Eine Datenpanne liegt vor, wenn vertrauliche, geschützte oder personenbezogene Daten unbefugt eingesehen, kopiert, verändert oder offengelegt werden.
Nach der DSGVO muss eine solche Verletzung meist innerhalb von 72 Stunden gemeldet werden.
Arten von Datenschutzverletzungen
Datenpannen passieren nicht nur digital, sondern auch ganz analog.
Physische Datenpanne
Gestohlene Laptops, verlorene USB-Sticks, falsch entsorgte Akten oder offen liegende Unterlagen gehören dazu.
Verschlüsselte Datenträger und klare Regeln zur Entsorgung verhindern viele dieser Fälle.
Digitale Datenpanne
Angreifer dringen in Systeme ein, Datenbanken stehen ungeschützt im Netz oder Mails gehen an falsche Empfänger.
Die betroffenen Datenmengen können sehr groß sein.
Ursachen von Datenschutzverletzungen
Die meisten Pannen haben entweder menschliche oder kriminelle Ursachen.
Menschliches Versagen
Falsche Empfänger, schwache Passwörter, fehlende Updates und falsch eingestellte Cloud-Speicher öffnen Daten für Unbefugte.
Oft fehlt schlicht eine zweite Prüfung.
Cyber-Angriffe
Phishing, Schadsoftware, gestohlene Zugangsdaten und das automatisierte Ausprobieren von Passwörtern durch Bots führen zu Einbrüchen.
Ungeschützte Anmeldeseiten sind ein häufiges Einfallstor.
Auswirkungen von Datenschutzverletzungen
Betroffene Personen und Unternehmen tragen gleichermaßen die Folgen.
Finanzielle Auswirkungen
Bußgelder nach DSGVO, Schadenersatz, Untersuchung und Behebung verursachen hohe Kosten.
Hinzu kommen verlorene Aufträge.
Auswirkungen auf den Ruf
Kunden wechseln zu Anbietern, denen sie mehr vertrauen.
Berichte über eine Datenpanne bleiben lange im Gedächtnis.
Prävention von Datenschutzverletzungen
Vorbeugung ist deutlich günstiger als jede Schadensbehebung.
Implementierung von robusten Sicherheitsmaßnahmen
Verschlüsselung, Zwei-Faktor-Anmeldung, Zugriffsrechte nach Bedarf, aktuelle Systeme und Überwachung bilden die Grundlage.
Bot-Schutz wie CDPCaptcha an Anmeldungen bremst das massenhafte Testen gestohlener Passwörter.
Ausbildung und Schulung der Mitarbeiter
Mitarbeitende sollten Phishing erkennen, sicher mit Daten umgehen und Vorfälle sofort melden.
Kurze, regelmäßige Schulungen wirken besser als seltene lange.
Reaktion auf Datenschutzverletzungen
Wenn es doch passiert, zählt jede Stunde.
Untersuchen Sie den Verstoß
Klären Sie, welche Daten betroffen sind, wie es dazu kam und ob das Leck geschlossen ist.
Dokumentieren Sie alle Schritte für Behörden und Versicherung.
Betroffene Parteien benachrichtigen
Die zuständige Datenschutzbehörde ist innerhalb von 72 Stunden zu informieren, wenn ein Risiko für Betroffene besteht.
Bei hohem Risiko müssen auch die betroffenen Personen benachrichtigt werden.
Fazit
Datenpannen können jede Organisation treffen.
Wer vorbeugt und einen Plan für den Ernstfall hat, hält Schaden und Strafen gering.