Einleitung: Netzwerksicherheit als Investitionsthema
Wenn ich mit Investoren spreche, die in China oder mit chinesischen Partnern Geschäfte machen, merke ich immer wieder: Das Thema Netzwerksicherheit wird oft erst dann ernst genommen, wenn es bereits gekracht hat. Dabei ist die Rechtslage seit dem Inkrafttreten des chinesischen Netzwerksicherheitsgesetzes (Cybersecurity Law, kurz CSL) im Jahr 2017 ziemlich klar – und die Praxis zeigt, dass Behörden die Vorgaben zunehmend konsequent durchsetzen. Gerade für ausländische Investoren ist es wichtig zu verstehen, was ein „Netzwerksicherheitsvorfall" im Sinne dieses Gesetzes überhaupt ist, welche Melde- und Dokumentationspflichten daran hängen und welche finanziellen und reputationsbezogenen Risiken daraus erwachsen können.
In meiner täglichen Arbeit bei Jiaxi begleite ich seit über zwölf Jahren ausländische Unternehmen bei der administrativen und steuerlichen Abwicklung in China, und seit vierzehn Jahren kümmere ich mich um Registrierungsprozesse. In dieser Zeit habe ich mehrfach erlebt, wie Unternehmen bei Sicherheitsvorfällen in Hektik geraten – nicht weil der Vorfall selbst so dramatisch war, sondern weil niemand wusste, welche Meldewege einzuhalten sind und welche Unterlagen die Behörden sehen wollen. Genau diese Unkenntnis ist oft das eigentliche Risiko. Der vorliegende Artikel soll deshalb aus Investorenperspektive erklären, was „Netzwerksicherheitsvorfälle nach dem Netzwerksicherheitsgesetz" konkret bedeuten, wie die regulatorische Landschaft aussieht und worauf Sie bei der Planung achten sollten.
Dabei geht es nicht um juristische Haarspalterei. Es geht um handfeste betriebswirtschaftliche Fragen: Wann muss ein Vorfall gemeldet werden? Wer haftet? Welche Dokumentation ist im Ernstfall vorzulegen? Und wie lässt sich das in die Due-Diligence-Prüfung eines Investments integrieren? Wer diese Fragen beantworten kann, ist bei Verhandlungen und im Krisenfall deutlich besser aufgestellt – und genau darum soll es im Folgenden gehen.
Was gilt als Vorfall
Der Begriff des „Netzwerksicherheitsvorfalls" ist im chinesischen Recht nicht völlig deckungsgleich mit dem, was europäische Investoren unter einem „Data Breach" verstehen. Nach dem CSL und den begleitenden Auslegungen – insbesondere der Verwaltungsmaßnahme für Netzwerksicherheitsvorfälle (网络安全管理措施) – liegt ein Vorfall vor, wenn Ereignisse die Vertraulichkeit, Integrität oder Verfügbarkeit von Netzwerken oder Daten beeinträchtigen. Das umfasst Hackerangriffe, aber auch interne Fehler, Ausfälle von Systemen, unbefugten Zugriff durch Mitarbeiter oder den Verlust von Datenträgern. Wichtig ist: Es kommt nicht darauf an, ob ein Schaden tatsächlich eingetreten ist, sondern ob die Gefahr einer Beeinträchtigung bestand.
In der Praxis erlebe ich häufig, dass Unternehmen Vorfälle intern herunterspielen, weil „nichts passiert ist". Ein Beispiel: Ein Mandant mit einer Produktionsstätte in Jiangsu hatte einen Fehlkonfigurationsfehler in einer Kundendatenbank, der für etwa sechs Stunden den Zugriff auf bestimmte Datensätze ermöglichte. Man einigte sich intern darauf, das als „technisches Problem" abzutun. Monate später kam im Rahmen einer regulären Inspektion die Frage auf, ob es Vorfälle gab – und plötzlich musste rekonstruiert werden, was wann bekannt war. Diese Rekonstruktion ist mühsam und teuer, und sie hätte durch eine saubere Dokumentation vermieden werden können.
