Cyberangriff melden: Anlaufstellen und Rufnummern nach Bundesland

Von Alex Arnold·Aktualisiert am 12. Oktober 2026·7 Min. Lesezeit

Unternehmen wenden sich bei einem Cyberangriff an die Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei; zuständig ist die Stelle des Bundeslandes, in dem der Firmensitz liegt oder der Vorfall geschehen ist. Sind personenbezogene Daten betroffen, kommt die Meldung an die Datenschutzaufsicht des Landes hinzu, möglichst binnen 72 Stunden. Dem Bundesamt für Sicherheit in der Informationstechnik (BSI) können Unternehmen einen Vorfall freiwillig melden; eine Pflicht besteht dort nur für Einrichtungen, die unter das BSI-Gesetz fallen.

Das Wichtigste in Kürze

Polizei: Jedes Bundesland hat eine Zentrale Ansprechstelle Cybercrime (ZAC) für Unternehmen und Behörden. Die Rufnummern aller 16 Länder stehen in der Tabelle unten.
Datenschutzaufsicht: Bei einer Verletzung des Schutzes personenbezogener Daten ist die Aufsichtsbehörde des Landes zu informieren, möglichst binnen 72 Stunden (Art. 33 DSGVO).
BSI: Die Meldung ist freiwillig und auch anonym möglich. Für Einrichtungen unter dem BSI-Gesetz gilt eine Pflicht mit einer ersten Frist von 24 Stunden.
KRITIS-Betreiber und Einrichtungen des Bundes wenden sich an die ZAC des Bundeskriminalamts.
Vorher eintragen: Die Nummern gehören in den Notfallplan, und zwar auch auf Papier.

Dieser Artikel ist ein Verzeichnis der Stellen. Was in den ersten Stunden technisch zu tun ist und welche Fristen im Einzelnen laufen, beschreibt der Ratgeber Ransomware-Angriff: Was tun?. Die Angaben geben den Stand vom 11. Oktober 2026 wieder und ersetzen keine Rechtsberatung.

Wen rufen Sie bei einem Cyberangriff an?

Stelle	Wofür	Pflicht oder freiwillig
IT-Dienstleister oder interne IT	Angriff eindämmen, Spuren sichern, Wiederanlauf	laut Vertrag oder interner Regelung
ZAC der Polizei	erste Einschätzung, Beratung, Schritte zur Strafverfolgung	freiwillig
Datenschutzaufsicht des Landes	Meldung einer Verletzung des Schutzes personenbezogener Daten	Pflicht, wenn ein Risiko für die Betroffenen nicht auszuschließen ist
BSI	Meldung für das Lagebild; für erfasste Einrichtungen die gesetzliche Meldung	freiwillig; Pflicht für Einrichtungen unter dem BSI-Gesetz
Cyberversicherung	Schadenmeldung, oft mit eigener Notfallnummer	laut Police

Was Versicherer im Schadenfall erwarten und was sie vor Vertragsschluss abfragen, steht im Ratgeber zu den Voraussetzungen der Cyberversicherung.

Zentrale Ansprechstellen Cybercrime der Polizei: Rufnummern aller Bundesländer

Die ZAC ist nach Angaben der Polizei der Kontaktpunkt für Unternehmen und Behörden, in akuten Fällen und zur Beratung. Sie gibt eine erste Einschätzung, berät und leitet die Schritte zur Strafverfolgung ein. Die Tabelle gibt die Übersicht auf dem Portal der deutschen Polizei wieder; für Länder ohne E-Mail-Adresse verweist die Polizei auf das Kontaktformular dieser Seite.

Bundesland	Telefon der ZAC	E-Mail laut Übersicht
Baden-Württemberg	+49 711 5401-2444	Kontaktformular
Bayern	+49 89 1212-3300	Kontaktformular
Berlin	+49 30 4664-972972	Kontaktformular
Brandenburg	+49 3334 388-8686	[email protected]
Bremen	+49 421 362-19820	[email protected]
Hamburg	+49 40 4286-75455	Kontaktformular
Hessen	+49 611 83-8377	Kontaktformular
Mecklenburg-Vorpommern	+49 3866 64-9494	Kontaktformular
Niedersachsen	+49 511 9873-6230	Kontaktformular
Nordrhein-Westfalen	+49 211 939-4040	[email protected]
Rheinland-Pfalz	+49 6131 65-64760	[email protected]
Saarland	+49 681 962-2448	[email protected]
Sachsen	+49 351 855 3226	Kontaktformular
Sachsen-Anhalt	+49 391 250-2909	[email protected]
Schleswig-Holstein	+49 431 160 42727	[email protected]
Thüringen	+49 361 57431-4545	[email protected]
Bundeskriminalamt (KRITIS-Betreiber, Einrichtungen des Bundes)	+49 611 55-15037	Kontaktformular

