Privileg in Gefahr: Wie IR-Teams Berichte vor Gericht schützen müssen
29.09.2026 incident-responselegal-privilegebreach-counselir-process
Ein Ransomware-Vorfall wird eingedämmt, der Forensik-Bericht liegt vor, das Unternehmen atmet auf – und Monate später verlangt ein Kläger im Rahmen einer Sammelklage genau diesen Bericht als Beweismittel. Was viele IR-Teams noch immer unterschätzen: Ob ein Untersuchungsbericht vor Gericht geschützt bleibt oder offengelegt werden muss, entscheidet sich nicht im Nachhinein, sondern in der Art, wie die Untersuchung von der ersten Stunde an strukturiert wurde.
Der Kovel-Mechanismus und seine Grenzen
Die rechtliche Grundlage klingt zunächst simpel: Anwaltliches Privileg schützt vertrauliche Kommunikation zwischen Mandant und Anwalt, die dem Zweck der Rechtsberatung dient. Nach der sogenannten Kovel-Doktrin kann dieser Schutz auf Drittspezialisten wie Forensik-Firmen ausgeweitet werden, deren Einbindung notwendig ist, damit der Anwalt Rechtsberatung leisten kann. Zusätzlich schützt der Work-Product-Grundsatz Dokumente, die in Erwartung eines Rechtsstreits erstellt wurden.
In der Praxis reicht diese Konstruktion aber immer seltener aus. Gerichte prüfen Privileganspruch für IR-Materialien zunehmend kritisch, wobei sie zunehmend hinterfragen, ob ein Untersuchungsbericht auch im gewöhnlichen Geschäftsbetrieb in im Wesentlichen gleicher Form entstanden wäre. Genau an dieser Frage scheiterten mehrere prominente Fälle: Unternehmen konnten Forensik-Berichte in der Vergangenheit erfolgreich vor Offenlegung schützen, doch mehrere aktuelle Gerichtsentscheidungen haben solche Privileganspruch abgelehnt. Ein Bezirksgericht in Pennsylvania etwa verdeutlichte die Herausforderungen beim Schutz von Forensik-Berichten vor der Offenlegungspflicht im Rahmen eines Zivilprozesses nach einem Cyber-Vorfall.
Ein zentrales Risiko: Wer eine Forensik-Firma bereits vor einem Vorfall für proaktive Sicherheitsbewertungen bindet und dieselbe Firma dann im Ernstfall für die Incident-Response-Untersuchung engagiert, riskiert eine Vermischung von Dokumenten, die für den gewöhnlichen Geschäftsbetrieb erstellt wurden, mit solchen, die speziell in Erwartung eines Rechtsstreits entstanden – wodurch weder Work-Product- noch Anwaltsprivileg greifen würde.
Was das für die IR-Praxis bedeutet
Für SOC- und IR-Teams ist das kein abstraktes Justiziariats-Thema, sondern eine operative Frage der Playbook-Gestaltung. Rechtsanwaltskanzleien empfehlen mittlerweile ein Bündel konkreter Maßnahmen: Breach Counsel sollte umgehend nach Bekanntwerden eines Vorfalls eingebunden werden, damit alle Vereinbarungen und Kommunikationen geschützt sind; Anwälte sollten in alle response-relevanten Meetings einbezogen werden, damit deliberative Gespräche rechtlich fundiert, privilegiert und verteidigungsorientiert bleiben; und sämtliche Kommunikation mit Drittanbietern sollte über die Rechtsabteilung laufen.
Auch die Struktur der Berichte selbst muss überdacht werden. Der Schutz von Privileg und Arbeitsprodukt sollte von Beginn des Incident-Response-Prozesses an Priorität haben, da nicht-privilegierte Dokumente, die an Regulierungsbehörden oder private Kläger herausgegeben werden müssen, künftige regulatorische Verfahren oder Rechtsstreitigkeiten erschweren können. Besonders heikel: Werden mehrere Berichte mit überlappenden Sachverhalten erstellt, kann die Offenlegung eines Berichts einen Verzicht auf das Privileg auch bezüglich eines anderen Berichts bedeuten.
Für die Praxis bedeutet das ein Zwei-Spuren-Modell: Ein rein technischer Remediation-Bericht für IT-Betrieb und ein separater, anwaltlich beauftragter Untersuchungsbericht für Litigation-Zwecke – mit klar dokumentierter Auftragskette, in der die Rechtsabteilung von der ersten Minute an sichtbar die Feder führt. Auch außerhalb der Rechtsbranche gilt dieses Prinzip: Ein Incident-Response-Plan gilt als Teil der „angemessenen Bemühungen“, Mandanteninformationen zu schützen – ein Grundsatz, der sich sinngemäß auf jede Organisation mit sensiblen Kundendaten übertragen lässt.
Incident Commander und Legal Counsel müssen also nicht nur in der Krise kooperieren, sondern bereits in der Retainer-Phase gemeinsam festlegen, wer welchen Bericht zu welchem Zweck in Auftrag gibt. Genau das entscheidet später, ob ein Untersuchungsbericht Beweismittel wird – oder geschützt bleibt.
← Zurück zur Übersicht