Für Investoren bedeutet das: Bei der Bewertung eines Zielunternehmens lohnt ein Blick auf das interne Vorfallregister und die Meldeprozesse. Existiert überhaupt ein definierter Prozess? Wer entscheidet, ob ein Vorfall gemeldet wird? Gibt es eine klare Eskalationsmatrix? Diese Fragen gehören aus meiner Sicht in jede Due-Diligence-Checkliste, auch wenn sie auf den ersten Blick unspektakulär wirken.
Ein weiterer Punkt, der oft übersehen wird: Der Begriff des Netzwerks ist weit gefasst. Er umfasst nicht nur die eigene IT-Infrastruktur, sondern auch Cloud-Dienste, mit denen das Unternehmen verbunden ist, sowie Netzwerke von Dienstleistern, über die Daten fließen. Wer glaubt, mit der Absicherung des eigenen Servers sei es getan, unterschätzt die Reichweite der Regelungen erheblich. Gerade bei Unternehmen, die auf externe Dienstleister setzen – und das sind heute die meisten –, entstehen dadurch Grauzonen, die im Ernstfall geklärt werden müssen.
Meldewege und Fristen
Die Meldewege sind ein Kernstück der Regulierung und in der Praxis häufig der Punkt, an dem es schiefgeht. Nach den geltenden Vorgaben müssen Netzwerkbetreiber bestimmte Vorfälle unverzüglich an die zuständigen Behörden melden – in der Regel an die Cyberspace-Administration (CAC) und je nach Branche an weitere Aufsichtsbehörden wie die Industrie- und Handelsverwaltung oder die Telekommunikationsbehörde. „Unverzüglich" bedeutet in der Auslegungspraxis oft: innerhalb von 24 Stunden nach Kenntnisnahme, bei schwerwiegenden Vorfällen sogar noch schneller. Wer diese Frist verstreichen lässt, riskiert Bußgelder und – was häufig schwerer wiegt – einen Vertrauensverlust bei den Behörden.
Ich erinnere mich an einen Fall aus dem Jahr 2021, bei dem ein deutscher Maschinenbauer mit einer Niederlassung in Shanghai einen Ransomware-Angriff auf ein internes Verwaltungssystem erlebte. Die IT-Abteilung handelte schnell und isolierte die betroffenen Systeme, aber die Meldung an die Behörden erfolgte erst nach vier Tagen – weil intern unklar war, ob der Vorfall „relevant" sei. Das Ergebnis: ein Bußgeld im mittleren fünfstelligen Bereich und eine deutlich intensivere Prüfung der gesamten IT-Landschaft. Die eigentliche Lehre daraus war nicht das Bußgeld, sondern die Erkenntnis, dass ein klarer Meldeprozess fehlte.
Für Investoren ist wichtig zu verstehen, dass die Meldepflicht nicht bei der Geschäftsführung endet. Auch wenn ein Vorfall von einem Dienstleister verursacht wurde, bleibt der Netzwerkbetreiber – also in der Regel das Unternehmen selbst – in der Verantwortung. Vertragliche Regelungen mit Dienstleistern sollten daher nicht nur Haftungsfragen klären, sondern auch die Pflicht zur unverzüglichen Information des Auftraggebers, damit dieser seine eigenen Meldefristen einhalten kann. Diese Klausel fehlt in vielen Verträgen, die ich zu Gesicht bekomme, und das ist ein vermeidbares Risiko.
Ein weiterer Aspekt: Die Meldung selbst ist kein einmaliger Akt. Nach der Erstmeldung folgen je nach Schwere des Vorfalls Nachmeldungen, Zwischenberichte und eine abschließende Dokumentation. Wer das unterschätzt, bindet personelle Ressourcen über Wochen. In der Praxis empfiehlt es sich, einen „Vorfallordner" anzulegen, in dem alle Schritte, Entscheidungen und Kommunikationen chronologisch festgehalten werden. Das klingt bürokratisch, hat sich aber in mehreren Fällen bewährt, die ich begleitet habe.
