Meldeformular gemäß Sächsischem Informationssicherheitsgesetz

Weitere Informationen unter https://www.cert.sachsen.de/vorfallsmeldungen.html

Art der Meldung & Ansprechperson
Kategorisierung
Vorfalldaten
Getroffene Maßnahmen

Einstufung nach Traffic Light Protocol – internationaler Standard zur Einstufung der Informationsfreigabe (Merkblatt zum Traffic Light Protocol (TLP), Version 2.0)

Art der Meldung

Wählen Sie die passende Art der Meldung:
Eine Erstmeldung erfolgt, wenn ein Vorfall erstmalig gemeldet wird und der weitere Verlauf noch unklar ist. Eine Schlussmeldung kann auch direkt zusammen mit der Erstmeldung ausgewählt werden, wenn bereits feststeht, dass der Vorfall abgeschlossen ist. Wird eine Folgemeldung oder eine Schlussmeldung separat abgegeben, ist die Referenznummer der zugehörigen Erstmeldung anzugeben.

Vorfallnummer der Erstmeldung

Meldende Person und Ansprechpartner(in) für Rückfragen

Funktion der meldenden Person im Zusammenhang mit dem Vorfall

Kategorisierung

Hinweis

Bitte beachten Sie, dass die Angabe zur Anzahl der maximal betroffenen Personen und kritischen Prozesse nur bei der Erstmeldung des Vorfalls eventuell unbekannt sein darf. Wir bitten Sie daher für Folge- und Schlussmeldungen zum gleichen Vorfall die konkreten Zahlen in Erfahrung zu bringen.

Vorfalldaten

Prägnante, stichpunktartige Bezeichnung des Vorfalls, die möglichst eindeutig zusammenfasst, um welchen Fall es sich handelt.
Datumsangaben bitte im Format TTMMYYYY.

Datum, an welchem der Vorfall von der Institution als solcher erkannt wurde.  

Datum, auf den der Ursprung des Vorfalls an sich datiert werden kann.

Beschreibung des Sachverhalts

Einordnung gemäß Sächsischem Informationssicherheitsgesetz (SächsISichG)

Wenn Sie sich unsicher beim Ausfüllen sind, könnten Ihnen folgende Fragen weiterhelfen.

  • Was ist passiert?
  • Wann wurde der Vorfall festgestellt?
  • Wann hat der Vorfall begonnen? (falls bekannt)
  • Wo ist der Vorfall aufgetreten? (System, Anwendung, Organisationseinheit)
  • Wie wurde der Vorfall entdeckt?
  • Welche Auswirkungen sind aktuell erkennbar?
  • Welches Konto / System ist betroffen?
  • Ist der Zugang aktuell noch aktiv?
  • Gibt es Hinweise auf missbräuchliche Nutzung?
  • Wurden Anmeldeinformationen verändert? (Passwort, MFA)
  • Wie wurde der Angriff durchgeführt? (E-Mail, Telefon, etc.)
  • Wurde auf Links geklickt oder Daten eingegeben?
  • Sind Zugangsdaten kompromittiert worden?
  • Liegt die Nachricht noch vor? (z.B. E-Mail)
  • Welche Systeme sind betroffen?
  • Gibt es Verschlüsselung oder Lösegeldforderung?
  • Wie wurde die Malware entdeckt?
  • Gibt es Hinweise auf Ausbreitung im Netzwerk?
  • Welche Systeme/Services sind betroffen?
  • Welche Art von Auffälligkeit wurde festgestellt? (z. B. hohe Last, viele Verbindungen)
  • Ist der Dienst aktuell eingeschränkt oder nicht erreichbar?
  • Welche Daten sind betroffen? (Art der Daten)
  • Wie viele Datensätze sind betroffen? (geschätzt)
  • Sind personenbezogene Daten betroffen?
  • Wer könnte Zugriff auf die Daten erhalten haben?
  • Worin besteht die Fehlkonfiguration / Schwachstelle?
  • Seit wann besteht das Problem? (falls bekannt)
  • Ist die Schwachstelle öffentlich erreichbar / ausnutzbar?
  • Welche Systeme/Dienste sind betroffen?
  • Seit wann besteht die Störung?
  • Gibt es bekannte Ursachen?
  • Welche Auswirkungen bestehen auf den Betrieb?
  • Was wurde entwendet / beschädigt / bedroht?
  • Wo ist der Vorfall passiert?
  • Gibt es Zeugen oder bekannte Umstände?
  • Waren IT-Systeme oder Datenträger betroffen?

Bitte beachten Sie, dass die Größe Ihrer Dateien nicht 100.00 MB überschreiten darf. Laden Sie bitte nur die Vorfall-relevanten Informationen hoch.

