Unbeabsichtigte Datenpanne am Arbeitsplatz: Was in den ersten 72 Stunden zu tun ist

Wenn Sie bei der Arbeit versehentlich eine Datenpanne verursachen, melden Sie diese unverzüglich intern – in der Regel Ihrem Vorgesetzten, dem IT-Team oder dem Datenschutzbeauftragten. Versuchen Sie nicht, das Problem stillschweigend zu beheben, und warten Sie nicht ab, bis Sie wissen, wie schwerwiegend der Vorfall ist. Im Vereinigten Königreich und in der EU hat eine Organisation 72 Stunden ab dem Zeitpunkt, an dem sie von einer Datenschutzverletzung Kenntnis erlangt, Zeit, die Datenschutzbehörde zu benachrichtigen, wenn Personen gefährdet sind. In den USA hängen die Fristen vom jeweiligen Bundesstaat und der Branche ab, doch die Frist beginnt ebenfalls zu laufen, sobald die Organisation davon Kenntnis erlangt. Jede Stunde, die ein Mitarbeiter zögert, verkürzt diese Frist.

Die meisten Datenschutzverletzungen sind nicht das Werk von Hackern. Sie beginnen mit einem ganz gewöhnlichen Fehler: einer E-Mail, die an die falsche Person gesendet wurde, einer versehentlich angehängten Tabelle oder einem im Zug vergessenen Laptop. Dieser Artikel erläutert, was als Datenschutzverletzung gilt, zeigt gängige Beispiele auf, führt Schritt für Schritt durch die ersten 72 Stunden, erläutert die Meldepflichten in Großbritannien, der EU und den USA und erklärt, wie sichergestellt werden kann, dass Fehler gemeldet statt vertuscht werden.

Was gilt als Datenschutzverletzung?

Eine Verletzung des Schutzes personenbezogener Daten ist jeder Sicherheitsvorfall, der dazu führt, dass personenbezogene Daten verloren gehen, zerstört, verändert, offengelegt oder unbefugt abgerufen werden. Dabei spielt es keine Rolle, ob dies vorsätzlich oder versehentlich geschah, und es muss sich nicht unbedingt um einen Cyberangriff handeln. Wenn die falsche Person Daten über eine andere Person einsehen, ändern oder verlieren könnte, handelt es sich um eine Verletzung des Schutzes personenbezogener Daten.

Bei einer Sicherheitsverletzung geht es zudem nicht nur um Datenlecks. Auch das Löschen einer Kundendatei ohne Sicherungskopie oder der Verlust des Zugriffs auf Daten durch Ransomware zählt dazu, da die Daten für die Personen, die sie benötigen, nicht mehr verfügbar sind. Viele der größten Vorfälle, wie beispielsweise jene in unserer Übersicht über die größten Cyberangriffe in den Niederlanden, begannen genau mit einer solchen Verletzung der Datenverfügbarkeit.

Häufige Beispiele für unbeabsichtigte Datenlecks am Arbeitsplatz

• E-Mail an den falschen Empfänger. Die Autovervollständigung wählt die falsche „Sarah“ aus, und eine Übersicht über die Gehaltsabrechnung landet außerhalb des Unternehmens. Datenschutzbehörden auf beiden Seiten des Atlantiks zählen fehlgeleitete E-Mails zu den häufigsten Ursachen für gemeldete Datenschutzverletzungen.
• CC statt BCC. Ein Newsletter oder eine Kundeninformation wird so versendet, dass die E-Mail-Adressen aller Empfänger für alle anderen sichtbar sind.
• Der falsche Anhang. Jemand möchte eigentlich eine Vorlage verschicken, versendet aber stattdessen die ausgefüllte Version mit Namen, Adressen oder medizinischen Angaben.
• Ein zu offener Freigabelink. Ein Dokument wird für „jeden mit dem Link“ freigegeben, und der Link landet schließlich in einer weitergeleiteten E-Mail oder einem öffentlichen Kanal.
• Verlorene oder gestohlene Geräte. Ein unverschlüsselter Laptop, ein Smartphone oder ein USB-Stick verschwindet auf dem Heimweg.
• Papier und Bildschirme. Ausdrucke, die auf dem Drucker liegen geblieben sind, Dateien in einem Müllsack, ein Bildschirm, auf dem Kundendaten für Besucher sichtbar sind.
• Man fällt auf eine Phishing-E-Mail herein. Ein Mitarbeiter gibt seine Anmeldedaten auf einer gefälschten Seite ein, und ein Angreifer erhält Zugriff auf ein Postfach voller personenbezogener Daten.

