Datenabfluss melden: Umfang klären, Betroffene informieren, Fristen halten
Abgeflossene Daten lassen sich nicht zurückholen. Was Sie steuern können, ist der Umgang damit: schnell klären, was betroffen ist, fristgerecht melden, Betroffene ehrlich informieren und alles dokumentieren. Diese Seite führt durch die Schritte und zeigt, wie eine Meldung aufgebaut ist.
- 72 h Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO, ab Kenntnis
- Art. 34 Information der Betroffenen bei voraussichtlich hohem Risiko
- 24 h NIS2-Erstmeldung an das BSI für betroffene Einrichtungen
- Alles dokumentieren, auch die Entscheidung gegen eine Meldung
Umfang klären: Was ist tatsächlich abgeflossen?
Die Frage klingt einfach, ist aber am Anfang selten zu beantworten. Arbeiten Sie in Stufen und melden Sie mit dem Stand, den Sie haben.
-
Erreichte Systeme benennen
Welche Server, Freigaben, Postfächer, Datenbanken oder Cloud-Dienste hatten die Angreifer erreicht? Die Forensik liefert die Antwort aus Anmeldeprotokollen, Dateizugriffen und Spuren auf den Systemen. Bis dahin gilt: Alles, was erreichbar war, könnte betroffen sein.
-
Ausgehende Datenmengen prüfen
Firewall, Proxy, VPN-Gateway und Cloud-Dienste protokollieren, wie viel Daten wohin geflossen sind. Ungewöhnlich große Übertragungen zu unbekannten Zielen sind der erste Beleg für einen Abfluss. Sichern Sie diese Protokolle, bevor sie überschrieben werden.
-
Datenarten und Betroffene zuordnen
Welche Datenkategorien lagen auf den erreichten Systemen: Kundendaten, Personaldaten, Bewerbungen, Gesundheitsdaten, Zugangsdaten, Verträge? Wie viele Personen und wie viele Datensätze ungefähr? Das ist der Kern der Meldung.
-
Erpresserschreiben und Leak-Seiten auswerten
Angreifer nennen oft Dateilisten oder veröffentlichen Proben. Das ist kein vollständiges Bild, aber ein Hinweis. Beobachten Sie die Leak-Seite der Gruppe, am besten über Forensik oder Versicherer, nicht mit eigenen Systemen.
Die Frist läuft ab Kenntnis der Verletzung, nicht ab vollständiger Aufklärung. Wer wartet, bis alles klar ist, meldet zu spät. Wer früh meldet, darf und muss nachreichen.
Betroffene identifizieren und Risiko einschätzen
Von der Risikoeinschätzung hängt ab, ob Sie nur die Aufsicht oder auch die Betroffenen informieren müssen. Sie ist eine Bewertung, keine Rechenaufgabe, und sie gehört dokumentiert.
- Wer
Personengruppen
Kunden, Mitarbeitende, Bewerber, Lieferanten, Geschäftspartner, Website-Nutzer. Für jede Gruppe: Wie viele Personen, welche Datenarten, wie erreichen wir sie? Auch ehemalige Mitarbeitende und abgelehnte Bewerber zählen.
- Was
Sensible Datenarten
Zugangsdaten, Bankverbindungen, Ausweiskopien, Gesundheitsdaten, Gehaltsdaten, Sozialversicherungsnummern, Daten über Kinder. Diese Kategorien bedeuten in der Regel ein hohes Risiko und lösen die Informationspflicht nach Art. 34 aus.
- Folgen
Mögliche Schäden
Identitätsdiebstahl, Betrug, Phishing im Namen des Unternehmens, Rufschädigung, Diskriminierung, finanzielle Verluste. Je konkreter der Schaden für einzelne Personen, desto höher das Risiko und desto klarer die Pflicht zur Information.
