Cyberangriff überhaupt?** Eine Anzeige schafft eine offizielle Dokumentation, die gegenüber Versicherern, Geschäftspartnern und Behörden hilfreich sein kann. Sie ermöglicht Ermittlungen und trägt zum Lagebild bei. Ob sie im Einzelfall sinnvoll ist, können Sie mit der ZAC und Ihrer Rechtsberatung besprechen. **Was ist eine ZAC?** Die Zentralen Ansprechstellen Cybercrime sind spezialisierte Stellen der Polizei für Unternehmen und Behörden, angesiedelt bei den Landeskriminalämtern. Sie nehmen Anzeigen entgegen, beraten zum Vorgehen und koordinieren Ermittlungen. Eine Übersicht bietet polizei.de. **Muss ich meinen Betrieb für die Ermittlungen einstellen?** In der Regel nicht. Die ZAC sind darauf eingestellt, dass Unternehmen weiterarbeiten müssen, und stimmen Maßnahmen mit Ihnen ab. Klären Sie Fragen zur Beweissicherung und zum Wiederanlauf im ersten Gespräch. **Wird eine Anzeige automatisch öffentlich?** Nein, eine Anzeige wird nicht automatisch veröffentlicht. Fragen zur Vertraulichkeit sprechen Sie am besten direkt mit der ZAC an. Ihre eigene Kommunikation nach außen steuern weiterhin Sie. ## Quellen - [Polizei: ZAC-Übersicht](https://www.polizei.de/) - [BSI](https://www.bsi.bund.de/) - [DSGVO Art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)