Was ist in den ersten 72 Stunden nach einer Datenpanne zu tun?

1. Melden Sie den Vorfall unverzüglich intern. Der Mitarbeiter, der den Fehler bemerkt hat, informiert seinen Vorgesetzten, die IT-Abteilung oder den Datenschutzbeauftragten. Die gesetzlichen Fristen beginnen ab dem Zeitpunkt, an dem die Organisation davon Kenntnis erlangt; daher ist jeder Tag, an dem innerhalb des Teams Stillschweigen herrscht, ein verlorener Tag.
2. Den Schaden begrenzen. Rufen Sie die E-Mail nach Möglichkeit zurück, bitten Sie den Empfänger, sie zu löschen und dies schriftlich zu bestätigen, widerrufen Sie den Freigabelink, löschen Sie die Daten auf dem verlorenen Gerät aus der Ferne oder setzen Sie das kompromittierte Passwort zurück.
3. Stellen Sie fest, was passiert ist. Um welche Daten handelte es sich, wie viele Personen sind betroffen, wie sensibel sind diese Daten und wer könnte sie eingesehen haben? Daten aus den Bereichen Gesundheit, Finanzen und Kinder haben ein höheres Gewicht.
4. Bewerten Sie das Risiko für die betroffenen Personen. Könnte dies zu Identitätsbetrug, Diskriminierung, finanziellen Verlusten oder psychischen Belastungen führen? Diese Bewertung entscheidet darüber, ob Sie gemäß den nachstehend erläuterten Vorschriften eine Aufsichtsbehörde und die betroffenen Personen benachrichtigen müssen.
5. Melden Sie den Vorfall, sofern dies erforderlich ist. Reichen Sie die Meldung fristgerecht ein, auch wenn noch nicht alle Einzelheiten bekannt sind; in der Regel können Sie Informationen später ergänzen. Informieren Sie die betroffenen Personen darüber, was passiert ist und was sie tun können, um sich zu schützen.
6. Halten Sie den Vorfall fest, auch wenn Sie ihn nicht melden. Führen Sie ein internes Protokoll über jeden Datenschutzverstoß, in dem Sie die Fakten, die Auswirkungen und die von Ihnen ergriffenen Maßnahmen festhalten. Gemäß der DSGVO ist dies verpflichtend, auch für Datenschutzverstöße, die Sie nicht melden möchten.
7. Ziehen Sie daraus Lehren. Finden Sie die Ursache und beheben Sie das Problem: eine Einstellung für die Autovervollständigung, eine Richtlinie zur Weitergabe von Informationen oder Phishing-Simulationen für das Team, das auf die gefälschte Anmeldeseite hereingefallen ist.

Vorschriften zur Meldung von Datenschutzverletzungen im Vereinigten Königreich, in der EU und in den USA

Die oben genannten Schritte gelten überall, doch die gesetzlichen Fristen und die Frage, wem Sie Bericht erstatten müssen, hängen davon ab, wo Sie tätig sind und in welcher Branche Sie tätig sind.

