Krótko: Po cyberataku firmy mogą złożyć zawiadomienie na policji. Właściwym adresem są Zentrale Ansprechstellen Cybercrime (ZAC, centralne punkty kontaktowe ds. cyberprzestępczości) przy niemieckich urzędach kryminalnych krajów związkowych (Landeskriminalämter), wyspecjalizowane w sprawach firm i organów. Proszę przygotować krótką oś czasu i zabezpieczyć dowody, zanim systemy zostaną zainstalowane od nowa. Ta strona to ogólna informacja, a nie porada prawna.
Dlaczego zawiadomienie może mieć sens
Wiele firm po ataku waha się przed zaangażowaniem policji. Obawiają się nakładu pracy, przerwy w działalności lub rozgłosu. Tymczasem zawiadomienie ma wymierne zalety: oficjalnie dokumentuje incydent, umożliwia śledztwo przeciwko sprawcom i pomaga organom ocenić sytuację. Dla ubezpieczycieli, partnerów biznesowych i w razie potrzeby organów nadzorczych sygnatura sprawy może być użytecznym dowodem.
To, czy zawiadomienie jest w konkretnym przypadku wskazane, zależy od sytuacji. Przy wymuszeniu, kradzieży danych, manipulacji danymi płatniczymi lub włamaniu na serwer z danymi klientów wiele przemawia za zawiadomieniem. Proszę omówić tę kwestię z doradcą prawnym i, jeśli istnieje, z cyberubezpieczycielem.
Zentrale Ansprechstellen Cybercrime
ZAC to wyspecjalizowane jednostki policji, które istnieją w każdym kraju związkowym Niemiec, przy urzędach kryminalnych. Kierują się do firm, organów i związków. Pracują tam śledczy z wykształceniem technicznym, zaznajomieni z atakami na serwery, wymuszeniami i kradzieżą danych.
Właściwa jest zwykle ZAC kraju związkowego, w którym firma ma siedzibę. Przegląd wszystkich jednostek znajdą Państwo na polizei.de. Celowo nie podajemy tu numerów telefonów, ponieważ drogi kontaktu mogą się zmieniać; proszę korzystać z aktualnych informacji policji.
Proszę odszukać dane kontaktowe ZAC swojego kraju związkowego, zanim cokolwiek się wydarzy, i wpisać je do planu awaryjnego, w miejscu dostępnym także bez działającej informatyki.
Cyberatak: przygotowanie zawiadomienia na policji
Nie muszą Państwo wszystkiego wiedzieć, aby złożyć zawiadomienie. Uporządkowane przedstawienie znanego stanu ułatwia jednak rozmowę. Proszę zebrać następujące punkty:
- Oś czasu: kiedy zauważono incydent, kto, i jakie kroki nastąpiły?
- Dotknięte systemy: na przykład serwer WWW, sklep, portal klientów, z lokalizacją we własnej firmie lub u hostera.
- Obserwacje: nieznane pliki, nietypowe wpisy w logach, wiadomości od wymuszających, wycieki danych.
- Szkoda: przestój, dotknięte dane, skutki finansowe, o ile znane.
- Dotychczasowe środki: systemy odizolowane, załatane, hasła zmienione, usługodawca zaangażowany.
- Osoby kontaktowe: kto w firmie jest dostępny dla pytań.
Przy incydencie związanym z PHP2Shell do przedstawienia należą luki CVE-2026-109618 i CVE-2026-109619 oraz moment Państwa poprawki. Poprawka nie dowodzi, że wcześniej nic się nie stało.
Zachowanie dowodów
Dla śledztwa rozstrzygające są niezmienione ślady. Odruch, aby przejęty serwer natychmiast wyczyścić i zainstalować od nowa, niszczy właśnie te ślady. Lepsza jest uporządkowana kolejność: odizolować system, zabezpieczyć logi, listy plików i w razie potrzeby obrazy pamięci i nośników, zapisać sumy kontrolne, dopiero potem oczyszczać.
