Sicherheitslücke in Webanwendung ausgenutzt

Guten Tag,

Ich betreibe eine Internetseite auf der ich eine Webanwendung einer externen Firma laufen lasse. Diese hat nun allerdings ein Sicherheitsloch. Das "Cross-Site Scripting" wird nämlich nicht verhindert. Dadurch ist es möglich, HTML ausführen zu lassen, so dass zum Beispiel ein Script ausgeführt mit, durch welches beispielsweise die Besucher der Webseite auf eine fremde Seite weitergeleitet werden.

Genau dies ist nun bei mir passiert und ich konnte sogar den Täter ausfindig machen. Dieser gibt die Tat auch zu und schreibt, dass er mich dadurch nur warnen wollte. Wir wären selbst schuld, wenn wir eine solche bekannte Sicherheitslücke hätten.

Die Folge: Einige Dateien auf meinem Webserver wurden geändert und viele Besucher wurden auf irgendwelche fremden Webseiten umgelenkt, die sich dann bei mir beschwert haben. Ich hatte dadurch viele Stunden Arbeit.

Persönliche Daten wurden - soweit bisher bekannt - nicht manipuliert. Einen finanziellen Schaden kann ich nicht vorlegen (da eben "nur" viel Zeit investiert werden musste).

Hat der Täter eine Straftat begangen, so dass sich eine Anzeige lohnen würde? Können wir zivilrechtliche Ansprüche geltend machen? Abmahnung mit Aufforderung der Unterlassung und/oder Schadenersatz?