Stručně: Po kyberútoku mohou firmy podat oznámení na policii. Správným kontaktním místem jsou Zentrale Ansprechstellen Cybercrime (ZAC, ústřední kontaktní místa pro kybernetickou kriminalitu) u zemských kriminálních úřadů (Landeskriminalämter), specializovaná na firmy a úřady. Připravte si krátkou časovou osu a zajistěte důkazy dříve, než se systémy nasadí znovu. Tato stránka je obecná informace, nikoli právní poradenství.
Proč může být oznámení užitečné
Mnoho firem po útoku zdráhá policii zapojit. Obávají se práce, přerušení provozu nebo zveřejnění. Oznámení přitom má hmatatelné výhody: úředně incident zdokumentuje, umožní vyšetřování proti pachatelům a pomůže úřadům udělat si přehled o situaci. Pro pojišťovny, obchodní partnery a případně dozorové úřady může být spisová značka užitečným dokladem.
Zda je oznámení v konkrétním případě na místě, závisí na situaci. U vydírání, krádeže dat, manipulace s platebními údaji nebo průniku na server se zákaznickými daty mluví pro oznámení mnohé. Otázku probereme se svým právním poradenstvím a, pokud ho máte, se svou kyberpojišťovnou.
Ústřední kontaktní místa pro kybernetickou kriminalitu
ZAC jsou specializovaná pracoviště policie, která existují v každé spolkové zemi a jsou zřízena u zemských kriminálních úřadů. Jsou určena firmám, úřadům a svazům. Pracují tam vyšetřovatelé s technickým zázemím, kteří jsou obeznámeni s útoky na servery, vydíráním a krádežemi dat.
Příslušné je zpravidla ZAC spolkové země, ve které má vaše firma sídlo. Přehled všech pracovišť najdete na polizei.de. Záměrně zde neuvádíme telefonní čísla, protože se kontaktní cesty mohou měnit; použijte aktuální údaje policie.
Vyhledejte si kontaktní údaje ZAC své spolkové země dříve, než se něco stane, a zapište je do svého nouzového plánu, na místo dostupné i bez fungujícího IT.
Kyberútok: připravit oznámení na policii
Nemusíte vědět všechno, abyste mohli podat oznámení. Uspořádané vylíčení známého stavu ale rozhovor usnadní. Tyto body byste měli shromáždit:
- Časová osa: Kdy byl incident zjištěn, kým a jaké kroky následovaly?
- Dotčené systémy: například webový server, e-shop, zákaznický portál, s umístěním ve vlastním provozu nebo u poskytovatele hostingu.
- Pozorování: neznámé soubory, nápadné záznamy v lozích, zprávy od vyděračů, úniky dat.
- Škoda: výpadek, dotčená data, finanční následky, pokud jsou známy.
- Dosavadní opatření: systémy izolovány, zazáplatovány, hesla změněna, zapojen poskytovatel služeb.
- Kontaktní osoba: kdo ve firmě je k dispozici pro doplňující dotazy.
U incidentu v souvislosti s PHP2Shell patří do vylíčení zranitelnosti CVE-2026-109618 a CVE-2026-109619 i okamžik vaší záplaty. Záplata nedokazuje, že se předtím nic nestalo.
Zachovat důkazy
Pro vyšetřování jsou rozhodující neporušené stopy. Reflex okamžitě kompromitovaný server smazat a nasadit znovu právě tyto stopy ničí. Lepší je uspořádané pořadí: systém izolovat, zajistit logy, seznamy souborů a případně obrazy paměti a datových nosičů, zaznamenat kontrolní součty, teprve poté čistit.
U PHP2Shell odborný tisk doporučuje uchovávat logy serveru od 20. 10. 2026. Požádejte také svého poskytovatele hostingu o zajištění protokolů, pokud sami přístup nemáte. Jak logy vyhodnotit, aniž by se stopy změnily, popisuje stránka Vyhodnocení logů webového serveru po útoku. Pro zajištění použitelné u soudu je vhodnou cestou IT forenzní analýza.
Po oznámení zpravidla obdržíte spisovou značku. Vyšetřovatelé se ozvou s doplňujícími dotazy a s vámi odsouhlasí, jaká data potřebují, například kopie logů nebo obrazů paměti. Nepočítejte s tím, že vyšetřování rychle povede k výsledku; pachatelé často sídlí v zahraničí a používají zastřenou infrastrukturu. Hodnota oznámení proto neleží jen v jednotlivém případě. Poznatky z mnoha oznámení pomáhají přiřadit skupiny pachatelů a narušit jejich infrastrukturu. Spisovou značku si zaznamenejte do dokumentace incidentu a podle potřeby ji předejte pojišťovně nebo dozorovému úřadu. Nové poznatky z vlastního šetření můžete doplnit později.
Oznámení a další povinnosti
Oznámení nenahrazuje jiná hlášení. Pokud jsou dotčeny osobní údaje, může existovat oznamovací povinnost vůči dozorovému úřadu pro ochranu osobních údajů podle čl. 33 GDPR, pokud možno do 72 hodin od zjištění. Pokud vaše firma spadá pod NIS2, přistupují hlášení BSI (německý Spolkový úřad pro informační bezpečnost). A mnoho kyberpojištění vyžaduje včasné informování. Pořadí odsouhlaste, aby nebyla zapomenuta žádná cesta; pokyny najdete na stránce Kyberpojištění při škodní události.
Platby vyděračům byste neměli zvažovat bez konzultace s policií, právním poradenstvím a pojišťovnou. ZAC mohou k takovým otázkám poradit.
Jak konkrétně pomáhá PHP SOS?
- Zajistíme logy a stavy systémů tak, aby zůstaly pro vyšetřování použitelné, a zdokumentujeme kontrolní součty.
- Vypracujeme technickou časovou osu a srozumitelné shrnutí pro rozhovor se ZAC.
- Na vaše přání jsme vyšetřovatelům k dispozici jako technická kontaktní osoba.
- Souběžně vedeme dál reakci na incidenty, aby váš provoz co nejdříve zase bezpečně běžel.
Časté dotazy
Vyplatí se po kyberútoku vůbec podat oznámení?
Oznámení vytvoří úřední dokumentaci, která může být užitečná vůči pojišťovnám, obchodním partnerům a úřadům. Umožňuje vyšetřování a přispívá k přehledu situace. Zda je v konkrétním případě užitečné, můžete probrat se ZAC a svým právním poradenstvím.
Co je ZAC?
Zentrale Ansprechstellen Cybercrime (ústřední kontaktní místa pro kybernetickou kriminalitu) jsou specializovaná pracoviště policie pro firmy a úřady, zřízená u zemských kriminálních úřadů (Landeskriminalämter). Přijímají oznámení, radí s postupem a koordinují vyšetřování. Přehled nabízí polizei.de.
Musím kvůli vyšetřování zastavit provoz?
Zpravidla ne. ZAC jsou připravena na to, že firmy musí dál pracovat, a opatření s vámi konzultují. Otázky k zajištění důkazů a obnově provozu vyjasněte při prvním rozhovoru.
Stane se oznámení automaticky veřejným?
Ne, oznámení se automaticky nezveřejňuje. Otázky důvěrnosti nejlépe probereme přímo se ZAC. Vlastní komunikaci navenek řídíte nadále vy.