Cybersecurity leicht gemacht: IT-Sicherheit und rechtliche Pflichten in Deutschland

Digitale Angriffe können Unternehmen, Anwaltskanzleien, Handwerksbetriebe, Vereine und Privatpersonen beeinträchtigen. Gestohlene Zugangsdaten, manipulierte Rechnungen oder verschlüsselte Dateien können wirtschaftliche Schäden verursachen und vertrauliche Informationen gefährden. Dabei ist nicht allein entscheidend, welche Schutzsoftware eingesetzt wird. Ebenso wichtig sind klare Verantwortlichkeiten, geeignete Arbeitsabläufe und die Kenntnis der jeweils geltenden rechtlichen Anforderungen.

„Cybersecurity leicht gemacht“ bezeichnet deshalb keine Zusicherung vollständiger Sicherheit. Gemeint ist ein nachvollziehbarer Ansatz: Risiken erkennen, angemessene Schutzmaßnahmen auswählen, Zuständigkeiten festlegen und Sicherheitsvorfälle strukturiert bearbeiten. Insbesondere das Datenschutzrecht verlangt grundsätzlich keine absolute Unangreifbarkeit. Es fordert risikogerechte technische und organisatorische Maßnahmen. Andere gesetzliche oder vertragliche Vorgaben können zusätzliche, konkret bestimmte Anforderungen enthalten.

Der folgende Beitrag erläutert zentrale Begriffe, ordnet typische Sicherheitsprobleme rechtlich ein und verbindet technische Vorsorge mit den maßgeblichen gesetzlichen Pflichten. Welche Anforderungen tatsächlich gelten, hängt insbesondere von der Tätigkeit, den verarbeiteten Informationen und dem anwendbaren Regelungsbereich ab.

1. Begriffsklärung: Was Cybersecurity umfasst

Schutz von Informationen, Systemen und Arbeitsabläufen

Cybersecurity bezeichnet den Schutz digitaler Systeme, Netzwerke und Informationen vor unbefugten Eingriffen und anderen sicherheitsrelevanten Beeinträchtigungen. Zu den klassischen Schutzzielen gehören:

• Vertraulichkeit: Informationen sollen nur berechtigten Personen zugänglich sein.
• Integrität: Informationen und Systeme sollen vor unbefugten Veränderungen geschützt werden.
• Verfügbarkeit: Daten und Anwendungen sollen entsprechend dem jeweiligen Bedarf nutzbar sein.

Hinzu kommen die verlässliche Feststellung von Identitäten und die Nachvollziehbarkeit sicherheitsrelevanter Vorgänge. Eine manipulierte Bankverbindung beeinträchtigt die Integrität einer Rechnung. Die Veröffentlichung vertraulicher Mandantendaten betrifft die Vertraulichkeit. Ein verschlüsselter Server kann die Verfügbarkeit von Daten und Anwendungen aufheben.

Cybersicherheit erschöpft sich deshalb nicht in der Abwehr von Schadprogrammen. Sie umfasst auch Berechtigungskonzepte, Datensicherungen, Vertragsgestaltung, Beschäftigtenschulungen und die Vorbereitung auf Betriebsunterbrechungen. Welche Maßnahmen erforderlich sind, lässt sich nicht unabhängig vom jeweiligen Schutzbedarf bestimmen.

Abgrenzung zum Datenschutz

Datenschutz und IT-Sicherheit überschneiden sich, sind jedoch nicht identisch. Datenschutz schützt natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten. IT-Sicherheit schützt zusätzlich Informationen ohne Personenbezug, beispielsweise technische Konstruktionszeichnungen oder interne Kalkulationen.

Ein Ausfall kann sicherheitsrechtlich relevant sein, ohne eine Verletzung des Schutzes personenbezogener Daten darzustellen. Umgekehrt kann eine datenschutzwidrige Verarbeitung auf einem technisch gut abgesicherten System stattfinden. Wer personenbezogene Daten ohne erforderliche Rechtsgrundlage verarbeitet, handelt nicht deshalb rechtmäßig, weil die Daten verschlüsselt gespeichert werden.

Ein Sicherheitskonzept ersetzt daher weder die Prüfung einer Rechtsgrundlage noch die Beachtung von Zweckbindung, Datenminimierung und Speicherbegrenzung. Auch Sicherheitsprotokolle und Sicherungskopien sind in ein datenschutzgerechtes Gesamtkonzept einzubeziehen. Sicherheitsinteressen rechtfertigen keine beliebige oder unbegrenzte Speicherung personenbezogener Informationen.

2. Rechtlicher Rahmen und einschlägige Normen

Datenschutz-Grundverordnung: Sicherheit als verbindliche Pflicht

Soweit eine Verarbeitung personenbezogener Daten in ihren sachlichen und räumlichen Anwendungsbereich fällt, bildet die Datenschutz-Grundverordnung einen zentralen Maßstab. Nicht jede private Datenverwendung wird von ihr erfasst. Art. 2 Abs. 2 Buchst. c DSGVO nimmt beispielsweise Verarbeitungen durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten aus. Die Grenzen dieser Ausnahme sind im Einzelfall zu prüfen.