Wichtiger Sicherheitshinweis
Verdächtige, schadhafte oder potenziell infizierte Dateien dürfen nicht über dieses Meldeformular hochgeladen werden.
Bitte vermerken Sie im Sachverhalt, dass entsprechende Dateien vorhanden sind. Das SAX.CERT stimmt die sichere Übermittlung bei Bedarf gesondert mit Ihnen ab.

Getroffene Maßnahme(n)

Wenn Sie sich unsicher beim Ausfüllen sind, orientieren Sie sich gern an folgenden Fragen.

  • Wurden betroffene Zugänge gesperrt oder eingeschränkt?
  • Wurden Passwörter geändert?
  • Wurden aktive Sitzungen beendet?
  • Wurden zusätzliche Sicherheitsmaßnahmen aktiviert? (z. B. Multi-Faktor-Authentifizierung)
  • Wurden eingegebene Zugangsdaten geändert?
  • Wurden betroffene Konten gesichert? (z. B. durch Aktivierung der Multi-Faktor-Authentifizierung, Beenden aktiver Sitzungen)
  • Wurden verdächtige Inhalte weiter verwendet? (z. B. Klicks auf Links oder Anhänge)
  • Wurde die Nachricht technisch blockiert? (z. B. Absender oder Domain gesperrt)
  • Wurde das betroffene Gerät vom Netzwerk getrennt?
  • Wurde das System außer Betrieb genommen bzw. nicht weiter genutzt?
  • Wurde eine Überprüfung oder Bereinigung gestartet? (z. B. Virenscan)
  • Wurde eine mögliche Ausbreitung verhindert? (z. B. Trennung weiterer Systeme)
  • Wurden betroffene Dienste eingeschränkt oder abgeschaltet?
  • Wurden Zugriffe blockiert oder gefiltert? (z. B. über Firewall-Regeln)
  • Wurde externer Zugriff reduziert oder unterbunden?
  • Wurden auffällige Verbindungen gezielt blockiert? (z. B. IP-Adressen)
  • Wurde der Zugriff auf betroffene Daten eingeschränkt oder entzogen?
  • Wurde ein Fehlversand korrigiert? (z. B. Empfänger kontaktiert, Löschung angefordert)
  • Wurden weitere Datenabflüsse oder -verluste verhindert?
  • Wurden Daten gesichert oder aus Backups wiederhergestellt?
  • Wurde die Fehlkonfiguration oder Schwachstelle behoben? (z. B. Patch, Konfigurationsänderung)
  • Wurde der Zugriff auf betroffene Systeme vorübergehend eingeschränkt?
  • Wurden nicht benötigte Dienste oder Funktionen deaktiviert?
  • Wurde die Erreichbarkeit reduziert? (z. B. kein öffentlicher Zugriff mehr)
  • Wurde das System neu gestartet oder wiederhergestellt?
  • Wurde eine Ersatzlösung oder ein Backup-System genutzt?
  • Wurde der Betrieb stabilisiert? (z. B. durch Workaround)
  • Wurden fehlerhafte Komponenten ersetzt oder umgangen?
  • Wurde ein möglicher Zugriff auf Daten oder Systeme verhindert?
  • Wurde das betroffene Gerät gesperrt oder deaktiviert? (z. B. Remote-Sperre)
  • Wurden Zugänge, die auf dem Gerät gespeichert waren, abgesichert? (z. B. Passwörter geändert)
  • Wurden betroffene Bereiche oder Systeme gesichert?
Datenschutz

Beispiele hierfür sind insbesondere Namen, dienstliche Kontaktdaten, Nutzerkennungen, IP-Adressen, Personalnummern sowie sonstige Angaben zu identifizierten oder identifizierbaren Personen.

Bitte informieren Sie bei einer Verletzung des Schutzes personenbezogener Daten, sofern noch nicht erfolgt, Ihre(n) zuständige(n) behördlichen Datenschutzbeauftragte(n).
Nach Art. 33 DSGVO muss eine zusätzliche Meldung zum Vorfall an den Sächsischen Datenschutzbeauftragten erfolgen (innerhalb von 72 Stunden nach Bekanntwerden, andernfalls mit Begründung für die Verzögerung).

Information an Polizei/LKA

Meldeformular SAX.CERT 

Stand: 03.07.2026

Staatsbetrieb Sächsische Informatik Dienste
Sicherheitsnotfallteam (SAX.CERT)
Dresdner Straße 78A
01445 Radebeul
0351 / 79 997 799
powered by XIMA® formcycle
all fields marked with a (*) are required and must be filled out