Kort sagt: Efter ett cyberangrepp kan företag göra en polisanmälan. Rätt kontaktpunkt i Tyskland är de centrala kontaktpunkterna för cyberbrott (ZAC) hos delstaternas kriminalpolismyndigheter, som är specialiserade på företag och myndigheter. Förbered en kort tidslinje och säkra bevis innan system sätts upp på nytt. Den här sidan är allmän information, ingen juridisk rådgivning.
Varför en anmälan kan vara meningsfull
Många företag tvekar efter ett angrepp att koppla in polisen. De fruktar merarbete, verksamhetsavbrott eller offentlighet. En anmälan har dock påtagliga fördelar: den dokumenterar incidenten officiellt, möjliggör utredningar mot gärningsmännen och hjälper myndigheterna att överblicka läget. För försäkringsgivare, affärspartner och i förekommande fall tillsynsmyndigheter kan ärendenumret vara ett användbart belägg.
Om en anmälan är befogad i det enskilda fallet beror på läget. Vid utpressning, dataintrång, manipulation av betalningsuppgifter eller ett intrång i en server med kunduppgifter talar mycket för det. Diskutera frågan med er juridiska rådgivning och, om ni har en, er cyberförsäkringsgivare.
De centrala kontaktpunkterna för cyberbrott
ZAC är specialiserade enheter inom polisen som finns i varje tysk delstat, placerade hos delstaternas kriminalpolismyndigheter (Landeskriminalämter). De vänder sig till företag, myndigheter och organisationer. Där arbetar utredare med teknisk bakgrund som är förtrogna med angrepp mot servrar, utpressning och dataintrång.
Behörig är i regel ZAC i den delstat där ert företag har sitt säte. En översikt över alla enheter finns på polizei.de. Vi anger här medvetet inga telefonnummer, eftersom kontaktvägar kan ändras; använd polisens aktuella uppgifter.
Leta fram kontaktuppgifterna till ZAC i er delstat innan något händer och för in dem i er beredskapsplan, på ett ställe som går att nå även utan fungerande IT.
Cyberangrepp: förbered polisanmälan
Ni behöver inte veta allt för att göra en anmälan. En ordnad redogörelse för det kända läget underlättar dock samtalet. Samla ihop följande punkter:
- Tidslinje: när upptäcktes incidenten, av vem, och vilka steg följde?
- Berörda system: till exempel webbserver, butik, kundportal, med placering i den egna verksamheten eller hos webbhotellet.
- Iakttagelser: okända filer, avvikande logginlägg, utpressningsmeddelanden, dataläckage.
- Skada: avbrott, berörda uppgifter, ekonomiska följder, i den mån de är kända.
- Hittills vidtagna åtgärder: system isolerade, patchade, lösenord ändrade, leverantör inkopplad.
- Kontaktpersoner: vem i företaget som är tillgänglig för följdfrågor.
Vid en incident i samband med PHP2Shell hör sårbarheterna CVE-2026-109618 och CVE-2026-109619 samt tidpunkten för er patch med i redogörelsen. En patch bevisar inte att ingenting har hänt tidigare.
Bevara bevis
För utredningar är oförändrade spår avgörande. Reflexen att direkt radera en komprometterad server och sätta upp den på nytt förstör just de spåren. Bättre är en ordnad ordningsföljd: isolera systemet, säkra loggar, fillistor och i förekommande fall minnes- och diskavbilder, notera kontrollsummor, sanera därefter.
Vid PHP2Shell rekommenderar facktidningarna att serverloggar sparas från och med den 20 oktober 2026. Be även ert webbhotell säkra protokollen om ni själva saknar åtkomst. Hur ni analyserar loggar utan att förändra spår beskrivs under Analysera webbserverloggar efter ett angrepp. För en säkring som håller i domstol är IT-forensik rätt väg.
Efter anmälan får ni i regel ett ärendenummer. Utredarna hör av sig vid följdfrågor och samråder med er om vilka uppgifter de behöver, till exempel kopior av loggar eller minnesavbilder. Räkna inte med att utredningar snabbt leder till ett resultat; gärningsmän sitter ofta utomlands och använder förvanskad infrastruktur. Värdet av en anmälan ligger därför inte bara i det enskilda fallet. Insikter från många anmälningar hjälper till att koppla ihop gärningsgrupper och störa deras infrastruktur. Anteckna ärendenumret i er incidentdokumentation och lämna det vid behov vidare till försäkringsgivare eller tillsynsmyndighet. Nya insikter från er egen undersökning kan ni komplettera med.
Anmälan och andra skyldigheter
En anmälan ersätter inga andra anmälningar. Berörs personuppgifter kan det finnas en anmälningsplikt till dataskyddstillsynen enligt art. 33 GDPR, om möjligt inom 72 timmar från det att ni fick kännedom. Omfattas ert företag av NIS2 tillkommer rapporter till BSI (den tyska förbundsmyndigheten för informationssäkerhet). Och många cyberförsäkringar kräver tidig information. Samråd om ordningsföljden så att ingen väg glöms bort; anvisningar finns under Cyberförsäkring vid skada.
Betalningar till utpressare bör ni inte överväga utan samråd med polis, juridisk rådgivning och försäkringsgivare. ZAC kan ge råd i sådana frågor.
Hur hjälper PHP SOS konkret?
- Vi säkrar loggar och systemtillstånd så att de förblir användbara för utredningar och dokumenterar kontrollsummorna.
- Vi upprättar en teknisk tidslinje och en begriplig sammanfattning för samtalet med ZAC.
- På er begäran står vi till utredarnas förfogande som teknisk kontaktperson.
- Parallellt fortsätter vi Incident Response så att er verksamhet så snabbt som möjligt åter körs säkert.
Vanliga frågor
Är det över huvud taget lönt att anmäla efter ett cyberangrepp?
En anmälan ger en officiell dokumentation som kan vara till hjälp gentemot försäkringsgivare, affärspartner och myndigheter. Den möjliggör utredningar och bidrar till lägesbilden. Om den är meningsfull i det enskilda fallet kan ni diskutera med ZAC och er juridiska rådgivning.
Vad är en ZAC?
De centrala kontaktpunkterna för cyberbrott (Zentrale Ansprechstellen Cybercrime, ZAC) är specialiserade enheter inom den tyska polisen för företag och myndigheter, placerade hos delstaternas kriminalpolismyndigheter (Landeskriminalämter). De tar emot anmälningar, ger råd om tillvägagångssätt och samordnar utredningar. En översikt finns på polizei.de.
Måste jag lägga ned verksamheten för utredningarna?
I regel inte. ZAC är inställda på att företag måste kunna arbeta vidare och samråder om åtgärder med er. Klargör frågor om bevissäkring och återstart i det första samtalet.
Blir en anmälan automatiskt offentlig?
Nej, en anmälan publiceras inte automatiskt. Frågor om sekretess tar ni bäst upp direkt med ZAC. Er egen kommunikation utåt styr ni fortfarande själva.