• Vereinigtes Königreich. Gemäß der britischen DSGVO muss eine Datenschutzverletzung, die wahrscheinlich ein Risiko für betroffene Personen darstellt, innerhalb von 72 Stunden nach Bekanntwerden dem Information Commissioner’s Office (ICO) gemeldet werden. Ist das Risiko für die betroffenen Personen hoch, müssen Sie diese zudem unverzüglich informieren.
• Europäische Union. Die DSGVO sieht dieselbe Frist von 72 Stunden vor, wobei die Meldung an die nationale Datenschutzbehörde zu richten ist. Organisationen, die unter die NIS2-Richtlinie fallen, müssen schwerwiegende Vorfälle möglicherweise auch an ihr nationales CSIRT oder ihre zuständige Behörde melden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats.
• Vereinigte Staaten. Es gibt kein einheitliches Bundesgesetz zu Datenschutzverletzungen. Jeder Bundesstaat hat sein eigenes Meldegesetz mit Fristen, die von „ohne unangemessene Verzögerung“ bis zu einer festgelegten Anzahl von Tagen reichen. Hinzu kommen branchenspezifische Vorschriften, wie beispielsweise das HIPAA für das Gesundheitswesen, das eine Meldung innerhalb von 60 Tagen vorschreibt, sowie die SEC-Vorschrift, nach der börsennotierte Unternehmen wesentliche Vorfälle innerhalb von vier Werktagen offenlegen müssen.
• In jeder Region. Auch Verträge spielen eine Rolle. Kunden und Partner verlangen oft eine Benachrichtigung innerhalb einer bestimmten Anzahl von Stunden, die manchmal kürzer ist als die gesetzliche Frist.

Grenzüberschreitende Geschäftstätigkeit? In der EU haben Unternehmen mit Hauptniederlassung in der Regel mit einer federführenden Behörde zu tun. In den USA bestimmt der Bundesstaat, in dem die betroffenen Personen leben, die geltenden Vorschriften, sodass ein einziger Datenschutzverstoß mehrere Meldepflichten auslösen kann.

Warum Mitarbeiter Fehler verheimlichen – und wie man das ändern kann

Das größte Risiko beim Umgang mit Datenschutzverletzungen ist nicht der Fehler selbst, sondern das Schweigen danach. Ein Mitarbeiter, der eine Datei an die falsche Adresse gesendet hat, hofft oft, dass niemand davon Notiz nimmt – insbesondere, wenn er eine Rüge befürchtet. Bis die Datenschutzverletzung ans Licht kommt, ist die Frist bereits abgelaufen und der Schaden hat sich bereits ausgebreitet.

Unternehmen, die gut mit Datenschutzverletzungen umgehen, gestalten die Meldung einfach und sicher. Die Mitarbeiter wissen genau, an wen sie sich wenden müssen, die erste Reaktion lautet „Danke, dass Sie uns das mitgeteilt haben“, und Fehler werden als Prozessprobleme und nicht als persönliches Versagen diskutiert. Schulungen helfen in zweierlei Hinsicht: Sie zeigen den Mitarbeitern, wie eine Datenschutzverletzung aussieht, damit sie diese erkennen können, und sie machen die Meldung zu einer eingespielten Gewohnheit statt zu einem unangenehmen Geständnis.

Der Tipp: Verhindern Sie Sicherheitslücken durch kurze wöchentliche Schulungen

Guardey hilft Mitarbeitern dabei, die alltäglichen Fehler zu vermeiden, die hinter den meisten Sicherheitsverletzungen stecken. Jede Woche erhalten sie eine etwa dreiminütige Aufgabe – auf ihrem Laptop oder in der mobilen App für iOS und Android – zu Themen wie dem sicheren Versenden von Daten, dem Teilen von Dateien, dem Erkennen von Phishing und der Meldung von Vorfällen. Gamification mit Bestenlisten und Serien hält die Mitarbeiter bei der Stange, Phishing-Simulationen testen das Gelernte und auditfähige Berichte zeigen Ihren Fortschritt in Bezug auf DSGVO, NIS2 und ISO 27001. Mehr als 500 Organisationen, darunter das Europäische Parlament, nutzen Guardey bereits. Erfahren Sie mehr über unsere Schulungen zur Sicherheitssensibilisierung oder sehen Sie sich an, wie wir das Thema Datenschutzbewusstsein angehen.

