Sicherheitsvorfälle und Datenpannen gehören für Unternehmen jeder Größenordnung zu den gravierendsten Risiken der digitalen Geschäftswelt. Ob ein versehentlich falsch adressierter E-Mail-Verteiler, der Diebstahl unverschlüsselter Hardware oder ein komplexer Cyberangriff mit Verschlüsselung interner Server: Sobald personenbezogene Daten betroffen sind, tickt für die Geschäftsleitung die Uhr. Neben der technischen Eindämmung des Vorfalls müssen innerhalb kürzester Zeit weitreichende rechtliche Entscheidungen getroffen werden, die bei fehlerhafter Handhabung erhebliche Bußgelder nach sich ziehen können.

In diesem Interview erläutert Felix Wenzel, Associate für IT- und Datenschutzrecht bei Hallström Ostermeyer, wie Unternehmen bei einem Datenschutzvorfall vorgehen sollten und welche Vorbereitungen im Ernstfall den entscheidenden Vorsprung verschaffen.

Die ersten Stunden nach der Entdeckung

Herr Wenzel, was ist der häufigste Fehler, den Unternehmen unmittelbar nach einem Sicherheitsvorfall machen?

Der folgenschwerste Fehler ist das Zögern. Häufig versuchen interne IT-Abteilungen zunächst tagelang auf eigene Faust, das Ausmaß eines Angriffs technisch aufzuklären, bevor die Geschäftsleitung oder die Rechtsabteilung informiert wird. Nach der Datenschutz-Grundverordnung läuft die Frist für eine Meldung an die zuständige Aufsichtsbehörde jedoch ab dem Moment, in dem das Unternehmen hinreichende Kenntnis von dem Vorfall erlangt hat. Verstreichen die ersten Tage ungenutzt, lässt sich die gesetzliche Meldefrist von 72 Stunden kaum noch einhalten.

Ebenso gefährlich ist jedoch blinder Aktionismus. Eine voreilige Meldung ohne belastbare Mindestfakten stiftet Verwirrung und lenkt den Fokus der Aufsichtsbehörden frühzeitig auf das Unternehmen, selbst wenn sich der Vorfall später als harmlos herausstellt.

Entscheidend ist eine unmittelbare, aber geordnete Alarmierung des internen Krisenteams aus IT, Geschäftsführung, Kommunikation und juristischer Beratung.

Die gesetzliche 72-Stunden-Meldefrist

Wann genau muss eine Meldung an die Datenschutzbehörde erfolgen, und was muss sie enthalten?

Grundsätzlich muss jede Verletzung des Schutzes personenbezogener Daten gemeldet werden, es sei denn, der Vorfall führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Diese Risikobewertung muss sorgfältig und dokumentiert erfolgen. Liegt ein Risiko vor, muss die Meldung binnen 72 Stunden bei der Landesdatenschutzbehörde eingehen.

Viele Verantwortliche wissen nicht, dass eine Meldung auch gestuft erfolgen kann. Es ist rechtlich ausdrücklich zulässig, zunächst eine Erstmeldung mit den bekannten Eckdaten abzugeben und detaillierte technische Analysen sowie genaue Betroffenenzahlen in einem zweiten Schritt nachzureichen.

Das Gesetz verlangt Angaben zur Art der Verletzung einschließlich der betroffenen Datenkategorien, zu den wahrscheinlichen Folgen, zu den ergriffenen oder vorgeschlagenen Abhilfemaßnahmen sowie die Kontaktdaten des Datenschutzbeauftragten.

Diese Zahlen beschreiben die maßgeblichen Eckpunkte des gesetzlichen Melderegimes nach Art. 33 DSGVO. Fristbeginn und Detailtiefe richten sich nach dem konkreten Kenntnisstand und der Schwere des Vorfalls.

Information der betroffenen Personen

Wann müssen neben den Aufsichtsbehörden auch Kunden oder Mitarbeiter direkt informiert werden?

Eine Benachrichtigung der Betroffenen nach Art. 34 DSGVO ist nur erforderlich, wenn die Datenpanne voraussichtlich ein hohes Risiko für deren persönliche Rechte zur Folge hat. Dies ist etwa der Fall, wenn Passwörter, Finanzdaten, Gesundheitsdaten oder Ausweisdokumente im Klartext entwendet wurden oder ein Identitätsdiebstahl droht.

Waren die Daten hingegen nach dem aktuellen Stand der Technik verschlüsselt und ist der Schlüssel nicht kompromittiert, entfällt die Benachrichtigungspflicht in der Regel.

Verständliche Sprache und Handlungsempfehlungen

Entsteht eine Informationspflicht, muss diese in klarer und einfacher Sprache erfolgen. Juristische Schachtelsätze oder technischer Jargon verfehlen den Zweck.

Die Mitteilung muss den Betroffenen konkret erläutern, welche Gefahren drohen und welche Schritte sie selbst ergreifen sollten, etwa die sofortige Änderung von Passwörtern oder die Überprüfung von Bankkonten.

Kooperation mit den Aufsichtsbehörden

Wie reagieren die Aufsichtsbehörden nach Eingang einer Meldung, und wie sollten Unternehmen agieren?

Aufsichtsbehörden fordern nach einer Meldung fast immer detaillierte Stellungnahmen und technische Nachweise an. Sie prüfen nicht nur, wie es zu dem Vorfall kam, sondern vor allem, ob das Unternehmen vor dem Angriff angemessene technische und organisatorische Maßnahmen implementiert hatte.

Unternehmen sollten mit den Behörden sachlich und transparent kooperieren. Widersprüchliche Angaben oder der Versuch, Mängel zu vertuschen, führen regelmäßig zu verschärften Prüfungen und erhöhen das Bußgeldrisiko drastisch.

Sämtliche Prüfschritte, Entscheidungen über Meldungen und forensische Berichte müssen im internen Datenschutz-Vorfallregister lückenlos dokumentiert werden.

Vorsorge schützt im Ernstfall

Was können Unternehmen tun, bevor ein Sicherheitsvorfall eintritt?

Wer erst im Ernstfall anfängt, Zuständigkeiten zu klären oder Muster für Behördenmeldungen zu suchen, verliert wertvolle Zeit. Jedes Unternehmen sollte über einen aktuellen Incident-Response-Plan verfügen.

Regelmäßige Simulationen von Sicherheitsvorfällen helfen, dass alle Beteiligten ihre Rollen kennen und im Krisenfall abgestimmt handeln können.

Hinweis: Allgemeine Information, keine Rechtsberatung. Demo-Inhalt.