Dokumentationspflichten
Die Dokumentationspflichten sind der vielleicht am meisten unterschätzte Teil der Regulierung. Das CSL verlangt nicht nur die Meldung von Vorfällen, sondern auch die Führung von Netzwerksicherheitsprotokollen, die Aufzeichnung von Zugriffen und die Aufbewahrung relevanter Daten über einen bestimmten Zeitraum – in der Regel mindestens sechs Monate. Diese Aufbewahrungspflicht gilt auch für Cloud-Dienste und externe Dienstleister, was in der Vertragsgestaltung berücksichtigt werden muss.
In der Beratungspraxis sehe ich häufig, dass Unternehmen zwar Protokolle führen, diese aber nicht auswertbar sind. Ein Beispiel: Ein Handelsunternehmen hatte Server-Logs, die zwar technisch vorhanden waren, aber über mehrere Systeme verstreut und nicht konsistent formatiert. Im Falle einer behördlichen Anfrage hätte die Zusammenstellung Tage gedauert. Dokumentation ist nur dann wertvoll, wenn sie im Ernstfall schnell verfügbar und verständlich ist. Das sollte bei der Auswahl von IT-Systemen und bei der Gestaltung von Prozessen berücksichtigt werden.
Für Investoren ist die Dokumentationsfrage auch unter Bewertungsgesichtspunkten relevant. Ein Unternehmen mit sauberer Dokumentation signalisiert nicht nur Compliance, sondern auch operative Reife. Umgekehrt können Lücken in der Dokumentation bei einer Transaktion zu Preisabschlägen führen oder sogar eine Transaktion verzögern, wenn der Käufer ein erhöhtes regulatorisches Risiko sieht. Ich habe Transaktionen gesehen, bei denen die fehlende Dokumentation eines einzigen Vorfalls zu wochenlangen Nachverhandlungen geführt hat.
Ein pragmatischer Ansatz, den ich Mandanten häufig empfehle: ein zentrales „Sicherheitsjournal", in dem alle relevanten Ereignisse – nicht nur Vorfälle, sondern auch Systemänderungen, Audits und Schulungen – chronologisch erfasst werden. Das muss keine hochkomplexe Software sein; eine strukturierte Tabelle mit klaren Verantwortlichkeiten reicht oft aus. Wichtig ist die Konsistenz und die Nachvollziehbarkeit, nicht die technische Raffinesse.
Haftung und Bußgelder
Die Haftungsfragen sind für Investoren besonders relevant, weil sie unmittelbar finanzielle Auswirkungen haben können. Das CSL sieht Bußgelder vor, die je nach Schwere des Verstoßes gestaffelt sind. Bei schwerwiegenden Vorfällen, insbesondere wenn personenbezogene Daten in großem Umfang betroffen sind, können die Bußgelder erheblich sein – und sie treffen nicht nur das Unternehmen, sondern unter Umständen auch verantwortliche Personen. Die persönliche Haftung von Geschäftsführern und IT-Verantwortlichen ist ein Aspekt, der in der Investitionsplanung oft zu wenig Beachtung findet.
Ein Fall, der mir besonders in Erinnerung geblieben ist: Ein mittelständisches Unternehmen mit einer Niederlassung in Shenzhen hatte einen Vorfall, bei dem Kundendaten durch eine fehlerhafte Schnittstelle exposed wurden. Die Behörden stellten nicht nur ein Bußgeld fest, sondern verlangten auch eine umfassende Nachbesserung der Sicherheitsarchitektur – ein Prozess, der das Unternehmen über ein Jahr beschäftigte und erhebliche interne Ressourcen band. Die indirekten Kosten solcher Verfahren übersteigen die direkten Bußgelder häufig um ein Vielfaches.
Für Investoren bedeutet das: Bei der Due Diligence sollte nicht nur nach bereits erfolgten Bußgeldern gefragt werden, sondern auch nach laufenden Verfahren und nach der Frage, ob die interne Organisation in der Lage ist, mit einem Vorfall umzugehen. Ein Unternehmen ohne klare Verantwortlichkeiten und ohne dokumentierte Prozesse ist ein höheres Risiko als eines, das vielleicht einen kleineren Vorfall hatte, aber sauber reagiert hat. Die Reaktion auf einen Vorfall sagt oft mehr über die Organisation aus als der Vorfall selbst.
