So werden Anbieter sicherer: technische Maßnahmen und rechtliche Pflichten in Deutschland

Anbieter können ihre Sicherheit verbessern, indem sie technische Schutzmaßnahmen, klare Verantwortlichkeiten und überprüfbare Abläufe miteinander verbinden. Für Betreiber von Onlineshops, Plattformen, Softwarediensten und anderen digitalen Angeboten bedeutet das insbesondere: Zugriffe begrenzen, Systeme aktuell halten, Daten angemessen schützen und die Bearbeitung von Sicherheitsvorfällen vorbereiten. Der pauschale Hinweis auf „moderne Verschlüsselung“ oder die bloße Existenz einer Datenschutzrichtlinie belegt noch keine Erfüllung der gesetzlichen Sicherheitsanforderungen.

In Deutschland ergeben sich Sicherheitsanforderungen insbesondere aus der Datenschutz-Grundverordnung, dem Vertragsrecht und besonderen Vorschriften für digitale Dienste sowie bestimmte Einrichtungen und Branchen. Welche Maßnahmen erforderlich sind, hängt unter anderem von den verarbeiteten Daten, der angebotenen Leistung und den möglichen Schäden ab. Art. 32 DSGVO verlangt ein angemessenes Schutzniveau, keine absolute Unangreifbarkeit. Weitergehende gesetzliche oder vertragliche Anforderungen sind gesondert zu prüfen. [1][2][3]

Der Beitrag behandelt vorwiegend Anbieter digitaler Dienste und internetgestützter Leistungen. Besondere Regelungen etwa für Banken, Versicherungen, Medizinprodukte oder öffentliche Stellen können zusätzliche Anforderungen begründen und bedürfen einer gesonderten Prüfung.

• IT-Sicherheit ist eine fortlaufende Aufgabe: Schutzmaßnahmen müssen risikogerecht überprüft und erforderlichenfalls angepasst werden.
• Die DSGVO verlangt risikogerechte Sicherheit: Maßgeblich sind insbesondere Art. 24, 25 und 32 DSGVO, nicht ein allgemeingültiger technischer Maßnahmenkatalog.
• Verträge können zusätzliche Pflichten begründen: Sicherheitszusagen, Verfügbarkeitsvereinbarungen und gesetzliche Aktualisierungspflichten sind eigenständig zu prüfen.
• Externe Dienstleister beseitigen eigene Pflichten nicht: Auswahl, Vertragsgestaltung und angemessene Kontrolle bleiben wesentlich.
• Bei Vorfällen gelten unterschiedliche Meldevorgaben: Die datenschutzrechtliche Meldung ist grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vorzunehmen; Ausnahmen und weitere Meldepflichten sind gesondert zu prüfen.
• Dokumentation ist rechtlich bedeutsam: Anbieter müssen im jeweils vorgeschriebenen Umfang nachweisen können, welche Risiken sie bewertet, welche Maßnahmen sie getroffen und wie sie auf Vorfälle reagiert haben.

Was bedeutet Sicherheit bei einem Anbieter?

Technische Sicherheit und rechtliche Zuverlässigkeit

Bei personenbezogenen Daten nennt Art. 32 Abs. 1 DSGVO zusätzlich die Belastbarkeit der Systeme und Dienste sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Ob eine Datensicherung dafür geeignet ist, hängt daher auch davon ab, ob die Wiederherstellung zuverlässig funktioniert. [1]

Rechtliche Zuverlässigkeit geht darüber hinaus. Ein technisch gut abgesicherter Dienst kann dennoch rechtswidrig arbeiten, etwa weil personenbezogene Daten ohne Rechtsgrundlage verarbeitet werden oder eine erforderliche Einwilligung für Tracking fehlt. Umgekehrt schützt eine korrekte Datenschutzerklärung nicht vor unsicheren Benutzerkonten. [1][3]

Welche Rolle hat der Anbieter?

• Ein Verantwortlicher entscheidet allein oder gemeinsam mit anderen über Zwecke und Mittel einer Verarbeitung personenbezogener Daten.
• Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen.
• Ein Vertragspartner schuldet die vereinbarte Leistung, gegebenenfalls einschließlich bestimmter Sicherheitsmerkmale.
• Ein Unternehmer, der Verbrauchern digitale Produkte bereitstellt oder Waren mit digitalen Elementen verkauft, kann gesetzlichen Aktualisierungspflichten unterliegen.
• Eine vom BSI-Gesetz erfasste Einrichtung kann zusätzliche Sicherheits-, Organisations- und Meldepflichten haben.

