Erheblichen Sicherheitsvorfall nach § 168 TKG melden: Fristen, Stufen, Ablauf

Rechtsstand: TKG in der Fassung vom 22.10.2026, geprüft am 06.11.2026. § 168 gilt in der Fassung des NIS-2-Umsetzungsgesetzes seit dem 06.12.2025, ohne Übergangsfrist. Die Darstellung ist allgemeine Information und keine Rechtsberatung. Ob ein konkreter Vorfall meldepflichtig ist, bewertet der Anbieter selbst, bei Rechtsfragen mit anwaltlicher Unterstützung.

Wann ist ein Sicherheitsvorfall erheblich?

Erheblich ist ein Sicherheitsvorfall nach § 168 Abs. 3 TKG, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für den Anbieter verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Es genügt also schon die Möglichkeit eines solchen Schadens.

Sicherheitsvorfall ist nach § 3 Nr. 53 TKG jedes Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt. Das TKG nennt damit auch die Authentizität, die im Begriff des BSI-Gesetzes fehlt. Der Begriff knüpft an jedes Ereignis an. Nach unserer Lesart kann deshalb auch ein Ausfall ohne Angreifer darunter fallen.

Die Bundesnetzagentur (BNetzA) nennt im Meldekonzept Anhaltspunkte, ab wann sie einen Vorfall als erheblich ansieht. Das sind Schwellen der Behörde, keine Gesetzesvorgaben:

• mehr als 1 Million betroffene Nutzerstunden (betroffene Nutzer mal Dauer in Stunden),
• jeder Vorfall an internationalen Zusammenschaltungspunkten,
• jeder Vorfall mit Auswirkung auf die Notruflenkung, gemeint ist die eigens dafür eingesetzte Hard- und Software, nicht der einzelne Kundenanschluss.

Die BNetzA betont, dass diese Kriterien nicht abschließend sind, dass jeder Anbieter eigenverantwortlich bewertet und dass freiwillige Meldungen erwünscht sind. Für einen kleinen Anbieter heißt das nach unserer Einschätzung: Die Nutzerstunden-Schwelle erreicht er selten, die Bewertung nach den beiden gesetzlichen Kriterien bleibt ihm deshalb nicht erspart.

Wer muss melden, und an wen?

Jeder, der ein öffentliches TK-Netz betreibt oder öffentlich zugängliche TK-Dienste erbringt, ohne Größenschwelle und unabhängig von der Einstufung nach dem BSI-Gesetz. Seit dem TKG 2021 gehören nach Angabe der BNetzA auch Anbieter nummernunabhängiger Dienste zum Kreis der Meldepflichtigen. Empfänger sind immer beide Behörden: die Bundesnetzagentur und das Bundesamt für Sicherheit in der Informationstechnik.

Die Meldepflicht nach § 32 BSIG gilt für TK-Anbieter nicht, § 28 Abs. 5 BSIG nimmt sie aus, gemeldet wird nach § 168 TKG. Anders ist es nach § 28 Abs. 5 Satz 2 BSIG, soweit ein Unternehmen daneben weitere kritische Anlagen betreibt oder Tätigkeiten ausübt, die einer Einrichtungsart der Anlage 1 oder 2 des BSI-Gesetzes zuzuordnen sind, etwa ein Stadtwerk, das auch Trinkwasser oder Fernwärme liefert. Energienetze und Energieanlagen nach §§ 5c bis 5e EnWG sind nach Satz 1 Nr. 2 ebenfalls ausgenommen. Wie das abzugrenzen ist, steht auf der Seite NIS2 für TK-Anbieter.

Welche Meldung ist bis wann fällig?

§ 168 Abs. 1 und 2 sehen bis zu fünf Meldungen vor. Die Fristen laufen ab Kenntniserlangung vom erheblichen Sicherheitsvorfall:

Die BNetzA bestätigt den Eingang nach Möglichkeit innerhalb von 24 Stunden nach der frühen Erstmeldung. Das BSI kann auf Ersuchen technisch unterstützen und zu Abhilfemaßnahmen beraten. Die BNetzA kann zusätzlich einen detaillierten Bericht verlangen. Für die Meldungen gelten die Vorschriften des Bundesdatenschutzgesetzes zum Schutz vor Selbstbelastung entsprechend (§ 42 Abs. 4 und § 43 Abs. 4 BDSG, § 168 Abs. 1 Satz 2 TKG).

