Datenpanne: Was in den ersten 24 Stunden zu tun ist

Eine Datenpanne kündigt sich nicht an: ein Ransomware-Angriff am frühen Morgen, eine E-Mail mit Daten von hundert Kunden, die an den falschen Empfänger gesendet wurde, ein verschwundener Laptop mit der Kundendatenbank. Die ersten 24 Stunden nach der Entdeckung einer Verletzung des Schutzes personenbezogener Daten entscheiden über fast alles: das Ausmaß des Schadens, die Qualität der Meldung an den Garante und die Fähigkeit, im Nachhinein nachzuweisen, dass man richtig gehandelt hat. Hier erfahren Sie, was in der richtigen Reihenfolge zu tun ist.

Stunde Null: Eindämmen, ohne Beweise zu zerstören

Die oberste Priorität ist, die Ausbreitung zu stoppen: kompromittierte Systeme isolieren, verdächtige Zugangsdaten widerrufen, anomale Zugriffe blockieren, falls möglich, die fehlerhafte Kommunikation zurückrufen. Aber Vorsicht vor dem Instinkt, alles zu bereinigen: Logs, Systemabbilder und Nachrichten sind die Beweismittel, die benötigt werden, um zu verstehen, was passiert ist, und um die Handhabung zu dokumentieren. Eindämmen ja, löschen nein. Ist ein IT-Dienstleister involviert, ist dieser umgehend einzubeziehen, mit einer klaren Anweisung: Beweismittel sichern, während die Eindämmung erfolgt. Von Anfang an empfiehlt es sich, ein Incident-Tagebuch zu führen: wer was wann auf der Grundlage welcher Informationen getan hat. Dieses Tagebuch wird im Nachhinein von unschätzbarem Wert sein.

Die ersten Stunden: Verstehen, was wirklich passiert ist

Eine korrekte Meldung erfordert zunächst Verständnis. Die Fragen, die in den ersten Stunden beantwortet werden müssen, sind konkret: Welche Datenkategorien sind betroffen, und gibt es besondere Daten wie Gesundheitsdaten? Wie viele betroffene Personen gibt es, und wer sind sie: Mitarbeiter, Kunden, Minderjährige? Betrifft die Verletzung die Vertraulichkeit, Integrität oder Verfügbarkeit der Daten? Waren die Daten verschlüsselt oder anderweitig geschützt? Ist das Ereignis abgeschlossen oder noch im Gange? Von diesen Antworten hängt die Risikobewertung für die betroffenen Personen ab, was das Kriterium ist, nach dem die Verordnung unterscheidet, was gemeldet werden muss und was nur zu dokumentieren ist. Die Bewertung muss schriftlich erfolgen, nicht nur gedanklich: Sie ist das Erste, was erneut gelesen wird.

Wen man sofort einbeziehen sollte

• die Unternehmensleitung: Die Handhabung einer Datenpanne ist eine Entscheidung des Verantwortlichen, nicht der IT-Abteilung;
• der Datenschutzbeauftragte (DSB), falls ernannt: Das ist seine Aufgabe, und er sollte von der ersten Stunde an involviert werden, nicht erst, wenn Entscheidungen getroffen sind;
• die interne IT und die beteiligten technischen Dienstleister, für Eindämmung und Analyse;
• die Rechtsabteilung oder der Datenschutzberater, für die Risikobewertung und die Meldung;
• die Personalabteilung und die interne Kommunikation, wenn Mitarbeiterdaten betroffen sind;
• gegebenenfalls die Versicherung, falls eine Cyber-Police mit Aktivierungspflichten besteht.

Wenige Personen, klare Rollen, ein einziger Koordinator: In Krisensituationen kostet die Verwirrung der Rollen mehr als die Verletzung selbst.

Der Zeitplan für die 72 Stunden

Art. 33 der Verordnung (EU) 2016/679 verlangt, dass die Verletzung unverzüglich und, soweit möglich, binnen 72 Stunden, nachdem dem Verantwortlichen die Verletzung bekannt wurde, dem Garante gemeldet wird, es sei denn, es ist unwahrscheinlich, dass die Verletzung ein Risiko für die Rechte und Freiheiten der Personen darstellt. Drei praktische Hinweise. Erstens: Die Frist beginnt mit dem Zeitpunkt der Kenntnisnahme der Verletzung, weshalb ein internes Verfahren erforderlich ist, das Meldungen sofort an die Entscheidungsbefugten weiterleitet. Zweitens: Wenn noch nicht alle Elemente vorliegen, ist eine stufenweise Meldung möglich, bei der die Informationen später ergänzt werden; alles abzuwarten, ist der klassische Fehler. Drittens: Ist das Risiko für die betroffenen Personen hoch, verpflichtet Art. 34 auch zur Benachrichtigung der betroffenen Personen in klarer Sprache. Und wenn man zu dem Schluss kommt, dass das Risiko unwahrscheinlich ist und keine Meldung erfolgt, muss die Verletzung dennoch dokumentiert und die Entscheidung begründet werden: Die Beweispflicht bleibt bestehen.

Der Unterschied liegt in der Vorbereitung

Wer über ein Verfahren zur Handhabung von Verletzungen, zugewiesene Rollen und ein Risikobewertungsmodell verfügt, managt die ersten 24 Stunden methodisch; wer dies nicht hat, improvisiert unter Zeitdruck. PL Consulting unterstützt Organisationen bei der Handhabung von Verletzungen und bei der präventiven Vorbereitung: Entdecken Sie den speziellen Service für Datenpannen und kontaktieren Sie uns, bevor es wirklich nötig ist.

Hinweis: Jede Verletzung erfordert eine spezifische Risikobewertung und daraus resultierende Pflichten. Dieser Artikel dient allgemeinen Informationszwecken und ersetzt keine professionelle Bewertung des konkreten Falls. Artikel aktualisiert im Juli 2026.