Art. 5 Abs. 1 Buchst. f DSGVO verlangt eine Verarbeitung, die angemessene Sicherheit gewährleistet. Art. 24 DSGVO verpflichtet den Verantwortlichen zu geeigneten technischen und organisatorischen Maßnahmen, um eine verordnungsgemäße Verarbeitung sicherzustellen und nachweisen zu können. Art. 25 DSGVO betrifft Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

Konkretisiert wird die Sicherheitspflicht durch Art. 32 DSGVO. Verantwortliche und Auftragsverarbeiter müssen ein dem Risiko angemessenes Schutzniveau gewährleisten. Zu berücksichtigen sind der Stand der Technik, Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung. Maßgeblich sind außerdem Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen.

Art. 32 DSGVO nennt unter anderem Pseudonymisierung, Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie die Fähigkeit zur Wiederherstellung nach einem Zwischenfall. Hinzu kommen Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen. Nicht jede genannte Maßnahme ist bei jeder Verarbeitung zwingend. Die Auswahl muss jedoch der konkreten Risikolage gerecht werden.

Auslagerung an Dienstleister

Wer externe Dienstleister einsetzt, muss deren datenschutzrechtliche Rolle anhand der tatsächlichen Aufgaben und Entscheidungsbefugnisse bestimmen. Nicht jede Zusammenarbeit ist eine Auftragsverarbeitung. Möglich sind auch eine eigenständige oder eine gemeinsame Verantwortlichkeit.

Liegt Auftragsverarbeitung vor, verlangt Art. 28 DSGVO insbesondere eine vertragliche oder sonstige dort vorgesehene rechtliche Grundlage mit festgelegten Inhalten. Der Verantwortliche darf nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.

Die Beauftragung eines IT-Unternehmens beseitigt die Pflichten des Verantwortlichen nicht. Zu prüfen sind beispielsweise administrative Zugriffsrechte, weitere Auftragsverarbeiter, Wiederherstellungsmöglichkeiten und Unterstützungsleistungen bei Sicherheitsvorfällen. Dabei muss nachvollziehbar feststehen, welche Aufgaben der Dienstleister übernimmt und welche beim Auftraggeber verbleiben.

Werden personenbezogene Daten an Empfänger in Drittländern übermittelt, sind zusätzlich die Anforderungen der Art. 44 ff. DSGVO zu beachten. Bei Cloud-Angeboten müssen deshalb technische Sicherheit, Rollenverteilung und internationale Datenübermittlungen getrennt untersucht werden. Ein Sicherheitszertifikat beantwortet diese Fragen nicht automatisch.

Besondere Sicherheitsregulierung

Neben dem Datenschutzrecht bestehen besondere Anforderungen für bestimmte Einrichtungen und Wirtschaftsbereiche. Hierzu gehören das BSI-Gesetz und sektorspezifische Regelungen, etwa für Telekommunikation, Energie und den Finanzsektor. Deren Anwendbarkeit lässt sich nicht allein daraus ableiten, dass ein Unternehmen Computer oder das Internet nutzt.

Die Richtlinie (EU) 2022/2555, regelmäßig als NIS-2-Richtlinie bezeichnet, enthält Vorgaben insbesondere zu Cybersicherheitsrisikomanagement, Leitungsverantwortung und Meldungen erheblicher Sicherheitsvorfälle. Ob und welche konkreten deutschen Pflichten eine Einrichtung treffen, muss anhand des jeweils geltenden nationalen Rechts und gegebenenfalls vorrangiger oder ergänzender Branchenregelungen bestimmt werden.

Aus der Richtlinie allein lässt sich kein allgemeiner, unmittelbar gegenüber jedem privaten Unternehmen durchsetzbarer Pflichtenkatalog ableiten. Der konkrete deutsche Umsetzungsstand und die aktuelle Fassung der einschlägigen Vorschriften bleiben deshalb gesondert zu prüfen.

Eine belastbare Einordnung berücksichtigt insbesondere Tätigkeit, Größe, gesetzliche Einstufungen, Sonderfälle und Ausnahmen. Allgemeine Schwellenwerttabellen können eine Orientierung bieten, ersetzen aber keine Prüfung des gesetzlichen Anwendungsbereichs.

Vertragsrecht, Geschäftsgeheimnisse und Strafrecht

Auch außerhalb besonderer Sicherheitsgesetze können Pflichten aus Verträgen folgen. § 241 Abs. 2 BGB verpflichtet zur Rücksichtnahme auf Rechte, Rechtsgüter und Interessen des anderen Teils. Bei einer zu vertretenden Pflichtverletzung können Schadensersatzansprüche nach § 280 BGB entstehen. Je nach Anspruchsart sind zusätzliche Voraussetzungen zu beachten.

Welche Sicherheitsleistung geschuldet ist, hängt insbesondere von Vertragsinhalt, Risikoverteilung und erkennbaren Schutzinteressen ab. Eine allgemeine Zusage zur IT-Betreuung bedeutet nicht ohne Weiteres, dass der Dienstleister jeden denkbaren Angriff verhindern muss.

Für Geschäftsgeheimnisse ist § 2 Nr. 1 GeschGehG maßgeblich. Die gesetzliche Definition setzt unter anderem den Umständen nach angemessene Geheimhaltungsmaßnahmen voraus. Fehlende Zugangsbeschränkungen können daher den rechtlichen Geheimnisschutz beeinträchtigen. Welche Maßnahmen genügen, richtet sich nach den konkreten Umständen.

Auf Täterseite kommen beispielsweise das Ausspähen von Daten nach § 202a StGB, Datenveränderung nach § 303a StGB und Computersabotage nach § 303b StGB in Betracht. Nicht jeder unbefugte Zugriff erfüllt sämtliche dieser Tatbestände. Entscheidend sind die jeweiligen gesetzlichen Voraussetzungen und der tatsächliche Ablauf.

