Post & Kurier: Häufig gestellte Fragen

Post- und Kurierdienste stehen in Anhang II des NIS2UmsuCG; erfasst sind Anbieter ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz. Dazu zählen auch reine Zustellorganisationen ohne eigene Sortierinfrastruktur. Prüfen Sie zusätzlich Ihre Subunternehmer: Übernimmt ein Partner wesentliche Teile der Zustellkette und überschreitet selbst die Schwellen, ist er eigenständig betroffen — das ist für Ihre Lieferkettenpflicht relevant.

Anders als in den meisten Sektoren wird ein Ausfall hier binnen Stunden physisch sichtbar: Stehen die Bänder, stapelt sich Ware, und der Rückstau pflanzt sich durch das gesamte Netz fort. Ermitteln Sie deshalb je Standort die Rückstaugrenze — die Dauer, ab der sich der Stau nicht mehr aufholen lässt. Diese Zahl, nicht ein allgemeiner Zielwert, bestimmt Ihre gesamte Wiederanlaufplanung und die nötige Investition.

Zustelldaten verbinden Namen, Anschriften, Abwesenheitszeiten und Kaufverhalten und sind für Betrug unmittelbar verwertbar. Neben Verschlüsselung im Ruhezustand ist die rollenbasierte Beschränkung entscheidend: Nicht jede Rolle im Unternehmen braucht Zugriff auf vollständige Empfängerdaten. Ergänzend gehört eine Geräteverwaltung für Scanner und mobile Endgeräte in der Zustellung dazu, einschließlich Fernlöschung bei Verlust.

Die letzte Meile wird überwiegend von Subunternehmern gefahren, oft mit eigenen Geräten und Zugriff auf Scan- und Statussysteme. Geteilte Zugänge ohne persönliche Zuordnung sind hier der kritischste Befund. Legen Sie fest, wer den Entzug beim Ausscheiden auslöst und wer ihn kontrolliert — vergessene Zugänge ehemaliger Fahrer sind ein wiederkehrendes Prüfungsthema und zugleich ein realer Angriffsweg.

Sendungsverfolgung ist öffentlich erreichbar und wird massenhaft für Phishing im Namen bekannter Marken missbraucht. Technisch hilft vor allem eine Begrenzung der Abfragerate gegen automatisiertes Auslesen. Organisatorisch brauchen Sie eine klare, sichtbar kommunizierte Linie, welche Benachrichtigungen echt sind und welche Angaben Sie niemals per Nachricht erfragen — das entzieht Betrugsversuchen im Namen Ihrer Marke die Grundlage.

An das BSI gehen Erstmeldung binnen 24 Stunden, Bewertung binnen 72 Stunden und Abschlussbericht binnen eines Monats. Betrifft der Vorfall zugleich personenbezogene Sendungsdaten, läuft die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO parallel. Bei internationalen Sendungsströmen über Partnernetze klären Sie zusätzlich vorab, welche nationale Aufsicht zuständig ist und wie Partner informiert werden.