Unabhängig von der Meldung müssen Anbieter bei einer besonderen und erheblichen Gefahr die potenziell betroffenen Nutzer über mögliche Schutz- und Abhilfemaßnahmen informieren, gegebenenfalls auch über die Gefahr selbst (§ 168 Abs. 7).

Wie meldet man praktisch: Meldekonzept und Formular der Bundesnetzagentur

Die Einzelheiten des Verfahrens legt die BNetzA fest (§ 168 Abs. 4). Sie hat dazu ein Meldekonzept und ein Meldeformular veröffentlicht. Die Seite der BNetzA bezeichnet beide als Entwurf. Gemeldet wird mit dem Formular per E-Mail an die BNetzA (sicherheitsvorfall.tkg@bnetza.de) und an das BSI (Meldungen-tkg@bsi.bund.de) oder per Fax, per Post nur, wenn keine Eile besteht. Die BNetzA empfiehlt, die E-Mail mit PGP zu verschlüsseln.

Drei Hinweise aus dem Meldekonzept sind für die Organisation wichtig. Im Zweifel geht die Eindämmung der akuten Folgen der Meldung vor. Wer Dritte, etwa einen Dienstleister für die Rufbereitschaft, zur Feststellung von Vorfällen einsetzt, bleibt selbst verantwortlich. Und Organisationsmängel, die eine Meldung verzögern, gehen zu Lasten des Meldepflichtigen.

Wo die Unterlagen der BNetzA vom Gesetz abweichen

Meldekonzept und Formular sind älter als die geltende Fassung von § 168 oder nur teilweise angepasst. Es gilt der Gesetzestext. Die Abweichungen im Einzelnen:

Wie grenzt sich § 168 von § 169 TKG ab?

§ 169 regelt einen eigenen Meldeweg für Verletzungen des Schutzes personenbezogener Daten: Anbieter öffentlich zugänglicher Dienste benachrichtigen unverzüglich die BNetzA und die oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), nicht das BSI, nach der Verordnung (EU) 611/2013 möglichst binnen 24 Stunden nach Feststellung. Ein Angriff auf Kundendaten kann beide Pflichten zugleich auslösen, die Meldungen nach § 168 und § 169 laufen dann nebeneinander. Fristen, Benachrichtigung der Betroffenen, Verzeichnis und die Abgrenzung zu Art. 33 DSGVO erklärt die Seite Datenschutzverletzung nach § 169 TKG melden.

Interner Meldeablauf: wer macht was?

Die Fristen sind kurz und fallen oft auf Abende und Wochenenden. Ein Meldeablauf funktioniert nur, wenn vorher feststeht, wer bewertet, wer freigibt und wer sendet. Die folgende Rollenverteilung ist unsere Empfehlung für kleine und mittlere Anbieter, sie ist nicht gesetzlich vorgegeben:

Übungsdrehbuch: Ausfall einer Telefonieplattform am Freitagabend

Fiktives Beispiel, kein Kunde. Ein VoIP-Anbieter mit 30 Beschäftigten betreibt eine Telefonieplattform für Geschäftskunden mit rund 9.000 Rufnummern. Er erbringt einen öffentlich zugänglichen TK-Dienst und ist damit nach § 168 meldepflichtig. Das Drehbuch eignet sich für eine Tischübung von zwei Stunden. Wir zählen die Fristen vorsichtig ab dem ersten konkreten Verdacht, wann Kenntnis im Rechtssinn vorliegt, ist im Einzelfall zu prüfen.

Fragen für die Übung: Wer hat am Freitag um 19:00 Uhr die Freigabe erteilt, wenn die Geschäftsführung nicht erreichbar ist? Liegen Formular, Empfängeradressen und PGP-Schlüssel griffbereit? Wer entscheidet, ob die Kunden über die Gefahr informiert werden? Woher kommen die Nutzerzahlen für die Bewertung?

Rollen, Fristen, einen Fristenrechner, ein Vorfallprotokoll und dieses Drehbuch gibt es als Excel-Vorlage für den internen Meldeablauf unter Vorlagen zum Download.

Drei typische Lücken

Wie Vorfallbewältigung zu den übrigen Schutzmaßnahmen gehört, steht auf der Seite Schutzmaßnahmen nach § 165 TKG. Wenn Sie Ihren Meldeablauf prüfen oder eine Übung vorbereiten wollen, sprechen Sie uns an. Den Einstieg bildet die Statusprüfung Stufe 1. Wir waren als Sicherheitsbeauftragte nach § 166 TKG tätig, haben Sicherheitskonzepte erstellt, aktualisiert und mit der Bundesnetzagentur abgestimmt.