3. Rechtsprechungslinien: Angemessene Sicherheit statt Erfolgsgarantie

Ein erfolgreicher Angriff beweist nicht automatisch einen Pflichtverstoß

Der Europäische Gerichtshof hat mit Urteil vom 14. Dezember 2023, C-340/21, klargestellt, dass eine unbefugte Offenlegung personenbezogener Daten oder ein unbefugter Zugang durch Dritte nicht für sich genommen beweist, dass die Schutzmaßnahmen ungeeignet waren.

Entscheidend bleibt die konkrete Bewertung der Maßnahmen anhand der Risiken der Verarbeitung. Umgekehrt genügt die bloße Behauptung, ein krimineller Angriff sei unvermeidbar gewesen, nicht zur Entlastung. In einem Schadensersatzverfahren nach Art. 82 DSGVO trägt der Verantwortliche nach dieser Entscheidung die Beweislast für die Angemessenheit seiner Sicherheitsmaßnahmen.

Dokumentierte Risikobewertungen, überprüfte Berechtigungen und nachvollziehbare Wartungsprozesse können deshalb rechtlich bedeutsam sein. Sie ersetzen allerdings weder die tatsächliche Umsetzung noch die Wirksamkeit der Maßnahmen. Eine umfangreiche Dokumentation allein macht ein unzureichend geschütztes System nicht rechtskonform.

Schadensersatz setzt mehr als einen Rechtsverstoß voraus

Mit Urteil vom 4. Mai 2023, C-300/21, hat der Europäische Gerichtshof entschieden, dass ein Verstoß gegen die DSGVO allein keinen Schadensersatzanspruch nach Art. 82 DSGVO begründet. Erforderlich sind außerdem ein materieller oder immaterieller Schaden und ein ursächlicher Zusammenhang zwischen Verstoß und Schaden. Eine besondere Erheblichkeitsschwelle für immaterielle Schäden darf nicht verlangt werden.

Im Urteil vom 14. Dezember 2023, C-340/21, hat der Gerichtshof zudem anerkannt, dass die Befürchtung eines möglichen Missbrauchs personenbezogener Daten einen immateriellen Schaden darstellen kann. Das nationale Gericht muss prüfen, ob diese Befürchtung unter den konkreten Umständen als begründet angesehen werden kann.

Damit sind zwei Verkürzungen unzutreffend: Weder führt jeder Sicherheitsmangel automatisch zu einer Geldzahlung, noch sind Beeinträchtigungen ohne unmittelbar messbaren Vermögensverlust grundsätzlich vom Schadensersatz ausgeschlossen. Die Anspruchsvoraussetzungen müssen jeweils festgestellt werden.

Kontrollverlust als ersatzfähige Beeinträchtigung

Der Bundesgerichtshof hat mit Urteil vom 18. November 2024, VI ZR 10/24, den Verlust der Kontrolle über personenbezogene Daten als möglichen immateriellen Schaden im Sinne von Art. 82 DSGVO eingeordnet. Ein tatsächlicher Missbrauch der Daten oder zusätzliche spürbare negative Folgen sind dafür nicht zwingend erforderlich.

Der Kontrollverlust muss jedoch tatsächlich vorliegen. Die bloße Möglichkeit, von einem Vorfall betroffen zu sein, begründet keinen pauschalen Zahlungsanspruch. Auch der Zusammenhang zwischen dem Datenschutzverstoß und dem geltend gemachten Schaden bleibt zu prüfen. Art und Dauer des Kontrollverlusts können für die Bemessung des Ersatzes bedeutsam sein.

Die Haftung nach Art. 82 DSGVO ist zudem nicht als uneingeschränkte Erfolgsgarantie zu verstehen. Art. 82 Abs. 3 DSGVO sieht eine Befreiung vor, wenn der Verantwortliche oder Auftragsverarbeiter nachweist, dass er in keinerlei Hinsicht für den schadensauslösenden Umstand verantwortlich ist. Ein Angriff durch Dritte genügt für diesen Nachweis nicht automatisch.

4. Typische Fallkonstellationen

Phishing und manipulierte Zahlungsanweisungen

Beim Phishing versuchen Angreifer, vertrauliche Informationen oder sicherheitsrelevante Handlungen durch Täuschung zu erlangen. Häufig werden Nachrichten von Banken, Vorgesetzten oder Geschäftspartnern nachgeahmt. Bei manipulierten Rechnungen kann insbesondere die Bankverbindung ausgetauscht werden.

Rechtlich sind die Straftat des Angreifers, mögliche Sicherheitsversäumnisse und die Erfüllung der ursprünglichen Zahlungspflicht zu unterscheiden. Nach § 362 Abs. 1 BGB erlischt ein Schuldverhältnis grundsätzlich, wenn die geschuldete Leistung an den Gläubiger bewirkt wird. Eine Zahlung auf ein fremdes Konto wirkt deshalb nicht ohne Weiteres schuldbefreiend. Besondere Umstände, etwa eine wirksame Ermächtigung oder Genehmigung, können eine andere Bewertung ermöglichen.

Ob Schadensersatzansprüche wegen unzureichender Absicherung bestehen, hängt unter anderem von Pflichtverletzung, Vertretenmüssen und Kausalität ab. Ein Mitverschulden nach § 254 BGB kann zu berücksichtigen sein. Eine allgemeine Regel, wonach stets der Rechnungsabsender oder stets der Zahlende den Schaden trägt, wäre unzutreffend.