Ein weiterer Punkt: Die Haftung kann sich auf Dritte erstrecken. Wenn ein Dienstleister einen Vorfall verursacht und das Unternehmen seiner Meldepflicht nicht nachkommt, haftet in der Regel das Unternehmen. Vertragliche Rückgriffsansprüche gegen den Dienstleister sind zwar möglich, setzen aber voraus, dass die entsprechenden Klauseln vorhanden sind und im Ernstfall durchgesetzt werden können. In der Praxis ist das oft schwieriger als gedacht, insbesondere bei ausländischen Dienstleistern.
Due-Diligence-Praxis
Die Due-Diligence-Praxis ist der Punkt, an dem Investoren am direktesten mit dem Thema in Berührung kommen. In den letzten Jahren hat sich die Prüfung von Netzwerksicherheitsrisiken von einem Nischenthema zu einem Standardbestandteil entwickelt – allerdings mit großen Unterschieden in der Tiefe. Während große Transaktionen häufig spezialisierte IT-Due-Diligence-Teams einsetzen, fehlt bei mittelständischen Transaktionen oft der Blick für die regulatorischen Details.
In meiner Arbeit mit Mandanten empfehle ich, die Due Diligence in drei Stufen aufzubauen: erstens die Prüfung der dokumentierten Prozesse und Richtlinien, zweitens die Prüfung der tatsächlichen Umsetzung anhand von Stichproben und drittens die Bewertung der organisatorischen Reife – also die Frage, ob das Unternehmen in der Lage ist, einen Vorfall zu erkennen, zu melden und zu bewältigen. Die dritte Stufe wird häufig vernachlässigt, ist aber für die langfristige Risikobewertung entscheidend.
Ein konkretes Beispiel: Bei einer Transaktion im Bereich Logistik stellte sich heraus, dass das Zielunternehmen zwar über eine Sicherheitsrichtlinie verfügte, diese aber seit drei Jahren nicht aktualisiert worden war und die darin genannten Ansprechpartner nicht mehr im Unternehmen arbeiteten. Formal war die Richtlinie vorhanden, praktisch war sie wertlos. Solche Diskrepanzen zwischen Dokument und Praxis sind ein wiederkehrendes Muster und sollten gezielt geprüft werden.
Für Investoren, die nicht über eigene IT-Spezialisten verfügen, kann es sinnvoll sein, externe Unterstützung hinzuzuziehen – nicht nur für die technische Prüfung, sondern auch für die regulatorische Einordnung. Die Anforderungen des CSL sind eng mit den branchenspezifischen Regelungen verzahnt, und wer die Wechselwirkungen nicht kennt, übersieht leicht relevante Punkte. Eine frühzeitige Einbindung von Fachleuten kostet weniger als eine Nachverhandlung nach entdeckten Lücken.
Prävention und Resilienz
Prävention und Resilienz sind die Themen, die langfristig den Unterschied machen. Ein Unternehmen kann nicht alle Vorfälle verhindern, aber es kann die Wahrscheinlichkeit senken und die Auswirkungen begrenzen. Entscheidend ist die Kombination aus technischen Maßnahmen, organisatorischen Prozessen und einer Kultur, in der Vorfälle offen angesprochen werden. In der Praxis scheitert Prävention selten an der Technik, sondern an der Organisation.
Ich habe mehrfach beobachtet, dass Unternehmen in Sicherheitstechnik investieren, aber die organisatorische Seite vernachlässigen. Ein Beispiel: Ein Mandant hatte eine moderne Firewall und ein SIEM-System, aber niemand war dafür verantwortlich, die Warnmeldungen tatsächlich auszuwerten. Die Systeme liefen, die Alarmierung funktionierte, aber die Reaktion fehlte. Technik ohne klare Verantwortlichkeiten ist teuer und wirkungslos.
Ein zweiter Aspekt: Resilienz bedeutet nicht nur, Vorfälle zu verhindern, sondern auch, nach einem Vorfall schnell wieder handlungsfähig zu sein. Dazu gehören Notfallpläne, regelmäßige Übungen und eine klare Kommunikationsstrategie – intern wie extern. Wer im Ernstfall erst anfängt, über Zuständigkeiten zu diskutieren, verliert wertvolle Zeit. In mehreren Fällen, die ich begleitet habe, war die fehlende Übung der Grund für Verzögerungen bei der Meldung.