Mehrere Rollen können zusammentreffen. Ein Softwareanbieter kann beispielsweise Kundendaten im Auftrag verarbeiten und zugleich für seine eigene Abrechnung datenschutzrechtlich verantwortlich sein. Die Rollenverteilung muss für die jeweilige Verarbeitung geprüft werden; die Vertragsüberschrift allein entscheidet nicht. Die Eigenschaft als Hersteller begründet dagegen nicht ohne Weiteres die verbrauchervertraglichen Aktualisierungspflichten des Verkäufers oder des bereitstellenden Unternehmers. [1][2][5]

Rechtlicher Rahmen: Welche Vorschriften sind einschlägig?

Art. 5 Abs. 1 Buchst. f DSGVO verlangt eine Verarbeitung, die angemessene Sicherheit gewährleistet. Art. 24 DSGVO verpflichtet Verantwortliche zu geeigneten technischen und organisatorischen Maßnahmen sowie zum Nachweis der datenschutzkonformen Verarbeitung. Art. 25 DSGVO betrifft Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. [1]

Die zentrale Sicherheitsvorschrift ist Art. 32 DSGVO. Verantwortliche und Auftragsverarbeiter müssen ein dem Risiko angemessenes Schutzniveau gewährleisten. Zu berücksichtigen sind:

• Stand der Technik und Implementierungskosten;
• Art, Umfang, Umstände und Zwecke der Verarbeitung;
• Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Rechte und Freiheiten natürlicher Personen.

Damit ist nicht jede technisch denkbare Maßnahme zwingend. Ebenso wenig rechtfertigt der bloße Hinweis auf Kosten ein unangemessen niedriges Schutzniveau. Je gravierender mögliche Folgen sind, desto höher können die Anforderungen ausfallen.

Art. 32 Abs. 1 Buchst. d DSGVO nennt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Sicherheitsmaßnahmen. Welche Prüfungen in welchen Abständen angemessen sind, hängt von der Verarbeitung und ihren Risiken ab. Eine einmalige Prüfung genügt nicht, wenn Veränderungen oder fortbestehende Risiken weitere Prüfungen erfordern. [1]

BGB: Vertragsgemäße Leistung und Sicherheitsaktualisierungen

Sicherheitsanforderungen können zur geschuldeten Leistung gehören. Verspricht ein Anbieter beispielsweise bestimmte Zugriffskontrollen oder Wiederherstellungsleistungen, kann deren Fehlen eine Pflichtverletzung darstellen. Daneben kommen Schutzpflichten nach § 241 Abs. 2 BGB und Schadensersatz nach § 280 BGB in Betracht. Die jeweiligen Anspruchsvoraussetzungen sind gesondert zu prüfen. [2]

Bei Verbraucherverträgen über digitale Produkte im Anwendungsbereich der §§ 327 ff. BGB ist insbesondere § 327f BGB relevant. Unternehmer müssen sicherstellen, dass erforderliche Aktualisierungen, einschließlich Sicherheitsaktualisierungen, bereitgestellt werden und Verbraucher darüber informiert werden. Bei dauerhafter Bereitstellung ist grundsätzlich der Bereitstellungszeitraum maßgeblich. In anderen Fällen richtet sich der Zeitraum nach den gesetzlich bestimmten berechtigten Erwartungen des Verbrauchers.

Für Verbrauchsgüterkäufe über Waren mit digitalen Elementen enthält § 475b BGB Aktualisierungsanforderungen; bei dauerhafter Bereitstellung der digitalen Elemente ist ergänzend § 475c BGB zu berücksichtigen. Ein vernetztes Gerät kann daher auch dann mangelhaft sein, wenn seine Hardware funktioniert, aber eine erforderliche Sicherheitsaktualisierung fehlt. [2]

Nicht jede Software und nicht jedes vernetzte Gerät fallen unter dieselben Vorschriften. Vertragsart, Verbrauchereigenschaft, Bereitstellungsmodell und Leistungsgegenstand sind vorab einzuordnen.

TDDDG und DDG: Zusätzliche Anforderungen an digitale Angebote

§ 19 Abs. 4 TDDDG enthält Sicherheitsanforderungen für geschäftsmäßig angebotene digitale Dienste. Anbieter müssen im Rahmen ihrer Verantwortlichkeit durch technische und organisatorische Vorkehrungen insbesondere unerlaubten Zugriffen sowie bestimmten Datenschutzverletzungen und Störungen entgegenwirken, soweit dies technisch möglich und wirtschaftlich zumutbar ist. Dabei ist der Stand der Technik zu berücksichtigen. Diese Vorschrift ist neben den datenschutzrechtlichen Anforderungen zu prüfen. [3]