Ransomware und ausgefallene Datensicherungen

Ransomware kann betriebliche Daten verschlüsseln und dadurch Arbeitsabläufe unterbrechen. Teilweise werden Daten zusätzlich kopiert und ihre Veröffentlichung angedroht. Bei personenbezogenen Daten können dadurch sowohl Verfügbarkeits- als auch Vertraulichkeitsverletzungen entstehen.

Eine Datensicherung ist nicht schon deshalb ausreichend, weil Sicherungskopien vorhanden sind. Entscheidend ist, ob sie entsprechend dem Schutzbedarf gegen den Angriff abgesichert und tatsächlich wiederherstellbar sind. Getrennte Zugriffsrechte und überprüfte Wiederherstellungsverfahren können hierfür wesentliche Bausteine bilden.

Eine Lösegeldzahlung gewährleistet weder die Wiederherstellung noch die Löschung entwendeter Daten. Zudem können insbesondere finanzsanktionsrechtliche Verbote berührt sein. Ob eine Zahlung rechtlich zulässig ist, hängt unter anderem vom Empfänger und den einschlägigen Verboten ab. Aus einer Zahlung folgt auch nicht, dass gesetzliche Meldepflichten entfallen.

Fehlversand und offen zugängliche Dateien

Nicht jeder Sicherheitsvorfall beruht auf einem Angriff. Eine Nachricht an die falsche Adresse oder ein fehlerhaft eingerichteter Freigabelink kann ebenfalls eine Verletzung des Schutzes personenbezogener Daten verursachen. Dafür ist nicht erforderlich, dass eine böswillige Absicht vorliegt.

Zu klären ist, welche Daten betroffen waren, welchen Personen sie zugänglich wurden und welche Folgen möglich sind. Ein fehlender Nachweis tatsächlicher Einsichtnahme schließt eine Datenschutzverletzung nicht automatisch aus. Umgekehrt lässt sich nicht aus jeder fehlerhaften Einstellung auf einen tatsächlichen Datenzugang schließen.

Die Möglichkeit, einen Link zu sperren oder einen Empfänger zur Löschung aufzufordern, kann für die Risikobewertung bedeutsam sein. Sie beseitigt einen bereits erfolgten Zugriff jedoch nicht rückwirkend. Benutzerfreundliche Freigabeeinstellungen und nachvollziehbare Arbeitsabläufe können helfen, solche Fehler zu vermeiden.

Besonderheiten von Anwaltskanzleien

Anwaltskanzleien verarbeiten Informationen, die zusätzlich durch berufliche Verschwiegenheit geschützt sein können. Neben der DSGVO sind insbesondere § 43a Abs. 2 BRAO und § 203 StGB zu beachten. Für die Inanspruchnahme von Dienstleistungen enthält § 43e BRAO besondere Anforderungen.

Externe IT-Dienstleistungen sind nicht generell ausgeschlossen. Zu prüfen sind insbesondere die Erforderlichkeit eines Geheimniszugangs, die sorgfältige Auswahl des Dienstleisters und die gesetzlich verlangte vertragliche Ausgestaltung. Ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO erfüllt berufsrechtliche Anforderungen nicht notwendig vollständig.

Nicht jede Weitergabe an einen Dienstleister ist eine strafbare Geheimnisverletzung. Maßgeblich sind die Voraussetzungen des § 203 StGB und die jeweilige Befugnis zur Offenlegung. Für besonders sensible Mandatsinformationen können weitergehende Schutzmaßnahmen erforderlich sein als für gewöhnliche geschäftliche Kommunikation. Die konkrete Schutzbedürftigkeit ist deshalb gesondert zu bewerten.

5. Rechtsfolgen und wirtschaftliche Risiken

Aufsichtsmaßnahmen und Bußgelder

Datenschutzaufsichtsbehörden verfügen nach Art. 58 DSGVO über Untersuchungs- und Abhilfebefugnisse. Sie können unter anderem Informationen verlangen, Überprüfungen durchführen und Maßnahmen zur Herstellung rechtmäßiger Verarbeitungsbedingungen anordnen. Unter den gesetzlichen Voraussetzungen kommen auch Beschränkungen oder Verbote bestimmter Verarbeitungen in Betracht.

Verstöße gegen Art. 32 DSGVO fallen grundsätzlich unter Art. 83 Abs. 4 Buchst. a DSGVO. Der dort vorgesehene Bußgeldrahmen beträgt bis zu zehn Millionen Euro oder bei Unternehmen bis zu zwei Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Sind zugleich andere Vorschriften verletzt, müssen deren Einordnung und die Regeln für zusammentreffende Verstöße gesondert geprüft werden.

Die Höchstbeträge sind keine Regelbußgelder. Maßgeblich sind die Umstände des Einzelfalls und die Kriterien des Art. 83 Abs. 2 DSGVO. Dazu gehören insbesondere Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit sowie Maßnahmen zur Schadensminderung. Ein erfolgreicher Angriff allein begründet noch keinen bußgeldfähigen Sicherheitsverstoß.

Zivilrechtliche Haftung und Versicherungsfragen

Neben Art. 82 DSGVO kommen vertragliche Schadensersatzansprüche und gegebenenfalls deliktische Ansprüche in Betracht. Wiederherstellungskosten oder wirtschaftliche Folgeschäden können ersatzfähig sein, wenn die Voraussetzungen der jeweiligen Anspruchsgrundlage erfüllt sind. Nicht jeder Aufwand nach einem Angriff ist automatisch einem anderen Beteiligten zuzurechnen.

