Eine Datenpanne ist kein Hackerangriff
Ein Tippfehler reicht
Der Begriff „Datenpanne" klingt nach Serverraum und Sicherheitslücke. In der Praxis entstehen die meisten Pannen viel unspektakulärer: eine E-Mail an den falschen Empfänger, ein USB-Stick im Taxi vergessen, ein Klick auf einen Phishing-Link.
Das Datenschutzrecht — genauer: Artikel 4 Nr. 12 der DSGVO — definiert eine Datenpanne als jede Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt.
Vereinfacht gesagt: Es geht etwas schief mit Daten, die anderen gehören - und schon liegt eine Datenpanne vor.
Fazit
Sie müssen nicht wissen, ob tatsächlich jemand auf die Daten zugegriffen hat.
Das lässt sich im Moment des Vorfalls ohnehin selten sagen — und das zu klären ist nicht Ihre Aufgabe.
Ob aus einer Möglichkeit ein meldepflichtiger Vorfall wird, entscheidet der Datenschutzbeauftragte.
Für Sie zählt nur: Es war möglich, also wird gemeldet.
Warnzeichen,
die niemand ignorieren sollte
Nicht jede Panne kündigt sich mit einem lauten Knall an. Manche Zeichen sind subtil — und werden deshalb übersehen oder falsch gedeutet.
Direkte Anzeichen sind eindeutig:
Eine E-Mail landet beim falschen Empfänger und der bestätigt den Erhalt. Ein Kollege meldet, dass er Zugangsdaten auf einer fremden Seite eingegeben hat. Ein Gerät fehlt. Das System zeigt ungewöhnliche Aktivitäten oder ein Login von einem Standort, der nicht stimmt.
Indirekte Warnzeichen sind subtiler.
Das System reagiert langsam oder reagiert gar nicht, obwohl es eben noch funktioniert hat. Eine Software startet, die niemand geöffnet hat. Dateien tauchen auf oder verschwinden, ohne dass jemand daran gearbeitet hat. Ein Kollege berichtet von einer merkwürdigen E-Mail im Namen des Unternehmens — von einem Absender, der intern gar nicht existiert.
Die Fachsprache nennt solche Zeichen „Indicators of Compromise" (IOC) — Hinweise darauf, dass ein System möglicherweise kompromittiert wurde.
Vereinfacht gesagt:
alles, was sich anders verhält als normal, ist einen zweiten Blick wert. Das gilt besonders für Zugriffsprotokolle, ungewöhnliche Anmeldeversuche und plötzliche Änderungen an Systemkonfigurationen.
Die Grundregel lautet:
Im Zweifel melden.
Wer sich fragt, ob etwas eine Panne sein könnte,
hat damit bereits genug Grund, intern zu eskalieren.
Intern melden heißt:
sofort und direkt
und nicht nach dem Wochenende
Wenn der Verdacht aufkommt, gilt eine einzige Priorität: Die zuständige Stelle im Unternehmen informieren. Das ist in der Regel der Datenschutzbeauftragte, die IT-Abteilung oder die direkte Führungskraft — je nachdem, was das interne Notfallprotokoll vorsieht.
Was danach passiert, ist Aufgabe dieser Stelle. Bewertung, Eskalation zur Aufsichtsbehörde, Betroffene informieren — das alles liegt nicht in Ihrer der Verantwortung. Ihre Aufgabe endet mit der internen Meldung.
Konkret heißt das:
Die Panne muss intern gemeldet werden,
bevor die Details klar sind
Das Bewerten ist Aufgabe des Datenschutzbeauftragten.
72 StundenDie Uhr läuft für den Betrieb, nicht für den Einzelnen
Wer intern Bescheid gibt, gibt damit dem Unternehmen Zeit. Denn nach Artikel 33 DSGVO muss der Verantwortliche — also das Unternehmen — eine meldepflichtige Datenpanne binnen 72 Stunden nach Kenntnis an die zuständige Datenschutzaufsichtsbehörde melden.
72 Stunden
Das klingt nach viel. Tatsächlich vergeht die Zeit schnell. Zunächst muss das Unternehmen überhaupt verstehen, was passiert ist. Dann muss bewertet werden, ob die Panne meldepflichtig ist. Dann muss die Meldung vorbereitet und abgesetzt werden. All das ist nur möglich, wenn der interne Alarm früh ausgelöst wird.
Die Zählung beginnt nicht mit der Panne selbst, sondern mit dem Zeitpunkt der Kenntnis. Wenn ein Mitarbeitender am Montag einen Verdacht hat und ihn erst am Donnerstag meldet, hat das Unternehmen de facto keine Zeit mehr. Der Mitarbeitende hat mit seinem Schweigen den Zeitpuffer des Unternehmens aufgebraucht.
Verspätete Meldungen sind ein eigenständiger Bußgeld-Tatbestand nach DSGVO. Das bedeutet: Selbst wenn die Panne inhaltlich harmlos war, kann das Zögern bei der Meldung zu einem eigenständigen Verstoß führen.
Vertuschen kostet mehr als melden — immer
Die Überlegung, eine Panne unter den Tisch fallen zu lassen, ist menschlich. Niemand möchte derjenige sein, der das Problem ausgelöst hat. Aber die Rechnung geht nicht auf.
Aufsichtsbehörden unterscheiden bei Bußgeldbescheiden regelmäßig danach, ob ein Unternehmen kooperiert hat oder ob es die Panne verschwiegen hat. Wer meldet, kann die Zusammenarbeit und das ergriffene Krisenmanagement als mildernde Umstände geltend machen. Wer vertuscht, und bei dem es trotzdem auffliegt, steht mit dem schlechtesten Blatt.
Hinzu kommt: Pannen kommen meistens ans Licht. Betroffene berichten von seltsamen Phishing-Mails, die auf ihre Daten abgestimmt scheinen. Kunden fragen nach, warum ihre Daten bei einer anderen Firma aufgetaucht sind. Ein Suchmaschinen-Crawler indexiert Seiten, die nie öffentlich sein sollten. Und die Lücke später zu schließen, macht den Vorfall nicht ungeschehen: Was in der Zwischenzeit abgerufen, gespeichert oder weitergegeben wurde, lässt sich nicht zurückholen.
Das interne Melden einer Datenpanne ist kein Eingeständnis von Schuld. Es ist das Auslösen eines professionellen Krisenprotokolls — und das ist genau der Sinn einer internen Meldekette.
Wer nichts sagt, entscheidet allein — und trägt das Risiko allein
Am Ende ist die Kernfrage einfach: Wer soll entscheiden, ob eine Panne meldepflichtig ist?
Die Antwort lautet: nicht der Mitarbeitende.
Diese Beurteilung erfordert Kenntnis der Datenschutzgesetze, der betroffenen Datenkategorien, des Risikoniveaus und der Meldefristen. Dafür gibt es im Unternehmen Zuständige.
Der Mitarbeitende, der eine Panne nicht meldet, übernimmt stillschweigend eine Entscheidung, die er weder rechtlich noch fachlich verantworten kann. Und wenn später herauskommt, dass er wusste und geschwiegen hat, ist das genau der Moment, in dem aus einem Datenschutzvorfall ein Compliance-Problem für die Person wird.
Zurück zu Sven
Sven hat an jenem Morgen den entscheidenden Anruf gemacht. Drei Minuten, eine klare Beschreibung — und der Rest war in den Händen der richtigen Leute gelegt.
Das war der Moment, auf den es ankam - und Sven hat richtig gehandelt.