Die Nummern gelten nur für Unternehmen, Behörden, Verbände und Einrichtungen aus Forschung und Wissenschaft. Prüfen Sie die Nummer Ihres Landes vor dem Eintrag in den Notfallplan an der Quelle: Die Polizei weist darauf hin, dass die Angaben bei den einzelnen ZAC liegen.

Datenschutzaufsicht: zuständige Behörde je Bundesland

Für Unternehmen ist in der Regel die Datenschutzbehörde des Landes zuständig. Eine Verletzung des Schutzes personenbezogener Daten ist ihr unverzüglich und möglichst binnen 72 Stunden zu melden; die Meldung entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht (Art. 33 DSGVO). Wie die Meldung einzureichen ist, steht auf der Website der jeweiligen Behörde. Die Liste folgt der Übersicht der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit.

Bundesland	Behörde	Website
Baden-Württemberg	Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg	baden-wuerttemberg.datenschutz.de
Bayern	Bayerisches Landesamt für Datenschutzaufsicht (für Unternehmen und Vereine)	lda.bayern.de
Berlin	Berliner Beauftragte für Datenschutz und Informationsfreiheit	datenschutz-berlin.de
Brandenburg	Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg	lda.brandenburg.de
Bremen	Der Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen	datenschutz.bremen.de
Hamburg	Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit	datenschutz-hamburg.de
Hessen	Der Hessische Beauftragte für Datenschutz und Informationsfreiheit	datenschutz.hessen.de
Mecklenburg-Vorpommern	Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern	datenschutz-mv.de
Niedersachsen	Der Landesbeauftragte für den Datenschutz Niedersachsen	lfd.niedersachsen.de
Nordrhein-Westfalen	Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen	ldi.nrw.de
Rheinland-Pfalz	Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz	datenschutz.rlp.de
Saarland	Unabhängiges Datenschutzzentrum Saarland	datenschutz.saarland.de
Sachsen	Sächsische Datenschutz- und Transparenzbeauftragte	datenschutz.sachsen.de
Sachsen-Anhalt	Landesbeauftragte für den Datenschutz Sachsen-Anhalt	datenschutz.sachsen-anhalt.de
Schleswig-Holstein	Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein	datenschutzzentrum.de
Thüringen	Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit	tlfdi.de

Bayern ist ein Sonderfall: Dort teilen sich zwei Behörden die Aufsicht. Für Unternehmen, Vereine und andere private Stellen mit Hauptniederlassung in Bayern ist das Landesamt in Ansbach zuständig, für Behörden und Kommunen der Landesbeauftragte.

BSI: freiwillige Meldung, Pflichtmeldung und Hilfe zur Selbsthilfe

Unternehmen können dem BSI einen Sicherheitsvorfall über das Meldeformular seines Melde- und Informationsportals mitteilen, auf Wunsch anonym. Das BSI nutzt diese Meldungen nach eigenen Angaben für sein Lagebild und für Warnungen; wer Kontaktdaten angibt, kann im Rahmen freier Kapazitäten angesprochen werden (BSI: IT-Sicherheitsvorfall, Hilfe für Unternehmen). Eine Zusage, bei der Bewältigung des Vorfalls zu helfen, ist das nicht.

Anders ist es für meldepflichtige Unternehmen. Besonders wichtige und wichtige Einrichtungen im Sinne des BSI-Gesetzes melden einen erheblichen Sicherheitsvorfall binnen 24 Stunden nach Kenntnis erstmals und binnen 72 Stunden mit einer ersten Bewertung (§ 32 Abs. 1 BSIG); für sie gelten laut BSI eigene Meldewege. Ob Ihr Betrieb dazugehört, klärt der Ratgeber NIS-2: Wer ist betroffen?.

Für die ersten Schritte stellt das BSI Unternehmen zwei Checklisten bereit, Organisatorisches und Technik, dazu die „TOP 12 Maßnahmen bei Cyber-Angriffen“. Größere Unternehmen, die über das eigene Notfallteam hinaus Unterstützung brauchen, verweist es auf Listen qualifizierter Dienstleister.