Eine Cyberversicherung ersetzt keine Sicherheitsorganisation. Der Versicherungsschutz richtet sich nach dem vereinbarten Umfang, den Ausschlüssen und den gesetzlichen sowie vertraglichen Vorgaben. Zu beachten sind insbesondere Anzeigeobliegenheiten, Abstimmungsanforderungen und Regelungen über die Beauftragung externer Unterstützung.

Ob eine Obliegenheitsverletzung zu einer Leistungskürzung oder Leistungsfreiheit führt, hängt unter anderem von der einschlägigen Regelung, dem Verschulden und gegebenenfalls der Ursächlichkeit ab. Eine pauschale Aussage, jede verspätete Meldung lasse den Versicherungsschutz entfallen, wäre unzutreffend.

Verantwortung der Leitung und der Beschäftigten

Leitungsorgane müssen betriebliche Risiken im Rahmen ihrer gesetzlichen Sorgfaltspflichten angemessen berücksichtigen. Für Geschäftsführer einer GmbH ist insbesondere § 43 GmbHG, für Vorstandsmitglieder einer Aktiengesellschaft § 93 AktG relevant. Welche organisatorischen Maßnahmen erforderlich sind, richtet sich nach der konkreten Gesellschaft und ihrer Risikolage.

Aufgaben können delegiert werden. Daraus folgt jedoch nicht, dass jede Auswahl-, Organisations- oder Überwachungsverantwortung entfällt. Ebenso wenig begründet jeder Cyberangriff automatisch eine persönliche Haftung der Leitung.

Bei betrieblich veranlasster Tätigkeit können für Beschäftigte die arbeitsrechtlichen Grundsätze des innerbetrieblichen Schadensausgleichs gelten. Der Umfang ihrer Haftung hängt insbesondere vom Verschuldensgrad und weiteren Umständen ab. Fehlende Schulung, unklare Anweisungen oder organisatorisch begünstigte Fehler können für die Bewertung erheblich sein. Eine vollständige Arbeitnehmerhaftung lässt sich deshalb nicht allein aus einer Fehlbedienung ableiten.

6. Verfahren und Fristen nach einem Sicherheitsvorfall

Sofortmaßnahmen und erste Einordnung

Nach Entdeckung eines Vorfalls sollten technische Eindämmung und rechtliche Bewertung möglichst parallel erfolgen. Zu ermitteln sind betroffene Systeme, Datenarten, mögliche Zugriffe und Auswirkungen auf den Betrieb. Dabei ist zwischen einem abgewehrten Angriffsversuch und einer tatsächlichen Sicherheitsverletzung zu unterscheiden.

Je nach Lage können die Sperrung kompromittierter Zugänge oder die Trennung betroffener Systeme erforderlich sein. Solche Eingriffe müssen koordiniert werden, weil sie auch wichtige Dienste unterbrechen oder Beweismittel verändern können. Relevante Protokolle und andere Spuren sollten unter Beachtung der rechtlichen Grenzen gesichert werden.

Ein Ereignisprotokoll erleichtert die spätere Aufklärung. Es sollte insbesondere festhalten, wann welche Erkenntnisse vorlagen, wer Entscheidungen traf und welche Maßnahmen umgesetzt wurden. Auch Unsicherheiten und vorläufige Bewertungen sollten erkennbar bleiben.

Meldung an die Datenschutzaufsicht

Liegt eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO vor, ist Art. 33 DSGVO zu prüfen. Der Verantwortliche muss die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden informieren. Die Meldung kann unterbleiben, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Das Bekanntwerden ist nicht mit dem technischen Beginn des Angriffs gleichzusetzen. Nach den Leitlinien des Europäischen Datenschutzausschusses ist insbesondere maßgeblich, wann ein hinreichender Grad an Gewissheit darüber besteht, dass ein Sicherheitsvorfall personenbezogene Daten beeinträchtigt hat. Erste Verdachtsmomente dürfen allerdings nicht ohne angemessene Aufklärung liegen bleiben.

Erfolgt die Meldung später als 72 Stunden nach Bekanntwerden, sind die Gründe für die Verzögerung beizufügen. Die DSGVO sieht insoweit keine allgemeine Beschränkung auf Geschäftszeiten vor. Eine organisatorische Erreichbarkeit für dringende Vorfälle kann deshalb erforderlich sein.

Fehlen zunächst Informationen, erlaubt Art. 33 Abs. 4 DSGVO eine schrittweise Bereitstellung ohne unangemessene weitere Verzögerung. Ein abschließender forensischer Bericht ist nicht grundsätzlich Voraussetzung der Erstmeldung.

Auftragsverarbeiter müssen den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich nach Bekanntwerden einer Datenschutzverletzung unterrichten. Für diese Unterrichtung gilt keine eigene allgemeine 72-Stunden-Frist. Vertragliche Konkretisierungen sind zusätzlich zu beachten.

Information betroffener Personen

Führt eine Datenschutzverletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen, verlangt Art. 34 DSGVO grundsätzlich eine unverzügliche Benachrichtigung der Betroffenen. Eine feste allgemeine 72-Stunden-Frist enthält diese Vorschrift nicht.

Die Information muss in klarer und einfacher Sprache erfolgen und die gesetzlich vorgesehenen Angaben enthalten. Dazu gehören insbesondere die Art der Verletzung, eine Kontaktmöglichkeit, die wahrscheinlichen Folgen sowie ergriffene oder vorgeschlagene Abhilfemaßnahmen.