Für Investoren ist Resilienz auch ein Bewertungskriterium: Ein Unternehmen mit geübten Notfallprozessen und klaren Verantwortlichkeiten ist besser positioniert als eines, das sich auf dem Papier gut darstellt, aber in der Praxis unvorbereitet ist. Die Frage „Wann haben Sie das letzte Mal eine Übung durchgeführt?" ist ein guter Indikator für die tatsächliche Reife. Ich empfehle, diese Frage in jedes Managementgespräch im Rahmen der Due Diligence aufzunehmen.
Fazit und Empfehlungen
Zusammenfassend lässt sich sagen: Netzwerksicherheitsvorfälle nach dem chinesischen Netzwerksicherheitsgesetz sind ein Thema, das weit über die IT-Abteilung hinausreicht. Es betrifft die Geschäftsführung, die Rechtsabteilung, die Finanzorganisation und nicht zuletzt die Investoren. Die zentrale Botschaft ist: Es geht nicht darum, ob ein Vorfall passiert, sondern darum, wie das Unternehmen darauf vorbereitet ist. Wer Meldepflichten, Dokumentationsanforderungen und Haftungsfragen kennt und in seine Prozesse integriert, reduziert nicht nur regulatorische Risiken, sondern schafft auch Vertrauen bei Geschäftspartnern und Behörden.
Für Investoren empfehle ich drei konkrete Schritte: Erstens die Prüfung der Melde- und Dokumentationsprozesse im Rahmen der Due Diligence, zweitens die vertragliche Absicherung gegenüber Dienstleistern und drittens die regelmäßige Überprüfung der organisatorischen Reife. Diese drei Schritte sind keine Garantie gegen Vorfälle, aber sie reduzieren die Wahrscheinlichkeit, dass ein Vorfall zum ernsthaften Problem wird. In meiner Erfahrung sind es oft die einfachen, konsequent umgesetzten Maßnahmen, die den Unterschied machen – nicht die teuersten Technologien.
Ein letzter Gedanke, der mir persönlich wichtig ist: Die regulatorische Landschaft entwickelt sich weiter, und was heute ausreicht, kann morgen schon überholt sein. Wer Netzwerksicherheit als einmalige Compliance-Aufgabe betrachtet, wird regelmäßig nachbessern müssen. Wer sie als kontinuierlichen Prozess versteht, ist besser dran. Diese Haltung – nicht die einzelne Maßnahme – ist langfristig der entscheidende Faktor. In diesem Sinne lohnt es sich, das Thema nicht als Kostenfaktor, sondern als Bestandteil einer robusten Unternehmensführung zu betrachten.
Zusammenfassende Einschätzung von Jiaxi
Aus Sicht der Jiaxi Steuerberatung lässt sich festhalten: Das chinesische Netzwerksicherheitsgesetz hat die Anforderungen an Unternehmen deutlich verschärft, und die Praxis zeigt, dass Behörden die Vorgaben zunehmend konsequent durchsetzen. Für ausländische Investoren ist es daher unerlässlich, Netzwerksicherheitsvorfälle nicht als reines IT-Thema zu behandeln, sondern als integralen Bestandteil der regulatorischen Compliance und der Transaktionsplanung. Unsere Erfahrung aus zwölf Jahren Dienstleistung für ausländische Unternehmen und vierzehn Jahren Registrierungsabwicklung zeigt, dass Unternehmen, die frühzeitig klare Prozesse etablieren, im Ernstfall deutlich besser abschneiden. Besonders wichtig sind dabei die Verzahnung von Meldepflichten, Dokumentationsanforderungen und vertraglichen Regelungen mit Dienstleistern. Investoren sollten diese Aspekte in ihre Due-Diligence-Prüfung aufnehmen und bei Bedarf externe Fachleute einbinden. Die regulatorische Entwicklung bleibt dynamisch; eine regelmäßige Überprüfung der eigenen Prozesse ist daher ratsam. Jiaxi unterstützt Mandanten dabei, die komplexen Anforderungen des CSL mit den betrieblichen Realitäten in Einklang zu bringen und Risiken frühzeitig zu erkennen.