Weitere Stellen der Länder

Einige Länder betreiben zusätzlich eigene Anlaufstellen. In Hessen ist das Hessen3C mit einer Notfall-Hotline für Unternehmen, nach eigenen Angaben rund um die Uhr und kostenfrei erreichbar unter 0611 353 9900. Für die hessischen Standorte dieses Portals stehen die Stellen am Ort auf den Datenblättern der Regionen. Für andere Länder führt dieser Artikel solche Stellen noch nicht auf; fragen Sie bei Ihrer Industrie- und Handelskammer oder bei der ZAC nach.

Vor dem Ernstfall: Nummern in den Notfallplan eintragen

Im Ernstfall fehlt die Zeit zum Suchen, und E-Mail oder Telefonanlage können ausfallen. Tragen Sie deshalb vorab ein:

die Rufnummer der ZAC Ihres Bundeslandes und ihre Erreichbarkeit,
die zuständige Datenschutzaufsicht und den Weg der Meldung,
die Notfallnummer Ihres IT-Dienstleisters samt Vertretung,
die Schadenhotline der Cyberversicherung mit der Versicherungsnummer,
wer im Betrieb entscheidet und wer meldet.

Drucken Sie die Liste aus und bewahren Sie sie dort auf, wo sie auch ohne funktionierende IT greifbar ist. Was sonst in den Plan gehört, beschreibt der Ratgeber IT-Notfallplan erstellen; der Notfallplan-Generator erstellt daraus ein Dokument. Wie Meldepflichten und Schutzmaßnahmen zusammenhängen, ordnet der Überblick zu IT-Sicherheit und Compliance im Mittelstand ein.

Im Notfallplan fehlt die Nummer eines IT-Dienstleisters, der im Ernstfall erreichbar ist? Der Konfigurator ordnet in wenigen Fragen ein, welcher Partner-Typ zu Ihrem Betrieb passt.

Zum Konfigurator

Quellen und Stand

Stand: Oktober 2026.

Polizei (Bundeskriminalamt): Zentrale Ansprechstellen Cybercrime der Polizeien für Wirtschaftsunternehmen und Behörden – abgerufen am 11.10.2026
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: Kontakt zu den Landesbehörden – abgerufen am 11.10.2026
BSI: Unternehmen – einen Vorfall bewältigen, melden, sich informieren, vorbeugen – abgerufen am 11.10.2026
Bundesministerium der Justiz und für Verbraucherschutz: BSI-Gesetz (BSIG), § 32 – abgerufen am 11.10.2026
Hessen3C: Soforthilfe bei Cyberangriffen – abgerufen am 11.10.2026

Passendes Tool: Notfallplan-Generator. In 5 Minuten einen IT-Notfallplan mit Meldekette, Sofortmaßnahmen und Wiederanlauf-Prioritäten erstellen.

Zum Notfallplan-Generator

Häufige Fragen

Können sich auch Privatpersonen an die ZAC wenden?

Nein. Nach den Angaben der Polizei gelten die Kontaktdaten der Zentralen Ansprechstellen Cybercrime nur für Wirtschaftsunternehmen, öffentliche und nichtöffentliche Institutionen, Verbände sowie Einrichtungen aus Forschung und Wissenschaft. Privatpersonen verweist die Polizei an die Onlinewachen der Länder.

Welche ZAC ist zuständig, wenn Firmensitz und betroffener Standort in verschiedenen Bundesländern liegen?

Die Polizei nennt zwei Anknüpfungspunkte: den Standort des Firmensitzes oder den Ort des Vorfalls. Rufen Sie eine der beiden Stellen an und nennen Sie beide Orte; tragen Sie in den Notfallplan die Nummern für jeden Ihrer Standorte ein.

Sind die Ansprechstellen rund um die Uhr erreichbar?

Die Übersicht der Polizei nennt Rufnummern, aber keine Zeiten, und weist darauf hin, dass Umfang und Angaben bei den einzelnen ZAC liegen. Klären Sie die Erreichbarkeit Ihrer Ansprechstelle deshalb, bevor etwas passiert, und halten Sie sie im Notfallplan fest.

Welcher IT-Partner-Typ passt zu Ihnen?

Wenige Fragen, eine ehrliche Einordnung statt Bauchgefühl.