Art. 34 Abs. 3 DSGVO enthält Ausnahmen. Eine kann eingreifen, wenn geeignete Schutzmaßnahmen auf die betroffenen Daten angewandt wurden, durch die sie für unbefugte Personen unverständlich sind, insbesondere eine wirksame Verschlüsselung. Entscheidend ist ihre tatsächliche Schutzwirkung.

Verschlüsselung schließt eine Benachrichtigungspflicht daher nicht schematisch aus. Zu prüfen sind etwa kompromittierte Schlüssel und Risiken aus einem Verfügbarkeitsverlust. Bei unverhältnismäßigem Aufwand kann unter den gesetzlichen Voraussetzungen an die Stelle der individuellen Benachrichtigung eine öffentliche oder vergleichbar wirksame Information treten.

Weitere Meldungen und Beweissicherung

Besondere Sicherheitsgesetze, Verträge und Versicherungsbedingungen können zusätzliche Mitteilungen verlangen. Empfänger, Auslöser, Inhalt und Fristen müssen für jede Pflicht gesondert bestimmt werden. Die datenschutzrechtlichen 72 Stunden sind keine allgemeine Frist für sämtliche Sicherheitsmeldungen.

Bei Verdacht auf Straftaten kommt eine Strafanzeige in Betracht. Sie ersetzt weder die technische Eindämmung noch eine erforderliche Meldung an die Datenschutzaufsicht oder eine Benachrichtigung der Betroffenen.

Nach Art. 33 Abs. 5 DSGVO müssen Datenschutzverletzungen dokumentiert werden. Die Dokumentation muss insbesondere die damit zusammenhängenden Fakten, Auswirkungen und Abhilfemaßnahmen erfassen. Dies gilt auch für Datenschutzverletzungen, die nicht an die Aufsichtsbehörde gemeldet werden müssen. Die Gründe für diese Bewertung sollten nachvollziehbar festgehalten werden.

7. Praktische Handlungsschritte für ein tragfähiges Sicherheitskonzept

Schritt 1: Bestand und Schutzbedarf feststellen

Ausgangspunkt ist eine Bestandsaufnahme von Geräten, Anwendungen, Benutzerkonten, Dienstleistern und Datenbeständen. Einzubeziehen sind auch private Geräte mit betrieblichem Zugriff und ohne zentrale Freigabe eingesetzte Cloud-Dienste.

Anschließend ist der Schutzbedarf zu bestimmen. Welche Folgen hätte ein Ausfall? Welche Informationen sind besonders vertraulich? Können veränderte Daten zu fehlerhaften Zahlungen, medizinischen Entscheidungen oder versäumten rechtlichen Fristen führen? Welche Abhängigkeiten bestehen von einzelnen Dienstleistern?

Für Art. 32 DSGVO genügt eine Betrachtung des eigenen wirtschaftlichen Schadens nicht. Maßgeblich sind die Risiken für die betroffenen Menschen. Dazu können finanzielle Nachteile, Identitätsmissbrauch, Diskriminierung oder erhebliche Beeinträchtigungen der Privatsphäre gehören. Die Bewertung sollte bei relevanten Änderungen überprüft werden.

Schritt 2: Zugänge begrenzen und wirksam absichern

Berechtigungen sollten auf den jeweiligen Aufgabenbedarf begrenzt werden. Für administrative Tätigkeiten sind getrennte Konten regelmäßig zweckmäßig. Nicht mehr benötigte Zugänge sollten zeitnah deaktiviert werden; der notwendige Zeitpunkt richtet sich nach Anlass und Risiko.

Mehrfaktor-Authentisierung kann die Übernahme von Konten erschweren, insbesondere bei E-Mail, Fernzugriffen und administrativen Funktionen. Ihre Wirksamkeit hängt auch vom eingesetzten Verfahren ab. Sie ersetzt weder die Absicherung von Wiederherstellungswegen noch den Schutz bereits angemeldeter Sitzungen.

Passwortmanager können die Verwendung unterschiedlicher, hinreichend starker Passwörter unterstützen. Ebenso wichtig sind geregelte Verfahren bei Eintritt, Aufgabenwechsel und Ausscheiden von Beschäftigten. Technische Schutzmaßnahmen verlieren an Wirkung, wenn organisatorisch unnötige Zugriffsrechte bestehen bleiben.

Schritt 3: Aktualisierungen und Sicherungen organisieren

Sicherheitsaktualisierungen sollten nach einem festgelegten Verfahren bewertet und eingespielt werden. Besondere Aufmerksamkeit verdienen bereits ausgenutzte Schwachstellen und von außen erreichbare Systeme. Eine einheitliche gesetzliche Installationsfrist für jedes Update ergibt sich aus Art. 32 DSGVO nicht.

Technische Verträglichkeit und Betriebsstabilität können Tests erforderlich machen. Aufschübe sollten jedoch risikobezogen begründet und gegebenenfalls durch vorläufige Schutzmaßnahmen begleitet werden. Dauerhaft nicht mehr unterstützte Systeme können erhebliche zusätzliche Risiken verursachen.

Datensicherungen sollten gegen die Risiken geschützt werden, die auch die Produktivsysteme bedrohen. Dafür kommen getrennte Berechtigungen, unveränderbare Sicherungsstände oder zeitweise getrennte Speichermedien in Betracht. Die Wiederherstellung sollte praktisch geprüft werden. Dabei sind auch notwendige Zugangsdaten, Konfigurationen und Abhängigkeiten zwischen Anwendungen zu berücksichtigen.