Wer wann informiert werden muss
Ein Datenabfluss löst häufig mehrere Meldewege gleichzeitig aus. Die DSGVO ist der wichtigste, aber nicht der einzige.
| Pflicht | Empfänger | Frist | Inhalt |
|---|---|---|---|
| DSGVO Art. 33 | Zuständige Datenschutzaufsicht des Bundeslandes | Unverzüglich, spätestens 72 h nach Kenntnis | Art der Verletzung, Betroffene, Folgen, Maßnahmen; Nachreichen erlaubt |
| DSGVO Art. 34 | Betroffene Personen | Unverzüglich bei voraussichtlich hohem Risiko | Klare Sprache: Was passiert ist, mögliche Folgen, Empfehlungen, Kontaktstelle |
| DSGVO Art. 33 Abs. 2 | Verantwortlicher (bei Auftragsverarbeitung) | Unverzüglich | Auftragsverarbeiter melden an ihren Kunden, der die Aufsicht informiert |
| NIS2, § 32 BSIG | BSI | Erstmeldung 24 h, Meldung 72 h, Abschlussmeldung 1 Monat | Für besonders wichtige und wichtige Einrichtungen bei erheblichen Vorfällen |
| Verträge | Kunden, Auftraggeber, Partner | Laut Vertrag, häufig 24 bis 72 h | Auftragsverarbeitungsverträge, Lieferverträge, Geheimhaltungsvereinbarungen prüfen |
| Cyberversicherung | Versicherer laut Police | Laut Police | Schadenanzeige; oft Voraussetzung für Kostenübernahme von Forensik und Benachrichtigung |
| Strafanzeige | Zentrale Ansprechstelle Cybercrime (ZAC) | Keine Frist, zeitnah empfohlen | Angriff, Angreifergruppe, abgeflossene Datenarten |
So ist eine Meldung an die Aufsicht aufgebaut
Die Aufsichtsbehörden stellen Online-Formulare bereit, die sich an Art. 33 Abs. 3 DSGVO orientieren. Wer die Struktur kennt, sammelt die Informationen vom ersten Tag an richtig.
| Abschnitt | Inhalt | Hinweis für den Vorfall |
|---|---|---|
| Verantwortlicher | Unternehmen, Anschrift, Kontaktdaten des Datenschutzbeauftragten oder einer Anlaufstelle | Eine Person benennen, die Rückfragen der Aufsicht beantwortet |
| Zeitpunkte | Wann ist die Verletzung eingetreten, wann wurde sie erkannt, wann gemeldet | Uhrzeit der Kenntnis dokumentieren; bei Verspätung Begründung beifügen |
| Art der Verletzung | Vertraulichkeit (Abfluss), Verfügbarkeit (Verschlüsselung), Integrität (Veränderung), oft mehrere zugleich | Bei Ransomware mit Datenabfluss: Vertraulichkeit und Verfügbarkeit |
| Betroffene Personen | Kategorien und ungefähre Zahl der Betroffenen | Schätzung mit Bandbreite ist zulässig, später präzisieren |
| Betroffene Daten | Kategorien und ungefähre Zahl der Datensätze | Sensible Kategorien ausdrücklich nennen |
| Wahrscheinliche Folgen | Welche Risiken für die Betroffenen sich ergeben | Grundlage für die Entscheidung über Art. 34 |
| Maßnahmen | Was ergriffen wurde oder vorgeschlagen ist, um die Verletzung zu beheben und Folgen abzumildern | Eindämmung, Passwort-Resets, Forensik, Information der Betroffenen |
| Information der Betroffenen | Ob, wann und wie Betroffene informiert wurden oder werden | Bei Verzicht: Begründung |
Dokumentationspflicht: Art. 33 Abs. 5 DSGVO verlangt, jede Verletzung zu dokumentieren: Fakten, Auswirkungen, Abhilfemaßnahmen. Das gilt auch dann, wenn Sie nach Prüfung nicht melden. Die Aufsicht darf diese Dokumentation verlangen.
Kunden und Partner informieren
Neben der gesetzlichen Pflicht gibt es die vertragliche und die geschäftliche. Wer zuerst und ehrlich informiert, behält die Deutungshoheit. Wer wartet, wird von der Leak-Seite überholt.
-
Vertragliche Pflichten prüfen
Auftragsverarbeitungsverträge, Rahmenverträge und Geheimhaltungsvereinbarungen enthalten oft eigene Fristen und Formvorgaben für Sicherheitsvorfälle. Legen Sie am ersten Tag eine Liste der Verträge mit Meldeklauseln an und arbeiten Sie sie ab.
-
Eine Stimme, ein Stand
Eine abgestimmte Sprachregelung für alle Kanäle: Was ist passiert, was ist betroffen, was tun wir, was empfehlen wir, wann melden wir uns wieder. Keine Spekulation über Täter, keine Zusagen, die Forensik und Recht noch nicht decken.