Arbeiten Sie mit einem IT-Partner zusammen? Wie MSPs vor und nach einem Sicherheitsvorfall helfen

Viele kleine und mittelständische Unternehmen betreiben ihre IT nicht selbst, sondern verlassen sich auf einen Managed Service Provider (MSP): ein IT-Unternehmen, das gegen eine monatliche Gebühr die Betreuung ihrer Systeme, die Sicherheit und den Support übernimmt. Wenn es zu einer Sicherheitsverletzung kommt, ist das in der Regel der erste Anruf: Kann die E-Mail zurückgerufen werden, kann der Laptop gelöscht werden, auf welche Postfächer wurde zugegriffen? Wenn Sie mit einem MSP zusammenarbeiten, fragen Sie nach, ob Maßnahmen zur Verhinderung von Sicherheitsverletzungen und Schulungen zur Sensibilisierung für Sicherheitsfragen Teil Ihres Pakets sind. Für MSPs ist die Einbindung solcher Präventionsmaßnahmen ein logischer Schritt für Kunden, die gerade erfahren haben, wie teuer eine einzige falsche E-Mail sein kann.

Guardey ist über verschiedene Vertriebskanäle erhältlich, darunter e92plus, ein Value-Added-Distributor, der sich auf Cybersicherheit für MSPs und Wiederverkäufer in Großbritannien, Irland, den Benelux-Ländern und den nordischen Ländern spezialisiert hat. MSPs profitieren von einer nutzungsabhängigen monatlichen Abrechnung und einem Partnerportal zur Verwaltung der Lizenzen für alle ihre Kunden. Dabei werden sie von engagierten MSP-Partnermanagern und Marketingunterstützung begleitet, um einen neuen Service auf den Markt zu bringen. So können MSPs Datensicherheitstools und Schulungen in einem einzigen Managed-Service-Angebot bündeln.

Häufig gestellte Fragen zu versehentlichen Datenlecks

Kann man wegen einer versehentlichen Datenpanne am Arbeitsplatz entlassen werden?

Ein ehrlicher Fehler, der sofort gemeldet wird, ist selten ein Kündigungsgrund, obwohl dies von den Umständen, dem örtlichen Arbeitsrecht und den Richtlinien Ihres Arbeitgebers abhängt. Das Verschweigen eines Verstoßes, das Ignorieren klarer Verfahren oder das Wiederholen desselben Fehlers wird wesentlich schwerwiegender angesehen. Eine schnelle Meldung ist fast immer das Beste, was Sie tun können – sowohl für das Unternehmen als auch für sich selbst.

Muss jede Datenpanne gemeldet werden?

Nein. Gemäß der DSGVO und der britischen DSGVO muss eine Datenschutzverletzung nur dann der Aufsichtsbehörde gemeldet werden, wenn sie voraussichtlich ein Risiko für Personen darstellt. In den USA legen in der Regel die Gesetze der einzelnen Bundesstaaten fest, welche Arten von Daten eine Meldepflicht auslösen. Jede Datenschutzverletzung sollte dennoch intern erfasst werden, einschließlich der Gründe für eine Nichtmeldung.

Was sind Beispiele für Verstöße gegen die DSGVO?

Typische Beispiele sind das Versenden personenbezogener Daten an den falschen Empfänger, die Verwendung von „CC“ statt „BCC“, das Teilen einer Datei über einen offenen Link, der Verlust eines unverschlüsselten Laptops, das unbeaufsichtigt Liegenlassen gedruckter Dokumente und die Gewährung des Zugriffs auf ein Postfach für einen Angreifer durch Phishing. In den meisten Fällen liegt die Ursache eher in einem menschlichen Fehler als in einem technischen Versagen.

Wie verhindert man versehentliche Datenlecks?

Kombinieren Sie einige technische Sicherheitsmaßnahmen wie verzögertes Versenden, Verschlüsselung und eingeschränkte Freigabe von Links mit regelmäßigen Schulungen. Mitarbeiter, die das Erkennen risikobehafteter Situationen üben, machen weniger Fehler und melden auftretende Fehler wesentlich schneller.

Keine Organisation wird jemals völlig fehlerfrei sein. Der Unterschied liegt darin, was in den Minuten nach einem Fehler geschieht: ob der Mitarbeiter zum Telefon greift oder den Laptop zuklappt und auf das Beste hofft. Diesen Reflex kann man trainieren.