Schritt 4: Kommunikation und Zahlungen absichern

Bei Änderungen von Bankverbindungen ist eine Rückfrage über einen unabhängig verifizierten, bereits bekannten Kontaktweg eine sinnvolle Vorsichtsmaßnahme. Eine Antwort innerhalb derselben möglicherweise kompromittierten E-Mail-Kommunikation bietet keine zuverlässige unabhängige Bestätigung.

Für schutzbedürftige Dokumente sollten geeignete Übertragungswege festgelegt werden. Transportverschlüsselung und Ende-zu-Ende-Verschlüsselung schützen unterschiedliche Abschnitte beziehungsweise Beteiligte der Kommunikation. Zugriffsgeschützte Austauschplattformen können eine weitere Möglichkeit sein, erfordern aber ebenfalls geeignete Konfiguration und Berechtigungsverwaltung.

Welche Lösung erforderlich ist, hängt insbesondere vom Inhalt, Empfängerkreis und Risiko ab. Zahlungsfreigaben sollten außergewöhnliche Vorgänge erkennbar machen. Eine zusätzliche Kontrolle kann bei neuen Empfängern, ungewöhnlichem Zeitdruck oder auffälligen Änderungen zweckmäßig sein. Daraus folgt keine allgemeine gesetzliche Pflicht zu einem bestimmten Freigabeverfahren für jede Zahlung.

Schritt 5: Menschen und Dienstleister einbeziehen

Schulungen sollten an tatsächliche Tätigkeiten anknüpfen: Anmeldeseiten prüfen, Freigabelinks verwenden, sensible Anhänge versenden und verdächtige Vorgänge melden. Eine für alle Organisationen einheitliche Schulungshäufigkeit lässt sich aus Art. 32 DSGVO nicht ableiten. Inhalt und Wiederholung sollten sich an Aufgaben und Risiken orientieren.

Ein verständlicher Meldeweg erleichtert eine schnelle Reaktion. Beschäftigte sollten wissen, an wen sie sich wenden können und welche Informationen zunächst benötigt werden. Eine Meldung sollte auch möglich sein, wenn noch Unsicherheit über das Vorliegen eines Vorfalls besteht.

Mit Dienstleistern sollten Zuständigkeiten für Aktualisierungen, Protokollierung, Sicherungen, Vorfallunterstützung und Vertragsbeendigung klar geregelt werden. Die Vereinbarung muss zur tatsächlichen Leistungserbringung passen. Unbestimmte Zusagen wie „vollständige IT-Betreuung“ können vermeidbare Auslegungs- und Zuständigkeitsprobleme schaffen.

Schritt 6: Notfallplan testen und Entscheidungen dokumentieren

Ein Notfallplan sollte Ansprechpartner, Vertretungen, Entscheidungsbefugnisse und alternative Kommunikationswege benennen. Er muss auch dann erreichbar sein, wenn übliche Systeme nicht verfügbar oder nicht mehr vertrauenswürdig sind.

Eine Übung kann feststellen, ob die vorgesehenen Abläufe funktionieren. Als Szenario eignet sich etwa ein übernommenes E-Mail-Konto mit möglichen Datenabflüssen und manipulierten Zahlungsanweisungen. Zu klären ist, wer Zugänge sperrt, Beweise sichert, Risiken bewertet und notwendige Mitteilungen veranlasst.

Dokumentiert werden sollten wesentliche Sicherheitsentscheidungen, festgestellte Mängel und beschlossene Verbesserungen. Dabei sind Zuständigkeiten und Umsetzung nachvollziehbar festzuhalten. Dokumentation ist kein Ersatz für Schutzmaßnahmen, erleichtert aber deren Überprüfung und die rechtliche Bewertung nach einem Vorfall.

8. Offene Streitfragen und praktische Abwägungen

Was bedeutet „Stand der Technik“?

Der Stand der Technik ist kein unveränderlicher Produktkatalog. Technische Entwicklungen und veränderte Angriffsmöglichkeiten können eine Anpassung bisheriger Maßnahmen erforderlich machen. Nicht jede neue Lösung muss sofort eingesetzt werden. Ebenso wenig genügt die frühere Angemessenheit einer Maßnahme als dauerhafte Rechtfertigung.

Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik und anerkannte technische Standards können die Bewertung unterstützen. Ihre rechtliche Bedeutung hängt vom jeweiligen Regelungszusammenhang ab. Sie sind nicht generell mit unmittelbar verbindlichen gesetzlichen Vorgaben gleichzusetzen.

Eine Zertifizierung kann Anhaltspunkte liefern, deckt aber nur ihren jeweiligen Prüfungsumfang ab. Sie beweist nicht automatisch die Sicherheit sämtlicher konkreter Verarbeitungsvorgänge. Art. 32 DSGVO verlangt eine Gesamtbewertung, bei der Implementierungskosten ein Faktor sind, aber nicht losgelöst von den Risiken betrachtet werden dürfen.

Sicherheitsüberwachung und Beschäftigtendatenschutz

Protokollierung kann zur Erkennung und Aufklärung von Angriffen beitragen. Zugleich können Protokolle Rückschlüsse auf Arbeitsverhalten und Kommunikation ermöglichen. Deshalb sind Rechtsgrundlage, Zweck, Umfang, Zugriffsrechte und Speicherdauer festzulegen.