§ 25 TDDDG regelt die Speicherung von Informationen in Endeinrichtungen und den Zugriff auf bereits gespeicherte Informationen. Grundsätzlich ist eine informierte Einwilligung erforderlich. Ausnahmen bestehen insbesondere, wenn der alleinige Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder der Vorgang unbedingt erforderlich ist, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. [3]

Eine Sicherheitsfunktion ist nicht allein wegen ihrer Bezeichnung automatisch einwilligungsfrei. Entscheidend sind ihre konkrete Funktionsweise und die gesetzlichen Ausnahmevoraussetzungen. Werden zusätzlich personenbezogene Daten verarbeitet, ist auch die DSGVO zu beachten. [1][3]

Das Digitale-Dienste-Gesetz enthält unter anderem die allgemeinen Informationspflichten nach § 5 DDG für die dort erfassten Dienste. Ein ordnungsgemäßes Impressum dient der rechtlichen Transparenz, ersetzt aber keine Sicherheitsmaßnahmen. [4]

BSIG und sektorspezifische Regeln

Das BSI-Gesetz sieht für die jeweils erfassten Einrichtungen besondere Anforderungen an die Sicherheit der Informationstechnik und die Meldung bestimmter Sicherheitsvorfälle vor. Ob ein Unternehmen darunter fällt, hängt von den jeweils geltenden gesetzlichen Tatbeständen ab, etwa von Tätigkeit, Einrichtungsart, Größe oder besonderen Einstufungsvoraussetzungen. Nicht jede Internetseite unterliegt allein wegen ihrer Erreichbarkeit diesen Pflichten. [5]

Für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste enthält das TKG zusätzliche Sicherheitsanforderungen. Der Betrieb eines gewöhnlichen Onlineshops macht ein Unternehmen allerdings noch nicht zum Telekommunikationsanbieter. [6]

Praktische Konsequenz: Vor der technischen Detailplanung sollte eine nachvollziehbare Prüfung stehen, welche allgemeinen und besonderen Regelungen auf das Geschäftsmodell anwendbar sind. Gerade bei besonderen Sicherheitsgesetzen ist die jeweils geltende Fassung einschließlich etwaiger Übergangsregelungen maßgeblich.

Welche technischen und organisatorischen Maßnahmen sind erforderlich?

Risiken und Schutzbedarf zuerst bestimmen

Eine wirksame Sicherheitsplanung beginnt mit einer Bestandsaufnahme: Welche Systeme werden betrieben? Wo liegen welche Daten? Wer kann darauf zugreifen? Welche externen Dienste werden benötigt? Welche Folgen hätte ein Ausfall oder eine Offenlegung?

Die datenschutzrechtliche Bewertung muss die Risiken für betroffene Personen einbeziehen. Gesundheitsdaten oder vertrauliche anwaltliche Kommunikation können einen besonders hohen Schutzbedarf begründen. Aber auch eine Lieferadresse kann je nach Lebenssituation der betroffenen Person erheblich schutzbedürftig sein. Datenkategorie, Umfang, Kontext, Verknüpfbarkeit und mögliche Missbrauchsszenarien sind gemeinsam zu bewerten. [1]

Als methodische Orientierung eignen sich die Standards und das IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik. Sie ersetzen keine Prüfung der einschlägigen Rechtsnormen, unterstützen aber eine systematische Umsetzung. Ihre Empfehlungen sind nicht allein aufgrund ihrer Veröffentlichung für jeden Anbieter verbindlich. [7]

Zugriffe wirksam begrenzen

Zu den regelmäßig relevanten Maßnahmen gehören individuelle Benutzerkonten, nachvollziehbare Berechtigungen und ein Verfahren für Eintritt, Rollenwechsel und Ausscheiden von Beschäftigten.

Besonders privilegierte Zugänge sollten strenger geschützt werden als gewöhnliche Benutzerkonten. Mehrfaktor-Authentifizierung ist vor allem bei Administrationszugängen und extern erreichbaren Diensten ein naheliegender Schutz. Ob sie im Einzelfall rechtlich erforderlich ist, richtet sich nach Risiko, Stand der Technik, verfügbaren Alternativen und gegebenenfalls besonderen Vorschriften.

Weitere wichtige Punkte sind:

• Rechte nur im erforderlichen Umfang vergeben;
• administrative und alltägliche Tätigkeiten trennen;
• ungenutzte Konten deaktivieren;
• technische Geheimnisse wie Zugangsschlüssel sicher verwalten;
• Berechtigungen regelmäßig überprüfen.

