Die 7 häufigsten Fehler von Unternehmen bei einer Datenschutzverletzung (aus Sicht eines DSB)

Eine Datenschutzverletzung ist der einzige Zeitpunkt im Rahmen der Compliance, bei dem die Zeit in Stunden gemessen und Entscheidungen mit unvollständigen Informationen getroffen werden. Als DSB habe ich solche Vorfälle verwaltet und deren Verwaltung beobachtet, und die Fehler von Unternehmen während einer Datenschutzverletzung sind vom kleinen Büro bis zum mittelständischen Unternehmen erstaunlich ähnlich. Diese sieben verursachen den größten Schaden.

1. Zuerst wird alles abgeschaltet

Die instinktive Reaktion auf einen Vorfall ist, alles abzuschalten: Server, Verbindungen, manchmal sogar den Strom. Verständlich, aber dies zerstört oft die Beweismittel, die benötigt würden, um zu verstehen, was passiert ist, seit wann und welche Daten betroffen sind. Ohne diese Beweismittel wird die Risikobewertung zu einer reinen Mutmaßung, und die Meldung wird ins Blaue hinein verfasst. Eindämmen bedeutet nicht abschalten; es bedeutet, zu isolieren und dabei Protokolle sowie Systeme für die Analyse zu erhalten. Der Unterschied zwischen diesen beiden Vorgehensweisen muss vorher entschieden werden, nicht um drei Uhr nachts.

2. Man wartet, „um es besser zu verstehen“

Die 72 Stunden für die Meldung an den Garante beginnen ab dem Zeitpunkt, an dem die Verletzung bekannt wird, nicht ab dem Zeitpunkt, an dem alles verstanden wurde. Ich habe Unternehmen gesehen, die drei Tage in Besprechungen verschwendeten, um ein vollständiges Bild zu erhalten, und die Frist ohne einen einzigen Entwurf erreichten. Die Verordnung sieht es ausdrücklich vor: Man kann Meldungen in Phasen vornehmen und Informationen nach und nach ergänzen. Eine ehrliche und unvollständige Erstmeldung ist besser als eine verspätete und perfekte; letztere ist dennoch ein Verstoß.

3. Niemand weiß, wer entscheidet

Die Datenschutzverletzung tritt traditionell am Freitagabend ein. Die IT sagt, der Verantwortliche entscheidet, der Verantwortliche ist unterwegs, der DSB wird gesucht, aber niemand hat seine Nummer, der Dienstleister wartet auf Anweisungen. Die ersten, wertvollsten Stunden vergehen damit, zu entscheiden, wer entscheidet. Ein Verfahren zur Behandlung von Datenschutzverletzungen kann zwei Seiten lang sein, muss aber eines klar festlegen: wer bewertet, wer über die Meldung entscheidet, wer mit externen Stellen kommuniziert und die Telefonnummern aller Beteiligten.

4. Man meldet alles oder nichts

Es gibt zwei gegensätzliche Herangehensweisen, die beide fehlerhaft sind: entweder wird alles gemeldet, um auf der sicheren Seite zu sein, oder es wird nie etwas gemeldet, um keine Aufmerksamkeit zu erregen. Die DSGVO verlangt etwas anderes: das Risiko für die betroffenen Personen von Fall zu Fall zu bewerten und die Bewertung zu dokumentieren. Alles zu melden zeigt, dass Sie nicht bewerten können; nichts zu melden, wenn der Vorfall dann auf anderem Wege bekannt wird, verwandelt ein technisches Problem in ein Sanktionsproblem. Die dokumentierte Bewertung ist der beste Schutz in beide Richtungen.

5. Man vergisst das interne Register

Auch nicht gemeldete Verletzungen müssen im internen Verzeichnis der Verletzungen dokumentiert werden, mit der Bewertung und den Gründen für die Entscheidung: Dies verlangt Art. 33 Abs. 5 der DSGVO. Und es ist das Erste, wonach die Behörde bei einer Prüfung fragt. Ein leeres Verzeichnis nach Jahren der Tätigkeit beweist nicht, dass nie etwas passiert ist; es beweist, dass niemand Aufzeichnungen führte. Und es macht selbst die richtige Entscheidung, nicht zu melden, unverteidigbar.

6. Mitteilungen an die Betroffenen, im Panikmodus verfasst

Wenn das Risiko hoch ist, müssen die betroffenen Personen benachrichtigt werden, und hier habe ich alles Mögliche gelesen: unverständliche E-Mails voller Fachbegriffe, Mitteilungen, die so sehr verharmlosen, dass sie wie Werbung wirken, zweiseitige Rechtstexte ohne eine einzige praktische Anweisung. Die betroffene Person muss drei Dinge verstehen: was passiert ist, welches Risiko besteht, und was sie jetzt tun muss. Einen Kommunikationsentwurf in Ruhe zu verfassen, bevor er benötigt wird, ist eine der besten Investitionen, die man an einem Nachmittag tätigen kann.

7. Der IT-Dienstleister, der „repariert“, bevor er dokumentiert

Der tüchtige und engagierte Techniker, der den kompromittierten Server formatiert und das Backup in der Nacht wiederherstellt: Schade nur, dass am Morgen niemand mehr weiß, welche Daten betroffen waren, wie lange der unberechtigte Zugriff dauerte oder ob etwas abhanden gekommen ist. Die Wiederherstellung hat die Antworten auf alle Fragen der Meldung gelöscht. Der Dienstleister muss vorher angewiesen werden, vertraglich und operativ: Im Falle eines Vorfalls wird zuerst gesichert und dokumentiert, dann wiederhergestellt. Und er muss Sie unverzüglich benachrichtigen, nicht erst nach Abschluss der Arbeiten.

Die wahre Vorbereitung geschieht vorher

Die Bewältigung einer Datenschutzverletzung wird fast vollständig vor dem Vorfall entschieden: Verfahren, Rollen, erreichbare Kontakte, fertige Entwürfe, unterwiesene Dienstleister. Wenn Sie heute nicht sagen könnten, wer in den ersten sechs Stunden was tut, ist es der richtige Zeitpunkt, Abhilfe zu schaffen: Schauen Sie sich unseren Service zur Verwaltung von Datenschutzverletzungen an und beginnen Sie mit einer Gap-Analyse Ihrer Reaktionsfähigkeit. Die 72 Stunden vergehen schnell, besonders wenn sie am Freitagabend beginnen.

Hinweis: Die hier gemachten Beobachtungen basieren auf der Erfahrung als DSB und in der Beratung, sind allgemeingültig und stellen keine Rechtsberatung dar; jede Verletzung muss in ihrem jeweiligen Kontext bewertet werden. Artikel aktualisiert im Juli 2026.