W przypadku PHP2Shell prasa branżowa zaleca przechowywanie logów serwera od 20.10.2026. Proszę poprosić także hostera o zabezpieczenie protokołów, jeśli sami nie mają Państwo dostępu. Jak analizować logi bez zmieniania śladów, opisuje artykuł Analiza logów serwera WWW po ataku. Do zabezpieczenia możliwego do wykorzystania w sądzie odpowiednią drogą jest informatyka śledcza.
Po zawiadomieniu otrzymują Państwo zwykle sygnaturę sprawy. Śledczy odezwą się z pytaniami i uzgodnią z Państwem, jakich danych potrzebują, na przykład kopii logów lub obrazów pamięci. Nie należy zakładać, że śledztwo szybko doprowadzi do wyniku; sprawcy często przebywają za granicą i korzystają z zaciemnionej infrastruktury. Wartość zawiadomienia nie ogranicza się więc do pojedynczego przypadku. Ustalenia z wielu zawiadomień pomagają przypisywać grupy sprawców i zakłócać ich infrastrukturę. Sygnaturę sprawy proszę zapisać w dokumentacji incydentu i w razie potrzeby przekazać ubezpieczycielowi lub organowi nadzorczemu. Nowe ustalenia z własnego badania mogą Państwo uzupełnić później.
Zawiadomienie a inne obowiązki
Zawiadomienie nie zastępuje innych zgłoszeń. Jeśli dotknięte są dane osobowe, może istnieć obowiązek zgłoszenia do organu nadzorczego ochrony danych według art. 33 RODO, o ile to możliwe w ciągu 72 godzin od powzięcia wiedzy. Jeśli Państwa firma podlega NIS2, dochodzą zgłoszenia do BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej). A wiele cyberubezpieczeń wymaga wczesnego poinformowania. Kolejność proszę uzgodnić, aby żadna droga nie została zapomniana; wskazówki podaje artykuł Cyberubezpieczenie przy szkodzie.
Płatności na rzecz wymuszających nie powinni Państwo rozważać bez konsultacji z policją, doradcą prawnym i ubezpieczycielem. ZAC mogą doradzać w takich kwestiach.
Jak konkretnie pomaga PHP SOS?
- Zabezpieczamy logi i stany systemów tak, aby pozostały użyteczne dla śledztwa, i dokumentujemy sumy kontrolne.
- Sporządzamy techniczną oś czasu i zrozumiałe podsumowanie do rozmowy z ZAC.
- Na Państwa życzenie jesteśmy do dyspozycji śledczych jako techniczny partner.
- Równolegle prowadzimy dalej reagowanie na incydenty, aby Państwa działalność jak najszybciej znów działała bezpiecznie.
Częste pytania
Czy zawiadomienie po cyberataku w ogóle się opłaca?
Zawiadomienie tworzy oficjalną dokumentację, która może pomóc wobec ubezpieczycieli, partnerów biznesowych i organów. Umożliwia śledztwo i przyczynia się do obrazu sytuacji. Czy w konkretnym przypadku ma sens, mogą Państwo omówić z ZAC i doradcą prawnym.
Czym jest ZAC?
Zentrale Ansprechstellen Cybercrime to wyspecjalizowane jednostki policji dla firm i organów, działające przy urzędach kryminalnych krajów związkowych. Przyjmują zawiadomienia, doradzają w sprawie postępowania i koordynują śledztwa. Przegląd oferuje polizei.de.
Czy muszę wstrzymać działalność na czas śledztwa?
Zwykle nie. ZAC są przygotowane na to, że firmy muszą dalej pracować, i uzgadniają z Państwem środki. Pytania o zabezpieczenie dowodów i wznowienie działania proszę wyjaśnić w pierwszej rozmowie.
Czy zawiadomienie automatycznie staje się publiczne?
Nie, zawiadomienie nie jest automatycznie publikowane. Pytania o poufność najlepiej omówić bezpośrednio z ZAC. Własną komunikacją na zewnątrz nadal kierują Państwo sami.