Gemeinsam genutzte Administratorkonten erschweren die Zuordnung von Handlungen und können die Aufklärung eines Vorfalls behindern. Die konkrete Ausgestaltung ist am jeweiligen Schutzbedarf auszurichten. [1][7]

Schwachstellen und Aktualisierungen beherrschen

Ein Anbieter sollte einen Prozess vorsehen, um Sicherheitsmeldungen zu erhalten, deren Bedeutung zu bewerten und erforderliche Aktualisierungen umzusetzen. Ein starrer jährlicher Aktualisierungstermin kann insbesondere bei akut ausnutzbaren Schwachstellen unzureichend sein.

Die Priorisierung sollte berücksichtigen, ob eine Schwachstelle bereits ausgenutzt wird, ob das betroffene System aus dem Internet erreichbar ist und welche Daten oder Funktionen gefährdet sind.

Wo Aktualisierungen vorübergehend nicht möglich sind, können ergänzende Maßnahmen notwendig werden, etwa Zugriffsbeschränkungen oder die Abschaltung einer gefährdeten Funktion. Übergangslösungen benötigen klare Verantwortlichkeiten und eine überprüfbare weitere Planung. Ihre bloße Dokumentation ersetzt allerdings nicht den erforderlichen Schutz. [1][7]

Verschlüsselung richtig einsetzen

Verschlüsselung kann Übertragungswege, Datenträger und Sicherungen schützen. Art. 32 DSGVO nennt sie ausdrücklich als mögliche geeignete Maßnahme, schreibt jedoch nicht für jede Verarbeitung dieselbe technische Ausgestaltung vor. Weitere gesetzliche Anforderungen, insbesondere nach § 19 Abs. 4 TDDDG, bleiben zu berücksichtigen. [1][3]

Entscheidend ist das Gesamtsystem. Eine verschlüsselte Datenbank schützt nicht vor jedem Zugriff über ein kompromittiertes Administrationskonto, das Klartextdaten abrufen kann. Ebenso wichtig sind sichere Schlüsselverwaltung, eingeschränkte Zugriffe und die Absicherung der verarbeitenden Anwendungen.

Passwörter zur Benutzeranmeldung sollten nicht im Klartext gespeichert werden. Für ihre Prüfung sind geeignete Passwort-Hashverfahren mit individuellen Zufallswerten und angemessenen Parametern vorzusehen. Eine lediglich reversible Verschlüsselung bietet für diesen Zweck regelmäßig keinen gleichwertigen Schutz, weil eine Entschlüsselung sämtliche betroffenen Passwörter offenlegen kann. [7]

Verfügbarkeit, Wiederherstellung und Erkennung absichern

Sicherungen sollten so gestaltet sein, dass ein Angriff auf das Produktivsystem nicht zugleich alle Sicherungskopien unbrauchbar macht. Wiederherstellungstests dienen dazu, Vollständigkeit, Nutzbarkeit und Wiederherstellungsdauer zu überprüfen.

Je nach Risiko sind außerdem geeignete Protokollierung und Überwachung erforderlich. Dabei besteht kein unbegrenzter Sicherheitsvorrang: Protokolle können selbst personenbezogene Daten enthalten. Ihre Verarbeitung benötigt eine Rechtsgrundlage; insbesondere Zweckbindung, Datenminimierung, Zugriffsschutz und Speicherbegrenzung sind zu beachten. [1][7]

Dienstleister und Beschäftigte einbeziehen

Bei einer Auftragsverarbeitung verlangt Art. 28 DSGVO die Auswahl eines Auftragsverarbeiters, der hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bietet. Erforderlich ist außerdem ein Vertrag oder ein anderes zulässiges Rechtsinstrument mit den gesetzlich vorgeschriebenen Inhalten. Sicherheitsnachweise müssen zum beauftragten Dienst passen; ein Zertifikat für einen anderen Unternehmensbereich belegt dessen Sicherheit nicht. [1]

Zur angemessenen Sicherheitsorganisation können verständliche Zuständigkeiten, aufgabenbezogene Schulungen und ein leicht zugänglicher interner Meldeweg gehören. Beschäftigte sollten wissen, an wen sie verdächtige E-Mails, verlorene Geräte oder versehentlich versandte Daten melden können.

Ein Notfallplan sollte auch dann verfügbar sein, wenn die üblichen Kommunikations- oder Zugriffssysteme ausgefallen sind. Umfang und Ausgestaltung solcher Vorkehrungen richten sich nach den betrieblichen Risiken. [7]

Rechtsprechungslinien und Haftung

Ein Sicherheitsvorfall beweist noch keine Pflichtverletzung

Aus einem erfolgreichen Angriff folgt nicht automatisch, dass die Schutzmaßnahmen unzureichend waren. Art. 32 DSGVO verlangt angemessene Sicherheit, keine Erfolgsgarantie. Welche Maßnahmen erforderlich waren und ob sie tatsächlich umgesetzt wurden, bedarf einer eigenständigen Prüfung. [1]

Umgekehrt widerlegt das Fehlen bisheriger Vorfälle keine Pflichtverletzung. Eine öffentlich erreichbare Verwaltungsoberfläche kann unzureichend geschützt sein, obwohl noch kein Missbrauch festgestellt wurde. Rechtlich kommt es auf die maßgeblichen Risiken und Schutzvorkehrungen an.

Für vertraglichen Schadensersatz sind insbesondere Pflichtverletzung, Schaden und Ursachenzusammenhang zu prüfen. Nach § 280 Abs. 1 Satz 2 BGB entfällt die dort geregelte Schadensersatzpflicht, wenn der Schuldner die Pflichtverletzung nicht zu vertreten hat. Je nach Anspruch können weitere Voraussetzungen hinzukommen. [2]

Kontrollverlust kann einen immateriellen Schaden darstellen

Der Bundesgerichtshof hat im Urteil vom 18. November 2024 – VI ZR 10/24 zum Facebook-Scraping ausgeführt, dass bereits ein kurzzeitiger Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden nach Art. 82 Abs. 1 DSGVO darstellen kann. Ein darüber hinausgehender konkreter Missbrauch ist dafür nicht zwingend erforderlich. [8]

Daraus folgt jedoch kein automatischer Zahlungsanspruch bei jedem Datenschutzverstoß. Erforderlich bleiben insbesondere ein Verstoß gegen die DSGVO, ein materieller oder immaterieller Schaden und ein ursächlicher Zusammenhang. Ein bloßer Verstoß ist nicht mit einem nachgewiesenen Kontrollverlust gleichzusetzen. Die weiteren Haftungsvoraussetzungen nach Art. 82 DSGVO sind ebenfalls zu beachten. [1][8]

Anbieter sollten deshalb weder pauschal behaupten, ohne nachgewiesenen Identitätsdiebstahl gebe es keinen Schaden, noch jeden Vorfall ohne weitere Prüfung als entschädigungspflichtig behandeln.

Grenzen standardisierter Haftungsausschlüsse

Allgemeine Geschäftsbedingungen unterliegen insbesondere §§ 307 ff. BGB, wobei der Anwendungsbereich und die Besonderheiten des § 310 BGB zu berücksichtigen sind. Ein umfassender Haftungsausschluss beseitigt gesetzliche Pflichten nicht und kann unwirksam sein. Gegenüber Verbrauchern gelten besondere Klauselverbote und teilweise zwingende vertragsrechtliche Schutzvorschriften. [2]

Präzise Leistungsbeschreibungen bleiben wichtig: Sie bestimmen mit, welche Verfügbarkeit, Unterstützung und Sicherheitsfunktionen vereinbart wurden. Aussagen wie „vollständig sicher“ können je nach Kontext für die Vertragsauslegung und die Erwartungen an die Leistung bedeutsam sein.

Typische Fallkonstellationen

Übernommenes Administrationskonto eines Onlineshops

Wird ein Administrationskonto übernommen, kommen insbesondere die Sperrung des Zugangs und aktiver Sitzungen, der Austausch kompromittierter Zugangsdaten oder Schlüssel sowie die Sicherung relevanter Spuren in Betracht. Die Reihenfolge muss sich am laufenden Angriff und den Möglichkeiten der Beweissicherung orientieren.

Anschließend ist zu klären, ob Bestellungen, Kundendaten oder Zahlungsinformationen eingesehen oder verändert wurden. Ein bloßer Passwortwechsel reicht nicht, wenn zusätzliche Konten angelegt oder dauerhafte Zugriffsmöglichkeiten eingerichtet wurden. Bestehen Anhaltspunkte für eine Verletzung des Schutzes personenbezogener Daten, sind die Voraussetzungen der Art. 33 und 34 DSGVO unverzüglich zu prüfen. [1][7]

Ausfall eines Cloud-Dienstleisters

Ein externer Ausfall entlastet den Anbieter nicht ohne Weiteres gegenüber seinen Kunden. Entscheidend sind die vertraglichen Pflichten und die Frage, welche Vorsorge geschuldet war. Bedient sich der Anbieter des Dienstleisters zur Erfüllung eigener Verbindlichkeiten, kann dessen Verschulden nach § 278 BGB zuzurechnen sein. [2]

Datenschutzrechtlich ist zusätzlich zu prüfen, ob eine Sicherheitsverletzung zur Vernichtung oder zum Verlust personenbezogener Daten beziehungsweise zu einer relevanten Beeinträchtigung ihrer Verfügbarkeit geführt hat. Eine Datenschutzverletzung setzt nicht zwingend eine Offenlegung voraus. Nicht jede bloße Störung eines Dienstes ist allerdings bereits eine Datenschutzverletzung. [1]

Fehlende Sicherheitsaktualisierungen

Wird für ein digitales Produkt innerhalb des gesetzlich maßgeblichen Zeitraums eine erforderliche Sicherheitsaktualisierung nicht bereitgestellt, können bei einem erfassten Verbrauchervertrag die gesetzlichen Mängelrechte für digitale Produkte eingreifen.

Unterbleibt dagegen die Installation einer ordnungsgemäß bereitgestellten Aktualisierung, ist eine differenzierte Prüfung notwendig. Der in § 327f BGB geregelte Haftungsausschluss betrifft nur einen Mangel, der allein auf der fehlenden Aktualisierung beruht. Er setzt unter anderem voraus, dass der Unternehmer über die Verfügbarkeit der Aktualisierung und die Folgen der Nichtinstallation informiert hat. Außerdem darf die unterlassene oder unsachgemäße Installation nicht auf einer mangelhaften bereitgestellten Installationsanleitung beruhen. [2]

Sicherheitsvorfälle: Ablauf und Fristen

Sofort reagieren, aber Spuren nicht unnötig zerstören

Ein sinnvoller Erstablauf umfasst:

• Zuständige Personen und gegebenenfalls das Notfallteam informieren.
• Betroffene Systeme möglichst gezielt isolieren.
• Flüchtige und dauerhaft vorhandene Spuren sichern.
• Umfang, Datenarten und betroffene Personen ermitteln.
• Melde-, Informations- und Vertragspflichten prüfen.
• Wiederherstellung und weitere Absicherung organisieren.

Diese Schritte können parallel erforderlich sein. Meldeprüfungen dürfen insbesondere nicht bis zum Abschluss sämtlicher Ermittlungen zurückgestellt werden.

Ein unkoordiniertes Löschen oder Neuaufsetzen kann die Ursachenanalyse erschweren. Umgekehrt darf Beweissicherung nicht dazu führen, einen laufenden Angriff vermeidbar fortzusetzen. Diese Interessen müssen fachlich abgewogen werden. [1][7]

Meldung an die Datenschutzaufsicht

Nach Art. 33 Abs. 1 DSGVO muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die 72 Stunden sind keine allgemeine Wartefrist. [1]

Ein vollständiger forensischer Abschlussbericht ist keine Voraussetzung für die Meldung. Können Informationen nicht gleichzeitig bereitgestellt werden, erlaubt Art. 33 Abs. 4 DSGVO ihre schrittweise Übermittlung ohne unangemessene weitere Verzögerung. Erfolgt die Meldung nicht binnen 72 Stunden, ist eine Begründung für die Verzögerung beizufügen.

Auftragsverarbeiter müssen den Verantwortlichen nach Bekanntwerden einer Verletzung unverzüglich unterrichten. Sie dürfen die für Verantwortliche genannte 72-Stunden-Zeitspanne nicht als eigene reguläre Wartefrist behandeln. [1]

Information betroffener Personen und weitere Meldungen

Hat eine Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, verlangt Art. 34 DSGVO grundsätzlich eine unverzügliche Benachrichtigung der betroffenen Personen. Die Ausnahmen nach Art. 34 Abs. 3 DSGVO sind gesondert zu prüfen. Eine Ausnahme kann insbesondere bestehen, wenn auf die betroffenen Daten wirksame Schutzmaßnahmen angewandt wurden, die sie für Unbefugte unzugänglich machen, etwa geeignete Verschlüsselung. Die bloße Bezeichnung von Daten als „verschlüsselt“ genügt dafür nicht. [1]

Daneben können Meldepflichten nach dem BSIG, dem TKG oder vertraglichen Vereinbarungen bestehen. Diese haben eigenständige Voraussetzungen und Abläufe. Eine Datenschutzmeldung ersetzt sie nicht automatisch. [5][6]

Auch eine Entscheidung gegen eine Meldung muss nachvollziehbar sein. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation von Datenschutzverletzungen einschließlich der damit zusammenhängenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Das gilt auch für Verletzungen, die nicht an die Aufsichtsbehörde zu melden sind. [1]

Kosten, Risiken und erforderliche Belege

Welche Aufwendungen einzuplanen sind

Zu den laufenden Kosten können insbesondere Personal, Systempflege, Überwachung, Sicherungen, Schulungen und angemessene Prüfungen gehören. Nach einem Vorfall können Aufwendungen für Forensik, Wiederherstellung, Benachrichtigungen, Rechtsberatung und Betriebsunterbrechungen hinzukommen.

Verlässliche Pauschalbeträge sind ohne Kenntnis von Infrastruktur, Datenbestand und Leistungsanforderungen nicht möglich. Zertifizierungen oder Penetrationstests sind nicht für jeden Anbieter in derselben Form gesetzlich vorgeschrieben. Besondere Vorschriften oder vertragliche Vereinbarungen können sie jedoch verlangen.

Eine Cyberversicherung kann bestimmte wirtschaftliche Folgen abdecken. Sie ersetzt weder gesetzliche Pflichten noch die Prüfung des konkreten Versicherungsschutzes, insbesondere von Ausschlüssen, Selbstbehalten und vertraglichen Obliegenheiten.

Bußgelder und Geschäftsleitungsrisiken

Verstöße gegen Art. 32 DSGVO können dem Bußgeldrahmen des Art. 83 Abs. 4 Buchst. a DSGVO unterfallen: bis zu zehn Millionen Euro oder bei Unternehmen bis zu zwei Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Bei zusätzlichen Verstößen können andere Bußgeldtatbestände einschlägig sein. [1]

Ob und in welcher Höhe eine Geldbuße verhängt werden darf, hängt von den rechtlichen Voraussetzungen und den Umständen des Einzelfalls ab. Art. 83 Abs. 2 DSGVO nennt insbesondere Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit sowie Maßnahmen zur Schadensminderung. Der gesetzliche Höchstbetrag ist keine Regelbuße.

Sicherheitsorganisation kann außerdem Geschäftsleitungsaufgabe sein. Für Geschäftsführer einer GmbH ist insbesondere § 43 GmbHG, für Vorstandsmitglieder einer Aktiengesellschaft § 93 AktG relevant. Persönliche Haftung setzt eine eigenständige Prüfung voraus; sie entsteht nicht allein durch einen erfolgreichen Angriff. [9][10]

Welche Nachweise aufbewahrt werden sollten

Besonders hilfreich sind:

• aktuelle System- und Datenübersichten;
• dokumentierte Risikoentscheidungen und Verantwortlichkeiten;
• Berechtigungs-, Aktualisierungs- und Wiederherstellungsnachweise;
• einschlägige Dienstleisterverträge und Sicherheitsprüfungen;
• Prüfberichte mit dokumentierter Mängelbeseitigung;
• Vorfallsprotokolle, Meldungen und Benachrichtigungen;
• begründete Entscheidungen über zurückgestellte Maßnahmen.

Eine einheitliche Aufbewahrungsfrist für sämtliche Sicherheitsunterlagen besteht nicht. Gesetzliche Dokumentationspflichten, Beweiszwecke und gegebenenfalls die datenschutzrechtliche Speicherbegrenzung sind miteinander abzugleichen. [1]

Die Dokumentation muss den tatsächlichen Betrieb abbilden. Eine kopierte Sicherheitsrichtlinie ohne Umsetzung belegt die Wirksamkeit von Maßnahmen nicht. Im Zivilprozess richtet sich die Überzeugungsbildung des Gerichts grundsätzlich nach § 286 ZPO; eine interne Checkliste bindet das Gericht nicht. [11]

Typische Fehler und konkrete nächste Schritte

Was Anbieter vermeiden sollten

Problematisch sind insbesondere die Beschränkung auf Datenschutzerklärungen, ungeprüfte Standardverträge mit Dienstleistern und Sicherungen ohne angemessene Wiederherstellungsprüfung. Ebenso riskant sind Sicherheitszusagen, deren Einhaltung intern niemand überprüft.

Ein weiterer Fehler besteht darin, Meldeentscheidungen bis zur vollständigen Aufklärung aufzuschieben. Gerade bei noch unvollständigem Kenntnisstand ermöglicht Art. 33 Abs. 4 DSGVO die schrittweise Übermittlung erforderlicher Informationen. [1]

Ein umsetzbarer Verbesserungsplan

Anbieter sollten zunächst ihre rechtlichen Rollen und einschlägigen Spezialpflichten bestimmen. Danach sind Systeme, Daten und Abhängigkeiten zu erfassen und besonders gefährliche Schwachstellen zu priorisieren.

Darauf aufbauend sollten sie privilegierte Zugänge absichern, Aktualisierungs- und Wiederherstellungsprozesse prüfen sowie Zuständigkeiten und Meldewege verbindlich festlegen. Anschließend ist zu testen, ob die vorgesehenen Abläufe praktisch funktionieren.

Nicht jede Verbesserung muss gleichzeitig erfolgen. Eine Priorisierung darf jedoch nicht dazu führen, zwingende gesetzliche oder vertragliche Anforderungen ohne Rechtfertigung unerfüllt zu lassen. Die Dokumentation einer Zurückstellung macht eine unzureichende Absicherung nicht rechtmäßig. Wo eine sofortige endgültige Behebung nicht möglich ist, sind wirksame Zwischenmaßnahmen und eine zügige weitere Bearbeitung zu prüfen. [1][7]

Häufige Fragen

Muss jeder Anbieter dieselben Sicherheitsmaßnahmen einsetzen?

Nein. Art. 32 DSGVO verlangt ein risikogerechtes Schutzniveau. Datenarten, Verarbeitung, Bedrohungslage und mögliche Folgen beeinflussen die Auswahl. Besondere Gesetze oder vertragliche Zusagen können zusätzliche Anforderungen begründen. [1][2][3]

Ist Mehrfaktor-Authentifizierung immer gesetzlich vorgeschrieben?

Eine unterschiedslose Pflicht für sämtliche Benutzerkonten ergibt sich aus Art. 32 DSGVO nicht. Bei besonders gefährdeten oder privilegierten Zugängen kann sie jedoch erforderlich sein. Maßgeblich sind die konkrete Risikobewertung und gegebenenfalls besondere gesetzliche Anforderungen. [1]

Reicht ein zertifizierter Cloud-Dienstleister aus?

Nein. Ein einschlägiges Zertifikat kann die Auswahl und Prüfung unterstützen. Der Anbieter muss dennoch insbesondere Rollen, Konfiguration, Berechtigungen und erforderliche Verträge prüfen. Eigene datenschutzrechtliche Pflichten entfallen durch die Auslagerung nicht. [1]

Muss jeder Cyberangriff binnen 72 Stunden gemeldet werden?

Nein. Art. 33 DSGVO betrifft Verletzungen des Schutzes personenbezogener Daten und enthält eine risikobezogene Ausnahme. Ein abgewehrter Angriffsversuch ist nicht automatisch eine meldepflichtige Datenschutzverletzung. Besteht eine Meldepflicht, gilt allerdings das Gebot unverzüglicher Meldung; die 72 Stunden erlauben kein routinemäßiges Abwarten. Besondere sicherheitsrechtliche Meldepflichten können daneben bestehen. [1][5][6]

Müssen Kunden bei jedem Datenschutzvorfall informiert werden?

Nein. Die Benachrichtigung betroffener Personen nach Art. 34 DSGVO setzt grundsätzlich ein voraussichtlich hohes Risiko voraus; gesetzliche Ausnahmen sind zu berücksichtigen. Betroffene Personen müssen nicht mit den Kunden des Anbieters identisch sein. Vertragliche Informationspflichten können unabhängig davon bestehen. [1][2]

Führt ein Datenleck automatisch zu Schadensersatz?

Nein. Ein Anspruch setzt die jeweiligen gesetzlichen Voraussetzungen voraus. Ein nachgewiesener Kontrollverlust über personenbezogene Daten kann allerdings bereits einen immateriellen Schaden darstellen. Ein finanzieller Verlust oder ein konkreter Datenmissbrauch ist dafür nicht zwingend erforderlich. [1][8]

Wie lange müssen Sicherheitsaktualisierungen bereitgestellt werden?

Eine einheitliche Dauer für alle Produkte gibt es nicht. Bei erfassten Verbraucherverträgen sind insbesondere Bereitstellungsmodell, gesetzliche Erwartungsmaßstäbe und wirksame vertragliche Vereinbarungen maßgeblich. Für digitale Produkte gilt § 327f BGB; bei Waren mit digitalen Elementen sind §§ 475b und gegebenenfalls 475c BGB zu prüfen. [2]

Zusammenfassung

Sichere Anbieter verbinden risikogerechte Technik mit klarer Organisation und belastbarer Dokumentation. Bei personenbezogenen Daten stehen die Anforderungen der DSGVO im Mittelpunkt. Vertragsrechtliche Leistungspflichten, gesetzliche Aktualisierungspflichten, das TDDDG und besondere Sicherheitsgesetze können weitere Anforderungen hinzufügen.

Entscheidend ist kein einzelnes Sicherheitsprodukt, sondern ein überprüfbarer Prozess: Risiken erkennen, Maßnahmen umsetzen, ihre Wirksamkeit prüfen und auf Vorfälle rechtzeitig reagieren. Vorbereitete Zuständigkeiten, angemessene Dienstleisterkontrollen und funktionierende Meldewege unterstützen sowohl die tatsächliche Sicherheit als auch die Erfüllung rechtlicher Pflichten.