-
Betroffene erreichen
Per E-Mail, wenn Adressen vorliegen und nicht selbst kompromittiert sind; sonst per Brief oder öffentlicher Mitteilung, wenn der Aufwand für Einzelinformation unverhältnismäßig wäre. Richten Sie eine Kontaktstelle für Rückfragen ein.
-
Mitarbeitende zuerst
Die eigene Belegschaft erfährt es vor Kunden und Öffentlichkeit. Sie ist oft selbst betroffen und wird von Kunden gefragt. Geben Sie ihr eine kurze, klare Information und die Regel, Anfragen an die Kontaktstelle zu leiten.
Vorbereitung zahlt sich aus: Wer Vorlagen für Aufsichtsmeldung, Betroffeneninformation und Kundenschreiben im Entwurf fertig hat, gewinnt im Vorfall Stunden. Wie eine Übung das trainiert, zeigt Notfallübung: Freitag, 17 Uhr.
Die anderen Fragen des Vorfalls
Was abgeflossen ist, weiß am Ende die Forensik. Und ob gezahlt wird, hängt auch davon ab. Beide Seiten gehören zusammen.
- Übersicht
Die ersten 24 Stunden
Eindämmen, Lagebild, Meldungen, Wiederanlaufplan: die Reihenfolge für den Vorfall auf der Startseite.
- Erpressung
Lösegeld zahlen oder nicht
Argumente, Risiken, rechtliche Fragen und der Entscheidungsprozess mit Geschäftsleitung, Versicherer und Anwalt.
- Forensik
Forensik und Beweissicherung
Wie Forensik den Umfang des Abflusses belegt, welche Logs zu sichern sind und wann externe Hilfe nötig ist.
Zum Datenabfluss
Müssen wir jeden Datenabfluss melden?
Nein. Die Meldung nach Art. 33 DSGVO ist erst dann nicht nötig, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Bei einem Angriff mit Datenabfluss ist das selten der Fall. Wenn Sie sich gegen eine Meldung entscheiden, dokumentieren Sie die Begründung. Auch das verlangt die DSGVO.
Wir wissen nach 72 Stunden noch nicht, welche Daten betroffen sind. Was jetzt?
Melden Sie trotzdem. Die DSGVO erlaubt ausdrücklich, Informationen schrittweise nachzureichen, wenn sie nicht gleichzeitig vorliegen. Eine vorläufige Meldung mit dem, was Sie wissen, ist besser als eine vollständige Meldung nach der Frist. Verspätung müssen Sie begründen.
Wann müssen wir die Betroffenen selbst informieren?
Nach Art. 34 DSGVO, wenn die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen hat, etwa bei Zugangsdaten, Bankverbindungen, Gesundheitsdaten oder Ausweiskopien. Die Information muss in klarer Sprache erfolgen und sagen, was passiert ist, welche Folgen möglich sind und was die Betroffenen tun können. Die Aufsicht kann die Information auch anordnen.
Wir sind Auftragsverarbeiter. Wer meldet?
Der Auftragsverarbeiter meldet die Verletzung unverzüglich an den Verantwortlichen, also an seinen Kunden. Die Meldung an die Aufsicht und die Information der Betroffenen ist Sache des Verantwortlichen. Die Fristen und den Umfang der Information regelt meist der Auftragsverarbeitungsvertrag; prüfen Sie ihn am ersten Tag.
Was hat NIS2 mit dem Datenabfluss zu tun?
Wenn Ihr Unternehmen als besonders wichtige oder wichtige Einrichtung unter NIS2 fällt, ist ein Angriff mit Datenabfluss in der Regel ein erheblicher Sicherheitsvorfall. Dann gilt zusätzlich § 32 BSIG: Erstmeldung an das BSI innerhalb von 24 Stunden, Meldung nach 72 Stunden, Abschlussmeldung nach einem Monat. Die DSGVO-Meldung an die Datenschutzaufsicht ersetzt das nicht.
Tobias Mogk
Daten abgeflossen und die Frist läuft?
Hinterlassen Sie Ihre Kontaktdaten, wir rufen zurück. Wir ordnen mit Ihnen, welche Meldungen fällig sind, was in die erste Meldung gehört und wie Sie Betroffene und Kunden informieren.
- Welche Meldewege für Ihren Fall gelten
- Was in die vorläufige Meldung gehört
- Wie Dokumentation und Kommunikation zusammenpassen
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen