Von Firewalls bis zur Betrugserkennung: IT-Sicherheit und ihre rechtlichen Grenzen

Firewalls, Zugriffsprotokolle und automatisierte Betrugserkennung sollen Angriffe abwehren, Daten schützen und finanzielle Schäden verhindern. Rechtlich sind sie jedoch nicht nur Schutzinstrumente: Sie können personenbezogene Daten verarbeiten, Beschäftigte überwachen, Zahlungen blockieren oder Kunden von Leistungen ausschließen. Unternehmen müssen deshalb zwei Anforderungen gleichzeitig erfüllen: Sie müssen angemessene Sicherheitsmaßnahmen einsetzen und dürfen dabei nicht unverhältnismäßig in die Rechte anderer eingreifen.

Im deutschen Recht entsteht daraus ein Zusammenspiel von Datenschutzrecht, Arbeitsrecht, Vertragsrecht und besonderen Vorschriften für Zahlungsdienste. Eine allgemeine gesetzliche Pflicht, eine bestimmte Firewall oder ein bestimmtes Betrugserkennungssystem zu kaufen, besteht nicht. Entscheidend sind die einschlägigen gesetzlichen Anforderungen, das konkrete Risiko, der Stand der Technik und die Folgen des eingesetzten Systems. Für regulierte Unternehmen können zusätzliche sektorspezifische Anforderungen gelten.

Der Beitrag erläutert diesen allgemeinen Rechtsrahmen. Er behandelt insbesondere Unternehmen, Arbeitgeber, Onlineanbieter und Zahlungsdienstnutzer. Eine vollständige Prüfung branchenspezifischer Cybersicherheitsvorschriften oder eines konkreten Sicherheitsvorfalls ersetzt er nicht.

• IT-Sicherheit ist im Anwendungsbereich entsprechender Schutzpflichten rechtlich geboten, aber keine Erfolgsgarantie. Die DSGVO verlangt risikogerechte technische und organisatorische Maßnahmen.
• Sicherheitszwecke erlauben keine unbegrenzte Überwachung. Die Verarbeitung personenbezogener Protokolldaten und Betrugsindikatoren benötigt eine Rechtsgrundlage und angemessene Speicher- und Löschregeln.
• Ein auffälliger Risikowert beweist keinen Betrug. Belastende Maßnahmen benötigen eine eigenständige rechtliche Rechtfertigung.
• Automatisierte Entscheidungen können Art. 22 DSGVO unterliegen. Eine lediglich formale menschliche Bestätigung beseitigt dessen Anwendbarkeit nicht.
• Im Arbeitsverhältnis gelten zusätzliche Grenzen. Datenschutz und gegebenenfalls Mitbestimmung sind vor dem Einsatz von Überwachungstechnik zu prüfen.
• Bei Sicherheitsvorfällen gelten unterschiedliche Fristen. Datenschutzrechtliche Meldefristen sind von Anzeige- und Erstattungsfristen bei unautorisierten Zahlungen zu unterscheiden.

Begriffe: Welche Systeme sind rechtlich zu unterscheiden?

Firewalls und Angriffserkennung

Die rechtliche Bedeutung hängt nicht vom Produktnamen ab. Entscheidend ist, welche Informationen tatsächlich verarbeitet werden. Ein Protokoll mit einer IP-Adresse, einem Benutzerkonto und einem Zeitstempel kann personenbezogen sein, wenn sich der Vorgang einer identifizierten oder identifizierbaren Person zuordnen lässt. Bei einer Untersuchung von Kommunikationsinhalten kann die Eingriffsintensität erheblich steigen. Die DSGVO unterscheidet insoweit nicht zwischen „eigentlichen Kundendaten“ und vermeintlich unproblematischen technischen Daten. Maßgeblich ist der Personenbezug nach Art. 4 Nr. 1 DSGVO. [1]

Betrugserkennung und Profilbildung

Betrugserkennung bewertet Vorgänge nach ihrer Auffälligkeit. Ein System kann beispielsweise ungewöhnliche Anmeldeorte, rasch aufeinanderfolgende Bestellungen, abweichende Lieferanschriften oder Veränderungen im Zahlungsverhalten berücksichtigen.

Nicht jedes regelbasierte System ist zugleich künstliche Intelligenz. Umgekehrt unterliegt ein KI-System nicht allein deshalb schwächeren Grenzen, weil seine Bewertung technisch komplex ist. Die europäische KI-Verordnung kann zusätzliche Anforderungen begründen. Ob sie greifen, hängt insbesondere von Systemdefinition, Verwendungszweck, Risikokategorie und den jeweiligen Anwendungszeitpunkten ab. Eine pauschale Einordnung sämtlicher Betrugserkennung als Hochrisiko-KI wäre unzutreffend. [12]

Drei getrennte rechtliche Prüfungen

Bei jedem System sind drei Fragen auseinanderzuhalten:

Eine zulässige Datenauswertung rechtfertigt nicht automatisch eine Kontosperre. Eine rechtmäßige Sperre beweist wiederum noch keinen Betrug.

Rechtlicher Rahmen: Schutzpflichten und Verarbeitungsgrenzen

Angemessene Sicherheit nach Art. 32 DSGVO

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu einem dem Risiko angemessenen Sicherheitsniveau. Zu berücksichtigen sind unter anderem der Stand der Technik, Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung. Maßgeblich sind außerdem Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen. [1]

Daraus können insbesondere folgende Maßnahmen folgen:

• abgestufte Zugriffsrechte und Mehrfaktorauthentifizierung,
• sichere Netzsegmentierung und geeignete Filterregeln,
• zeitnahe Sicherheitsaktualisierungen,
• Verschlüsselung, soweit risikogerecht,
• überprüfte Datensicherungen und Wiederherstellungsverfahren,
• Überwachung sicherheitsrelevanter Ereignisse,
• regelmäßige Wirksamkeitsprüfungen und dokumentierte Zuständigkeiten.

Die bloße Installation einer Firewall genügt nicht, wenn notwendige Schutzfunktionen wegen fehlerhafter Konfiguration oder unzureichender organisatorischer Abläufe nicht wirksam werden. Umgekehrt bedeutet ein erfolgreicher Angriff nicht zwangsläufig, dass Art. 32 DSGVO verletzt wurde. Maßgeblich ist die Angemessenheit der technischen und organisatorischen Maßnahmen, nicht ein unerreichbares Nullrisiko. [1]

Das IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik bietet hierfür eine fachliche Orientierung. Seine Empfehlungen sind jedoch nicht pauschal für jedes Unternehmen unmittelbar verbindliche gesetzliche Vorgaben. [3]

Rechtsgrundlagen für Sicherheitsanalysen

Im privatwirtschaftlichen Bereich kommt häufig Art. 6 Abs. 1 Buchst. f DSGVO in Betracht. Die Verarbeitung muss einem berechtigten Interesse dienen und hierfür erforderlich sein. Zudem dürfen die entgegenstehenden Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen nicht überwiegen.

Die Erwägungsgründe 47 und 49 DSGVO erkennen Betrugsverhinderung sowie Netz- und Informationssicherheit unter den dort genannten Voraussetzungen als berechtigte Interessen an. Daraus folgt aber keine unbegrenzte Erlaubnis zur Datensammlung. Ein Unternehmen muss begründen können, warum gerade die verwendeten Daten, die Auswertungsmethoden und die Speicherdauer erforderlich und angemessen sind. [1]

Art. 6 Abs. 1 Buchst. b DSGVO kann einschlägig sein, wenn die Verarbeitung für die Erfüllung eines Vertrags mit der betroffenen Person oder für vorvertragliche Maßnahmen auf deren Anfrage objektiv erforderlich ist. Nicht jede wirtschaftlich nützliche Sicherheitsmaßnahme erfüllt diese Voraussetzung. Besteht eine entsprechende gesetzliche Verpflichtung, kann Art. 6 Abs. 1 Buchst. c DSGVO einschlägig sein. [1]

Eine Einwilligung ist nicht stets eine geeignete Grundlage: Sie muss freiwillig sein und kann nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen werden. Im Beschäftigungsverhältnis ist ihre Freiwilligkeit wegen des Abhängigkeitsverhältnisses besonders sorgfältig zu prüfen; hierzu enthält § 26 Abs. 2 BDSG ergänzende Vorgaben. [1][2]

Zweckbindung, Transparenz und Speicherdauer

Nach Art. 5 DSGVO dürfen Unternehmen personenbezogene Daten nicht ohne hinreichenden Zweck und zeitlich unbegrenzt sammeln. Sicherheitszwecke sind konkret festzulegen. Beispielsweise darf ein Protokoll zur Abwehr von Kontoübernahmen nicht ohne Prüfung der Zweckbindung und der sonstigen Verarbeitungsvoraussetzungen für Werbung oder individuelle Leistungsbewertungen verwendet werden. [1]

Eine einheitliche gesetzliche Standardspeicherfrist für sämtliche Sicherheitsprotokolle gibt es nicht. Das Unternehmen muss begründen, wie lange personenbezogene Daten für Erkennung, Untersuchung und gegebenenfalls Rechtsverfolgung erforderlich sind. Besondere gesetzliche Aufbewahrungspflichten und Löschungsausnahmen bleiben zu berücksichtigen.

Sinnvoll ist die Trennung zwischen:

• kurzfristig verfügbaren Betriebsprotokollen,
• gesicherten Daten zu einem konkreten Vorfall,
• längerfristigen, möglichst tatsächlich anonymisierten Statistiken.

Eine bloße Pseudonymisierung beseitigt den Personenbezug nicht. Auch die Sicherung von Vorfalldaten erlaubt keine unbegrenzte Speicherung. [1]

Die Informationspflichten aus Art. 13 und 14 DSGVO entfallen nicht allein wegen eines Sicherheitszwecks. Unternehmen müssen allerdings nicht generell ihre vollständigen technischen Erkennungsregeln veröffentlichen. Umfang und mögliche Ausnahmen der Informationspflichten richten sich nach den gesetzlichen Vorgaben. [1]

Dienstleister und Datenübermittlungen

Externe Sicherheitsanbieter können Auftragsverarbeiter nach Art. 28 DSGVO sein. Entscheidend ist die tatsächliche Aufgabenverteilung. Bestimmt ein Anbieter selbst Zwecke und wesentliche Mittel einer Verarbeitung, kann er insoweit selbst Verantwortlicher sein; bei gemeinsamer Festlegung kommt eine gemeinsame Verantwortlichkeit in Betracht. [1]

Zu prüfen sind insbesondere Weisungsbindung, Unterauftragnehmer, Datenstandorte, Zugriffsrechte, Löschung und Unterstützung bei Vorfällen. Bei Übermittlungen personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums gelten zusätzlich die Anforderungen aus Kapitel V DSGVO. Ein Auftragsverarbeitungsvertrag ersetzt diese Prüfung nicht. [1]

Voraussetzungen für zulässige Überwachung und automatisierte Entscheidungen

Beschäftigtendaten und Mitbestimmung

Für personenbezogene Sicherheitskontrollen im Arbeitsverhältnis ist insbesondere § 26 BDSG zu prüfen. Soweit die Verarbeitung auf § 26 Abs. 1 Satz 1 BDSG gestützt wird, muss sie für die dort genannten Zwecke des Beschäftigungsverhältnisses erforderlich sein. Die Vorschrift ist im Rahmen der unionsrechtlichen Vorgaben, insbesondere der DSGVO, anzuwenden; ihre unionsrechtliche Tragfähigkeit ist nicht in jeder Hinsicht abschließend geklärt. Eine pauschale Berufung auf § 26 BDSG genügt daher nicht. [1][2]

Zur Aufdeckung von Straftaten verlangt § 26 Abs. 1 Satz 2 BDSG dokumentierte tatsächliche Anhaltspunkte für den Verdacht, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat. Die Verarbeitung muss zur Aufdeckung erforderlich sein. Schutzwürdige Interessen der Beschäftigten dürfen nicht überwiegen; insbesondere müssen Art und Ausmaß der Verarbeitung im Verhältnis zum Anlass stehen. [2]

Eine anlasslose, vollständige Erfassung aller Tastatureingaben lässt sich nicht allein mit einem allgemeinen Hinweis auf mögliche Sicherheitsverstöße rechtfertigen. [2][6]

Besteht ein Betriebsrat, ist § 87 Abs. 1 Nr. 6 BetrVG zu beachten. Das Mitbestimmungsrecht betrifft Einführung und Anwendung technischer Einrichtungen zur Überwachung von Verhalten oder Leistung der Beschäftigten. Nach der arbeitsgerichtlichen Auslegung kommt es auf die objektive Überwachungseignung an, nicht auf eine ausdrücklich erklärte Überwachungsabsicht des Arbeitgebers. Die weiteren Voraussetzungen des § 87 BetrVG bleiben zu prüfen. [4]

Eine Betriebsvereinbarung sollte insbesondere Zwecke, Datenarten, Auswertungsbefugnisse, Speicherfristen und Kontrollmöglichkeiten festlegen. Auch sie muss die datenschutzrechtlichen Anforderungen einhalten und ist kein Freibrief für unverhältnismäßige Überwachung. [1][2]

Entscheidungen mit erheblicher Wirkung

Art. 22 Abs. 1 DSGVO betrifft ausschließlich automatisierte Entscheidungen, die gegenüber einer Person rechtliche Wirkung entfalten oder sie ähnlich erheblich beeinträchtigen. Eine bloße Warnmeldung an einen eigenständig prüfenden Sachbearbeiter fällt nicht automatisch darunter. Eine endgültige, allein maschinell ausgelöste Leistungsverweigerung kann dagegen erfasst sein. [1]

Die Abgrenzung hängt von der tatsächlichen Entscheidungsorganisation und den Folgen ab. Ein kurzzeitiger zusätzlicher Authentifizierungsschritt ist anders zu bewerten als eine dauerhafte Sperrung eines existenziell wichtigen Zugangs.

Für erfasste Entscheidungen muss eine Ausnahme nach Art. 22 Abs. 2 DSGVO vorliegen. Hinzu kommen die jeweils vorgeschriebenen Schutzmaßnahmen. Ein berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO allein beseitigt das Verbot nicht. Bei den Ausnahmen wegen Vertragsnotwendigkeit oder ausdrücklicher Einwilligung gewährleistet Art. 22 Abs. 3 DSGVO insbesondere Rechte auf menschliches Eingreifen, Darlegung des eigenen Standpunkts und Anfechtung der Entscheidung. [1]

Soll eine Entscheidung als nicht ausschließlich automatisiert gelten, muss die menschliche Beteiligung substanziell sein: Die prüfende Person benötigt ausreichende Informationen, Entscheidungsspielraum und die Befugnis, vom Systemvorschlag abzuweichen. Eine bloße formale Bestätigung des Ergebnisses genügt nicht.

Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht. Art. 35 Abs. 3 Buchst. a DSGVO nennt insbesondere eine systematische und umfassende automatisierte Bewertung persönlicher Aspekte, auf deren Grundlage rechtlich oder ähnlich erheblich wirkende Entscheidungen getroffen werden. [1]

Nicht jede Firewall benötigt deshalb eine Folgenabschätzung. Ein umfangreiches personenbezogenes Überwachungs- und Entscheidungssystem kann sie dagegen erfordern. Auch einschlägige Listen der Aufsichtsbehörden nach Art. 35 Abs. 4 DSGVO sind zu berücksichtigen.

Die Folgenabschätzung muss vor Beginn der Verarbeitung erfolgen. Zu dokumentieren sind insbesondere Notwendigkeit, Verhältnismäßigkeit, Risiken und Abhilfemaßnahmen. Ergibt sie, dass ein hohes Risiko durch die vorgesehenen Maßnahmen nicht hinreichend eingedämmt werden kann, ist vor Beginn der Verarbeitung eine Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO erforderlich. [1]

Rechtsprechungslinien: Bewertungssysteme und Beweisverwertung

Ein vorgeschalteter Score kann rechtlich entscheidend sein

Der Europäische Gerichtshof hat im Urteil vom 7. Dezember 2023, C-634/21, zum SCHUFA-Scoring Art. 22 DSGVO ausgelegt. Die automatisierte Erstellung eines Wahrscheinlichkeitswerts über die Fähigkeit einer Person, künftig Zahlungsverpflichtungen nachzukommen, kann selbst eine erfasste automatisierte Entscheidung darstellen, wenn von diesem Wert maßgeblich abhängt, ob ein Dritter ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet. [5]

Für Betrugserkennung folgt daraus keine pauschale Gleichsetzung mit Bonitätsscoring. Übertragbar ist jedoch die Prüfungsfrage: Ist ein Risikowert tatsächlich nur eine zusätzliche Information, oder bestimmt er faktisch das Ergebnis?

Die organisatorische Aufteilung zwischen Analyseanbieter und entscheidendem Unternehmen verhindert die Anwendung von Art. 22 DSGVO nicht automatisch. Ob die Voraussetzungen erfüllt sind, muss anhand des konkreten Entscheidungsablaufs geprüft werden.

Unzulässige Überwachung kann Beweise entwerten

Das Bundesarbeitsgericht befasste sich im Urteil vom 27. Juli 2017, 2 AZR 681/16, mit dem Einsatz eines Keyloggers. Es hielt dessen Einsatz zur Überwachung ohne einen auf konkrete Tatsachen gestützten Verdacht einer Straftat oder einer anderen schwerwiegenden Pflichtverletzung nach der damals geltenden Rechtslage für unzulässig. Die dadurch gewonnenen Erkenntnisse durften im konkreten Kündigungsschutzverfahren nicht verwertet werden. [6]

Die Entscheidung betraf § 32 BDSG in seiner damaligen Fassung. Für heutige Sicherheitskonzepte bleibt die zentrale Aussage bedeutsam: Ein technisch verfügbares Überwachungsmittel ist nicht schon deshalb rechtmäßig, weil es Pflichtverletzungen sichtbar machen könnte. Die heutige Zulässigkeit muss anhand des geltenden Datenschutzrechts geprüft werden.

Allerdings führt nicht jeder Datenschutzverstoß automatisch zu einem Beweisverwertungsverbot. Datenerhebung und prozessuale Verwertbarkeit sind getrennt zu beurteilen; maßgeblich sind die jeweiligen gesetzlichen und verfassungsrechtlichen Anforderungen.

Typische Fallkonstellationen

Der Onlinehandel blockiert eine ungewöhnliche Bestellung

Eine Bestellung von einem neuen Gerät mit abweichender Lieferanschrift kann Anlass für weitere Prüfungen geben. Diese Umstände beweisen jedoch keinen Betrug.

Ein verhältnismäßiges Vorgehen kann zunächst eine zusätzliche Authentifizierung oder eine begrenzte manuelle Prüfung vorsehen. Auch hierfür müssen die datenschutzrechtlichen Voraussetzungen vorliegen.

Besteht bereits ein Vertrag, muss eine Leistungsverweigerung zudem vertraglich und gesetzlich gerechtfertigt sein. Der interne Risikowert schafft kein eigenständiges Rücktrittsrecht. Vertragsverletzungen können unter den Voraussetzungen des § 280 BGB, gegebenenfalls in Verbindung mit weiteren Vorschriften, Schadensersatzansprüche auslösen. [7]

Ein Zahlungsdienstleister sperrt ein Zahlungsinstrument

§ 675k Abs. 2 BGB erlaubt es, unter bestimmten Voraussetzungen ein Sperrrecht vertraglich zu vereinbaren. Sperrgründe können insbesondere objektive Sicherheitsgründe oder der Verdacht einer nicht autorisierten oder betrügerischen Verwendung sein. Das Gesetz enthält außerdem Vorgaben zur Information des Zahlers sowie zur Entsperrung oder zum Ersatz des Zahlungsinstruments, sobald die Sperrgründe entfallen. Ausnahmen von der Information sind gesetzlich begrenzt. [7]

Davon zu unterscheiden ist die starke Kundenauthentifizierung nach § 55 ZAG. Sie ist insbesondere bei bestimmten Onlinezugriffen und elektronischen Zahlungsvorgängen vorgesehen. Gesetzliche und unmittelbar anwendbare unionsrechtliche Ausnahmen sind gesondert zu prüfen. [8]

Weder eine erfolgreiche Authentifizierung noch ein unauffälliger Risikowert beantworten allein die Frage, ob eine Zahlung rechtlich autorisiert war. Für die Autorisierung ist grundsätzlich die Zustimmung des Zahlers nach § 675j BGB maßgeblich. § 675w BGB enthält besondere Nachweisregeln für streitige Zahlungsvorgänge. [7]

Ein Unternehmen wertet verdächtige Administratorzugriffe aus

Wiederholte Zugriffe auf ungewöhnliche Datenbestände können eine gezielte Untersuchung rechtfertigen. Umfang und Methoden müssen jedoch auf einer tragfähigen Rechtsgrundlage beruhen und verhältnismäßig bleiben. Zunächst kann zu klären sein, ob ein kompromittiertes Konto, eine Fehlkonfiguration oder ein berechtigter Arbeitsvorgang vorliegt.

Davon zu unterscheiden ist die persönliche Verantwortlichkeit. Ein Benutzerkonto und ein Mensch sind nicht gleichzusetzen. Gemeinsame Zugänge, gestohlene Zugangsdaten und automatisierte Prozesse können die Zuordnung erschweren.

Eine solche Untersuchung sollte deshalb technische Ursachenklärung und arbeitsrechtliche Bewertung unterscheiden, ohne eine erforderliche Beweissicherung zu verzögern.

Fristen und Ablauf nach einem Sicherheitsvorfall

Sofortmaßnahmen und datenschutzrechtliche Meldung

Nach einem Vorfall sind geeignete Maßnahmen zur Schadenbegrenzung und, soweit erforderlich, zur Beweissicherung zu treffen. Dazu können die Eingrenzung betroffener Systeme, die Sperrung kompromittierter Zugänge und eine nachvollziehbare Dokumentation gehören. Welche Maßnahmen geboten sind, hängt vom Vorfall und den einschlägigen Schutzpflichten ab.

Nicht jeder abgewehrte Angriff ist eine Verletzung des Schutzes personenbezogener Daten. Nach Art. 4 Nr. 12 DSGVO kommt es auf eine Sicherheitsverletzung an, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten beziehungsweise zum unbefugten Zugang zu ihnen führt. Auch ein Verlust der Datenverfügbarkeit kann relevant sein. [1]

Art. 33 Abs. 1 DSGVO verpflichtet den Verantwortlichen grundsätzlich zur Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung später, ist die Verzögerung zu begründen. [1]

Fehlende Einzelheiten können nach Art. 33 Abs. 4 DSGVO schrittweise ohne unangemessene weitere Verzögerung nachgereicht werden. Sie rechtfertigen nicht ohne Weiteres das Abwarten einer vollständigen Untersuchung.

Bei einem voraussichtlich hohen Risiko sind nach Art. 34 DSGVO grundsätzlich auch die Betroffenen unverzüglich zu benachrichtigen, soweit keine gesetzliche Ausnahme greift. Datenschutzverletzungen sind nach Art. 33 Abs. 5 DSGVO zu dokumentieren. Ein Auftragsverarbeiter muss den Verantwortlichen nach Bekanntwerden einer Datenschutzverletzung unverzüglich informieren. [1]

Weitere Meldepflichten können sich insbesondere aus sektorspezifischem Sicherheits- und Aufsichtsrecht ergeben. Die Datenschutzmeldung ersetzt sie nicht.

Unautorisierte Zahlungen

Bei einem nicht autorisierten Zahlungsvorgang verpflichtet § 675u BGB den Zahlungsdienstleister des Zahlers grundsätzlich zur unverzüglichen Erstattung. Die gesetzlichen Erstattungs- und Wiederherstellungspflichten sind spätestens bis zum Ende des Geschäftstags zu erfüllen, der auf den Tag folgt, an dem der Vorgang angezeigt wurde oder der Zahlungsdienstleister anderweitig davon Kenntnis erlangt hat. Bei einer Kontobelastung ist das Konto wieder auf den Stand zu bringen, auf dem es sich ohne die nicht autorisierte Zahlung befunden hätte. Die Gutschrift muss spätestens auf den Tag der ursprünglichen Belastung wertgestellt werden. [7]

Ein behördlich mitgeteilter Betrugsverdacht beseitigt die Erstattungspflicht nicht endgültig. Hat der Zahlungsdienstleister einer zuständigen Behörde schriftlich berechtigte Gründe für den Verdacht mitgeteilt, dass der Zahler betrügerisch gehandelt hat, gilt nach § 675u BGB eine abweichende Regelung zum weiteren Vorgehen: Der Zahlungsdienstleister muss den Erstattungsanspruch unverzüglich prüfen. Bestätigt sich der Betrugsverdacht nicht, muss er die gesetzlichen Erstattungs- und Wiederherstellungspflichten einschließlich der vorgeschriebenen Wertstellung unverzüglich erfüllen. Ein bloßer interner Verdachtsvermerk genügt für diese Sonderregelung nicht. [7]

Nach § 676b BGB müssen Zahlungsdienstnutzer nicht autorisierte oder fehlerhaft ausgeführte Zahlungsvorgänge unverzüglich nach Feststellung anzeigen. Daneben gilt grundsätzlich eine Ausschlussfrist von 13 Monaten nach Belastung für Ansprüche und Einwendungen wegen solcher Vorgänge. Der Fristbeginn hängt insbesondere von der ordnungsgemäßen Unterrichtung durch den Zahlungsdienstleister ab. [7]

Die 13 Monate sind deshalb keine Erlaubnis, nach Entdeckung mit der Anzeige zu warten. Eine mögliche Haftung des Zahlers nach § 675v BGB, insbesondere bei betrügerischem Handeln oder bestimmten vorsätzlichen beziehungsweise grob fahrlässigen Pflichtverletzungen, ist getrennt zu prüfen. Bei Zahlungsdienstnutzern, die keine Verbraucher sind, können nach § 675e Abs. 4 BGB zulässige abweichende Vereinbarungen zu berücksichtigen sein. [7]

Strafanzeige und zivilrechtliche Ansprüche

Je nach Vorgehensweise können insbesondere Betrug nach § 263 StGB, Computerbetrug nach § 263a StGB oder das Ausspähen von Daten nach § 202a StGB einschlägig sein. Nicht jede Auffälligkeit erfüllt einen Straftatbestand; erforderlich sind jeweils sämtliche gesetzlichen Tatbestandsmerkmale. [9]

Eine Strafanzeige ersetzt weder eine erforderliche Datenschutzmeldung noch die Geltendmachung zivilrechtlicher Ansprüche. Für viele zivilrechtliche Ansprüche gilt die regelmäßige dreijährige Verjährungsfrist nach § 195 BGB. Ihr Beginn richtet sich grundsätzlich nach § 199 BGB; Hemmung, Höchstfristen und Sonderregeln sind gesondert zu prüfen. Eine Strafanzeige allein hemmt diese Verjährung nicht. [7]

Kosten, Haftungsrisiken und erforderliche Belege

Welche Kosten rechtlich relevant werden

Zu den unmittelbaren Aufwendungen gehören nicht nur Software und Betrieb, sondern auch Konfiguration, Schulungen, Vorfallbearbeitung, Datenschutzprüfung und gegebenenfalls forensische Untersuchungen.

Fehlalarme können zusätzliche Nachteile verursachen: unterbrochene Geschäftsprozesse, unberechtigte Sperren oder arbeitsrechtliche Streitigkeiten. Ob daraus entstandene Schäden ersatzfähig sind, hängt von der jeweiligen Anspruchsgrundlage ab, insbesondere von Pflichtverletzung, Zurechnung, Schaden und Kausalität.

Art. 82 DSGVO eröffnet bei Vorliegen seiner Voraussetzungen Ansprüche auf Ersatz materieller und immaterieller Schäden. Ein Verstoß allein begründet keinen Schadensersatzanspruch; erforderlich sind auch ein Schaden und ein ursächlicher Zusammenhang. Behördliche Abhilfemaßnahmen richten sich insbesondere nach Art. 58 DSGVO, mögliche Geldbußen nach Art. 83 DSGVO. [1]

Schutzmaßnahmen können auch für Geschäftsgeheimnisse bedeutsam sein: § 2 Nr. 1 GeschGehG setzt unter anderem den Umständen nach angemessene Geheimhaltungsmaßnahmen voraus. Ein nachvollziehbares Zugriffs- und Sicherheitskonzept kann hierzu beitragen. Es ersetzt nicht die Prüfung der weiteren gesetzlichen Merkmale eines Geschäftsgeheimnisses. [11]

Welche Unterlagen eine Bewertung ermöglichen

Für eine rechtliche und technische Prüfung sind insbesondere hilfreich:

• eine Chronologie mit Entdeckungszeitpunkt und Maßnahmen,
• unverändert gesicherte Protokolle mit Zeitzonen und Herkunft,
• die Zuordnung von Konten, Geräten und Berechtigungen,
• die damals geltenden Filterregeln und Entscheidungsschwellen,
• die beim Vorgang eingesetzte Modell- oder Softwareversion,
• dokumentierte menschliche Prüfungen,
• Risikobewertungen, Löschkonzepte und Datenschutzinformationen,
• Verträge, Betriebsvereinbarungen und Dienstleisterunterlagen.

Die Sicherung und Nutzung solcher Unterlagen muss ihrerseits rechtmäßig sein. Bei Zahlungsfällen kommen Kontoauszüge, Reklamationen und Informationen zum Authentifizierungsvorgang hinzu.

Im Zivilprozess beurteilt das Gericht nach § 286 ZPO grundsätzlich unter Würdigung des gesamten Verhandlungsinhalts und der Beweisaufnahme, ob eine Tatsachenbehauptung als wahr anzusehen ist. Besondere gesetzliche Beweisregeln bleiben vorbehalten. Ein Protokolleintrag ist regelmäßig kein unwiderlegbarer Nachweis. Herkunft, Vollständigkeit, Manipulationsschutz und alternative Erklärungen können entscheidend sein. [10]

Typische Fehler und konkrete nächste Schritte

Häufige Fehler

Besonders riskant sind pauschale Sicherheitsbegründungen ohne konkrete Erforderlichkeitsprüfung. Weitere Fehler können unbegrenzte Protokollspeicherung, unkontrollierte Administratorzugriffe und die ungeprüfte spätere Nutzung von Sicherheitsdaten für andere Zwecke sein.

Hinzu kommen organisatorische Schwächen: Warnmeldungen bleiben unbearbeitet, menschliche Prüfungen sind nur formal vorgesehen oder eine gesperrte Person erreicht keine zuständige Stelle. Auch ein technisch leistungsfähiges System kann dadurch gesetzliche Anforderungen verfehlen.

Vorgehen für Unternehmen und Betroffene

Unternehmen sollten zunächst Datenflüsse und Systemwirkungen erfassen. Anschließend sind Rechtsgrundlagen, Schutzmaßnahmen, Speicherfristen und gegebenenfalls Mitbestimmung zu prüfen. Für belastende Entscheidungen sind nachvollziehbare Zuständigkeiten und angemessene Korrekturmöglichkeiten vorzusehen; besondere gesetzliche Schutzrechte bleiben zu beachten. Der Vorfallplan sollte Datenschutzmeldungen, Beweissicherung und zusätzliche sektorale Pflichten zusammenführen.

Betroffene sollten eine Sperre oder verdächtige Zahlung dokumentieren und zeitnah reklamieren. Bei nicht autorisierten oder fehlerhaft ausgeführten Zahlungen ist insbesondere die unverzügliche Anzeige nach § 676b BGB zu beachten. Sinnvolle Fragen sind: Welche Maßnahme wurde getroffen? Ist sie vorläufig oder endgültig? Findet eine tatsächliche menschliche Überprüfung statt? Welche Angaben werden zur Klärung benötigt?

Bei Verdacht auf kompromittierte Zugänge kommen insbesondere eine Änderung betroffener Zugangsdaten und die Sperrung missbrauchter Zugänge oder Zahlungsinstrumente in Betracht. Wer rechtliche Ansprüche verfolgt, sollte die einschlägigen Fristen unabhängig von einer internen Beschwerde oder Strafanzeige prüfen.

Häufige Fragen

Ist eine Firewall für jedes Unternehmen gesetzlich vorgeschrieben?

Eine bestimmte Firewall schreibt die DSGVO nicht allgemein vor. Art. 32 DSGVO verlangt bei der Verarbeitung personenbezogener Daten risikogerechte Schutzmaßnahmen. Je nach Systemlandschaft kann eine Firewall oder eine vergleichbare Netzabsicherung erforderlich sein. Für bestimmte Branchen können zusätzliche Vorgaben gelten. [1]

Dürfen IP-Adressen zur Angriffserkennung gespeichert werden?

Das kann zulässig sein, insbesondere auf Grundlage eines berechtigten Sicherheitsinteresses nach Art. 6 Abs. 1 Buchst. f DSGVO. Erforderlich bleiben die Interessenabwägung, eine konkrete Zweckbestimmung, Datenminimierung und eine begründete Speicherdauer. Personenbeziehbare IP-Adressen fallen nicht allein wegen ihres technischen Charakters aus dem Datenschutzrecht heraus. Zusätzliche bereichsspezifische Vorschriften können zu beachten sein. [1]

Darf ein Betrugserkennungssystem einen Kunden automatisch sperren?

Nicht uneingeschränkt. Neben der Datenverarbeitung muss die Sperre selbst rechtlich gerechtfertigt sein. Entfaltet eine ausschließlich automatisierte Entscheidung rechtliche oder ähnlich erhebliche Wirkung, ist zusätzlich Art. 22 DSGVO zu beachten. Eine kurzfristige Sicherheitsprüfung ist dabei anhand ihrer tatsächlichen Folgen zu bewerten; auch eine vorläufige Maßnahme ist nicht automatisch unbedenklich. [1]

Muss der Betriebsrat bei einer Sicherheitssoftware beteiligt werden?

Das kann erforderlich sein, wenn die Software objektiv zur Überwachung von Verhalten oder Leistung geeignet ist und die weiteren Voraussetzungen des § 87 Abs. 1 Nr. 6 BetrVG erfüllt sind. Die Bezeichnung als Sicherheitssoftware schließt Mitbestimmung nicht aus. [4]

Muss jeder Hackerangriff binnen 72 Stunden gemeldet werden?

Nein. Art. 33 DSGVO betrifft meldepflichtige Verletzungen des Schutzes personenbezogener Daten. Die Meldung muss unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden erfolgen; eine Verzögerung ist zu begründen. Ein vollständig abgewehrter Angriff ohne entsprechende Datenverletzung löst diese Pflicht nicht aus. Andere Meldepflichten können unabhängig davon bestehen. [1]

Beweist ein erfolgreiches Anmeldeverfahren, dass der Kontoinhaber gehandelt hat?

Nein. Eine Anmeldung kann etwa auf gestohlenen Zugangsdaten oder einer kompromittierten Sitzung beruhen. Für die Zuordnung eines Vorgangs können zusätzliche Umstände erforderlich sein. Auch bei Zahlungen ist erfolgreiche Authentifizierung nicht ohne Weiteres gleichbedeutend mit rechtlicher Autorisierung; § 675w BGB enthält hierzu besondere Nachweisregeln. [7]

Muss ein Unternehmen seine Betrugserkennungsregeln vollständig offenlegen?

Eine generelle Pflicht zur Veröffentlichung aller Regeln besteht nicht. Datenschutzrechtliche Informations- und Auskunftspflichten bleiben jedoch bestehen. Bei einschlägigen automatisierten Entscheidungen verlangen Art. 13 Abs. 2 Buchst. f, Art. 14 Abs. 2 Buchst. g und Art. 15 Abs. 1 Buchst. h DSGVO insbesondere aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und angestrebten Auswirkungen. Der Schutz von Geschäftsgeheimnissen rechtfertigt keine pauschale Verweigerung sämtlicher Informationen. [1]

Zusammenfassung

Von der Firewall bis zur automatisierten Betrugserkennung gilt: Sicherheitsmaßnahmen müssen den einschlägigen gesetzlichen Schutzanforderungen entsprechen. Soweit sie personenbezogene Daten verarbeiten oder in Rechte eingreifen, sind insbesondere Rechtsgrundlage, Erforderlichkeit und Verhältnismäßigkeit zu prüfen. Entscheidend sind die verarbeiteten Daten, die Auswirkungen einer Maßnahme und ihre nachvollziehbare Rechtfertigung.

Ein belastbares Konzept verbindet Technik mit klaren Zuständigkeiten, datenschutzkonformen Auswertungen, angemessenen Speicherfristen und zuverlässiger Vorfallbearbeitung. Wo Systeme Menschen bewerten oder Leistungen verweigern, sind die gesetzlichen Anforderungen an automatisierte Entscheidungen und erforderliche Korrekturmöglichkeiten besonders wichtig. Sicherheitsinteressen legitimieren gezielte Schutzmaßnahmen, aber weder grenzenlose Überwachung noch die ungeprüfte Gleichsetzung eines Risikowerts mit nachgewiesenem Betrug.