Von allen Pflichten, die nach einem IT-Sicherheitsvorfall greifen, ist diese die unbekannteste und zugleich die mit der kürzesten Frist: 72 Stunden, um die zuständige Datenschutzbehörde zu informieren. Artikel 33 der DSGVO, gültig unabhängig von der Unternehmensgröße.

Drei Tage klingen nach viel. In der Praxis sind sie es nicht — weil die Uhr zu einem Zeitpunkt startet, an dem noch niemand weiß, was eigentlich passiert ist.

Wann die Uhr zu laufen beginnt

Die Frist startet mit der Kenntnis des Vorfalls. Nicht mit dem Abschluss der Analyse, nicht mit der Bestätigung durch einen Dienstleister, nicht am nächsten Werktag.

Kenntnis bedeutet dabei nicht Gewissheit. Es genügt, dass mit hinreichender Wahrscheinlichkeit ein Sicherheitsvorfall vorliegt, der personenbezogene Daten betrifft. Der Erpresserbildschirm am Freitagabend um 18 Uhr ist Kenntnis. Die Frist endet dann Montagabend — mitten im Wochenende, an dem niemand erreichbar ist.

Genau deshalb ist die Frage „Wer entscheidet am Wochenende?” keine Formalie, sondern der Unterschied zwischen fristgerecht und verspätet.

Eine kurze Plausibilitätsprüfung ist erlaubt: Wenn die IT eine Meldung prüft und nach zwei Stunden feststellt, dass es ein Fehlalarm war, ist keine Kenntnis eingetreten. Was nicht geht, ist die Prüfung tagelang zu strecken, um den Fristbeginn hinauszuschieben.

Melden müssen Sie fast immer

Die DSGVO formuliert es andersherum als erwartet: Gemeldet wird grundsätzlich, es sei denn, der Vorfall führt voraussichtlich nicht zu einem Risiko für die Betroffenen.

Diese Ausnahme ist enger, als sie klingt. Betroffen sind schon Kunden-, Mitarbeiter-, Bewerber-, Gesundheits- und Zahlungsdaten. Und es zählt nicht nur der Abfluss von Daten — auch der bloße Zugriff oder ihr Verlust ist ein Vorfall. Eine Ransomware, die alles verschlüsselt und nichts abfließen lässt, ist ein Verlust der Verfügbarkeit und damit meldepflichtig.

Wer sich auf die Ausnahme berufen will, sollte das begründen können. Im Zweifel ist die Meldung der sichere Weg.

Was in die Meldung gehört

Die DSGVO nennt vier Punkte:

  1. Art des Vorfalls — was ist passiert, welche Kategorien von Daten und wie viele Betroffene ungefähr
  2. Ansprechpartner — Datenschutzbeauftragte oder eine andere Kontaktstelle
  3. Wahrscheinliche Folgen für die Betroffenen
  4. Ergriffene und geplante Maßnahmen, einschließlich Maßnahmen zur Schadensbegrenzung

Die Meldung geht an die Aufsichtsbehörde des Bundeslandes, in dem Ihr Unternehmen seinen Sitz hat. Alle Landesbehörden stellen dafür Online-Formulare bereit. Es lohnt sich, den Link vorher zu kennen — Sie werden ihn im Ernstfall nicht in Ruhe suchen wollen.

Unvollständig melden ist ausdrücklich erlaubt

Das ist der Punkt, der am meisten Druck herausnimmt: Wenn nicht alle Informationen vorliegen, dürfen Sie schrittweise melden. Erst das, was Sie wissen, den Rest später.

Damit ist das häufigste Argument entkräftet — „wir wissen doch noch gar nicht, was passiert ist”. Genau dafür ist die Regelung da. Eine fristgerechte Meldung mit Lücken ist rechtlich unproblematisch. Eine vollständige Meldung nach fünf Tagen ist eine Fristverletzung.

Wenn die 72 Stunden doch überschritten werden, muss die Verzögerung begründet werden. Auch dann gilt: melden, nicht schweigen.

Wann auch die Betroffenen informiert werden müssen

Bei hohem Risiko für die betroffenen Personen kommt eine zweite Pflicht hinzu: Sie müssen diese selbst benachrichtigen, und zwar unverzüglich. Das ist Artikel 34.

Hohes Risiko liegt zum Beispiel nahe, wenn Zahlungsdaten, Gesundheitsdaten oder Zugangsdaten betroffen sind — also überall dort, wo aus dem Vorfall ein konkreter Schaden für die Person folgen kann.

Es gibt Ausnahmen. Die praktisch wichtigste: Waren die Daten wirksam verschlüsselt und ist der Schlüssel nicht kompromittiert, entfällt die Benachrichtigung der Betroffenen in der Regel. Das ist einer der wenigen Fälle, in denen sich konsequente Verschlüsselung unmittelbar auszahlt.

Die Pflicht, die alle vergessen

Auch wenn Sie zu dem Schluss kommen, dass nicht gemeldet werden muss, sind Sie nicht fertig: Jeder Vorfall ist zu dokumentieren — Sachverhalt, Auswirkungen, ergriffene Maßnahmen und die Begründung, warum keine Meldung erfolgte.

Diese Dokumentation ist der Nachweis gegenüber der Behörde. Ohne sie steht im Nachhinein Aussage gegen Aussage, und die Beweislast liegt bei Ihnen.

Wenn der Vorfall beim Dienstleister passiert

Läuft Ihre IT bei einem externen Anbieter — Cloud, Hosting, Managed Service — bleiben Sie der Verantwortliche gegenüber der Behörde. Der Dienstleister ist Auftragsverarbeiter und muss Sie unverzüglich informieren; melden müssen Sie.

Das heißt: Ihre Frist hängt an der Reaktionsgeschwindigkeit eines Dritten. Prüfen Sie, was Ihr Auftragsverarbeitungsvertrag dazu sagt und ob dort eine konkrete Benachrichtigungsfrist steht. Steht dort nur „unverzüglich”, ist das im Ernstfall wenig wert.

Was jetzt griffbereit sein sollte

Vier Dinge, die im Ernstfall Zeit sparen und die Sie heute in einer halben Stunde zusammenstellen können:

Das ist kein Projekt. Das ist ein Blatt Papier.

Für den Ernstfall: Notfall-Checkliste

Sicherheit endet nicht bei der Konfiguration. Für Unternehmen ohne eigene IT-Abteilung habe ich zusammengeschrieben, was in den ersten 60 Minuten nach einem Sicherheitsvorfall zu tun ist — zwei Seiten PDF, kostenlos, ohne Anmeldung. Zum Weitergeben an Geschäftsführung, Kunden oder den Betrieb nebenan.

→ Zur Notfall-Checkliste

Dieser Artikel ersetzt keine individuelle Rechts- oder IT-Sicherheitsberatung und erhebt keinen Anspruch auf Vollständigkeit. Ob im Einzelfall eine Meldepflicht besteht, ist rechtlich zu prüfen.