Für Verarbeitungen im Beschäftigungskontext kommt insbesondere § 26 BDSG in Betracht. Seine Anwendung ist im Einklang mit der DSGVO zu prüfen; Reichweite und unionsrechtliche Tragfähigkeit einzelner nationaler Regelungen bedürfen einer differenzierten Betrachtung. Nicht jede Sicherheitsverarbeitung lässt sich pauschal dieser Vorschrift zuordnen.

Eine umfassende Dauerüberwachung ist nicht allein durch den Hinweis auf Cybersicherheit gerechtfertigt. Weniger eingriffsintensive Alternativen und die Verhältnismäßigkeit sind zu berücksichtigen.

Besteht ein Betriebsrat, kann § 87 Abs. 1 Nr. 6 BetrVG einschlägig sein. Nach der arbeitsgerichtlichen Auslegung kann bereits die objektive Eignung einer technischen Einrichtung zur Verhaltens- oder Leistungsüberwachung relevant sein. Eine entsprechende Überwachungsabsicht des Arbeitgebers ist daher nicht stets erforderlich.

Automatisierte Analyse und Sicherheitsprüfungen

Automatisierte Analysesysteme können ungewöhnliche Aktivitäten erkennen, aber auch Fehlalarme auslösen. Werden personenbezogene Protokolle oder Kommunikationsinhalte verarbeitet, sind insbesondere Rechtsgrundlage, Zweckbindung und Datenminimierung zu beachten. Bei externen Diensten kommen Fragen der Rollenverteilung und möglicher Drittlandübermittlungen hinzu.

Sicherheitsprüfungen benötigen eine ausreichende Berechtigung. Für Penetrationstests sollten Umfang, zulässige Methoden, Verantwortlichkeiten und Abbruchbedingungen eindeutig festgelegt werden. Eine Beauftragung durch einen Kunden umfasst nicht automatisch sämtliche Systeme eines Cloud- oder sonstigen Dienstleisters.

Das Überwinden von Zugangssicherungen kann bei Erfüllung der gesetzlichen Voraussetzungen strafrechtlich relevant sein. Eine behauptete Sicherheitsabsicht begründet keine allgemeine gesetzliche Erlaubnis. Auch die Veröffentlichung gefundener Schwachstellen ist einzelfallabhängig zu beurteilen, insbesondere hinsichtlich personenbezogener Daten, Geschäftsgeheimnissen und konkreter Gefährdungen.

Aktualisierungspflichten bei digitalen Produkten

Bei Verbraucherverträgen über digitale Produkte kann § 327f BGB die Bereitstellung erforderlicher Aktualisierungen einschließlich Sicherheitsaktualisierungen und die Information darüber verlangen. Für Verbrauchsgüterkäufe über Waren mit digitalen Elementen enthält § 475b BGB entsprechende Anforderungen.

Die Dauer der Aktualisierungspflicht richtet sich nach der jeweiligen gesetzlichen Fallgestaltung. Bei dauerhafter Bereitstellung und einmaliger Bereitstellung können unterschiedliche Maßstäbe gelten. Deshalb lässt sich weder eine unbegrenzte Pflicht noch eine einheitliche kurze Frist für alle Produkte angeben.

Auch die Nichtinstallation bereitgestellter Aktualisierungen kann unter den gesetzlichen Voraussetzungen für Mängelrechte bedeutsam sein. Eine automatische Befreiung des Unternehmers von jeder Verantwortung folgt daraus nicht. Für betriebliche Beschaffungen sollten Wartungsdauer, Sicherheitsunterstützung und der Umgang mit dem Ende des Produktsupports vertraglich geklärt werden.

Zusammenfassung

Cybersecurity lässt sich rechtlich nicht auf die Anschaffung einzelner Programme reduzieren. Erforderlich ist, soweit entsprechende Pflichten bestehen, ein risikogerechtes Gesamtkonzept aus Schutzmaßnahmen, klaren Zuständigkeiten und überprüfbaren Abläufen.

Mehrere Regelungsbereiche können gleichzeitig anwendbar sein. Die DSGVO verlangt angemessene Sicherheit bei erfassten Verarbeitungen personenbezogener Daten. Hinzu kommen gegebenenfalls Vertragsrecht, besondere Branchenvorgaben, Geschäftsgeheimnisschutz und berufliche Verschwiegenheit. Deren Voraussetzungen und Rechtsfolgen sind jeweils gesondert zu prüfen.

Ein erfolgreicher Angriff beweist nicht automatisch einen Rechtsverstoß. Umgekehrt entlastet der Hinweis auf kriminelle Dritte nicht ohne Weiteres. Tatsächliche Schutzmaßnahmen, nachvollziehbare Risikobewertungen und belastbare Nachweise sind deshalb wesentlich.

Praktisch stehen die Absicherung von Zugängen, begrenzte Berechtigungen, Aktualisierungen, überprüfte Datensicherungen und funktionierende Meldewege im Vordergrund. Nach einem Vorfall müssen Eindämmung, Beweissicherung und die Prüfung gesetzlicher Mitteilungspflichten miteinander abgestimmt werden.

„Leicht gemacht“ bedeutet somit, komplexe Anforderungen in verständliche und überprüfbare Abläufe zu übersetzen. Welche Maßnahmen und Fristen konkret gelten, bleibt von der jeweiligen Verarbeitung, Tätigkeit, Risikolage und aktuellen Rechtslage abhängig.