Eine Datensicherheitsverletzung liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet, verändert oder Unbefugten offengelegt beziehungsweise zugänglich gemacht werden. Dazu zählen nicht nur Hackerangriffe. Auch ein falsch adressiertes E-Mail, ein verlorenes Gerät oder eine fehlerhafte Freigabe kann betroffen sein.

Unternehmen müssen den Vorfall zuerst eindämmen und gleichzeitig beurteilen, welche Personen und Daten betroffen sind. Die technische Störung und die datenschutzrechtliche Bewertung laufen parallel.

Die ersten Schritte

Nach der Entdeckung sollten Verantwortliche:

1. den Vorfall eindämmen, ohne unnötig Spuren zu zerstören,

2. Zeitpunkt, Meldung und erste Beobachtungen dokumentieren,

3. betroffene Systeme, Datenarten und Personengruppen eingrenzen,

4. unbefugte Zugriffe, Veränderung oder Veröffentlichung prüfen,

5. mögliche Folgen für betroffene Personen bewerten,

6. Datenschutz-, Rechts- und IT-Verantwortliche einbeziehen,

7. über Meldung und Information entscheiden.

Ein vorbereiteter IT-Notfall- und Krisenplan verkürzt diese Abstimmung. Er sollte festlegen, wer die technische Lage beurteilt, wer die Risikobewertung verantwortet und wer nach aussen kommuniziert.

Wann der EDÖB informiert werden muss

Nach Art. 24 DSG muss der Verantwortliche eine Verletzung dem EDÖB so rasch als möglich melden, wenn sie voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte der betroffenen Personen führt. Der Leitfaden des EDÖB zu Datensicherheitsverletzungen nennt dafür unter anderem folgende Kriterien:

  • Art und Schutzwürdigkeit der Daten,
  • mögliche Schwere der Folgen,
  • Umstände und Ursache der Verletzung,
  • Anzahl und Situation der Betroffenen,
  • Aufwand, mit dem Personen identifiziert werden können,
  • wirksame Verschlüsselung und bereits getroffene Sofortmassnahmen.

Absolute Gewissheit ist keine Voraussetzung. Wenn ein hohes Risiko voraussichtlich besteht und nicht kurzfristig ausgeschlossen werden kann, darf die Meldung nicht wegen langwieriger Abklärungen verzögert werden. Fehlende Angaben können nachgereicht werden.

Wann betroffene Personen informiert werden

Die Information der Betroffenen ist von der Meldung an den EDÖB zu unterscheiden. Betroffene Personen müssen informiert werden, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Die Mitteilung sollte verständlich erklären, was passiert ist, welche Daten betroffen sein können und welche eigenen Schutzmassnahmen sinnvoll sind.

Eine vorschnelle oder unklare Nachricht kann zusätzliche Verunsicherung schaffen. Schweigen ist aber keine Lösung, wenn Betroffene beispielsweise Passwörter ändern, Karten sperren oder mit gezielten Betrugsversuchen rechnen müssen.

Auftragsbearbeiter und weitere Meldestellen

Ein externer Auftragsbearbeiter muss den verantwortlichen Auftraggeber über jede Datensicherheitsverletzung informieren. Die Entscheidung über eine Pflichtmeldung an den EDÖB liegt danach beim Verantwortlichen.

Je nach Vorfall können zusätzlich Meldungen an das BACS, Polizei, Versicherer, Vertragspartner oder branchenspezifische Stellen nötig oder sinnvoll sein. Diese Wege ersetzen einander nicht. Der BACS-Notfallprozess und die datenschutzrechtliche Meldung verfolgen unterschiedliche Zwecke.

Nach dem Vorfall

Nach Eindämmung und Wiederherstellung braucht es eine dokumentierte Nachbearbeitung: Ursache, Zeitlinie, Entscheidungen, Schutzmassnahmen und erkannte Lücken. Danach werden Berechtigungen, Prozesse, Backup und Schulung angepasst.

Diese Seite bietet eine betriebliche Orientierung und keine Rechtsberatung. Bei unklarer Meldepflicht oder erheblichen Folgen sollte früh fachlicher Rechtsrat einbezogen werden.

Merksatz

Bei einer Datensicherheitsverletzung zählen Eindämmung, nachvollziehbare Fakten und eine rasche Risikobeurteilung. Die Frage lautet nicht nur, was dem Unternehmen passiert ist, sondern welcher Schaden betroffenen Personen entstehen kann.