Niemand wünscht es sich und trotzdem kann es passieren: eine Phishing-Mail wird angeklickt oder ein E-Mail-Konto wird kompromittiert. Somit geraten sensible Daten in falsche Hände! In solchen Momenten kann schnell Unsicherheit entstehen. Genau deshalb ist es wichtig, ruhig zu bleiben und einen klaren Ablauf vor Augen zu haben.
Mit diesem kurzen 5-Punkte-Plan möchten wir Ihnen eine praktische Orientierungshilfe an die Hand geben.
1. Erst einmal: Ruhe bewahren.
Nicht jeder IT-Vorfall ist automatisch eine meldepflichtige Datenschutzpanne. Wichtig ist erst einmal, den Sachverhalt sauber zu erfassen:
- Was genau ist passiert?
- Wann wurde es bemerkt?
- Welche Systeme oder Konten sind betroffen?
- Welche personenbezogenen Daten könnten betroffen sein?
Bitte nichts verheimlichen oder überstürzt (reparieren). Eine grobe Dokumentation, was passiert ist, hilft für den weiteren Verlauf.
2. Intern abstimmen und uns frühzeitig informieren
Sobald ein Vorfall bemerkt wird, sollten IT-Verantwortliche informiert werden - und bitte auch wir als externe Datenschutzbeauftragte.
Je früher wir eingebunden sind, desto besser können wir unterstützen und gemeinsam klären:
- Liegt tatsächlich eine Datenschutzverletzung im Sinne der DSGVO vor?
- Besteht eine Meldepflicht gegenüber der Aufsichtsbehörde (Stichwort: 72-Stunden-Frist)?
- Gibt es betroffene Personen, die informiert werden müssen?
Lieber zu früh darüber sprechen als zu spät.
3. Wichtig: Sofortmaßnahmen bei kompromittierten E-Mail-Konten
Wenn ein E-Mail-Konto betroffen ist, sollten man umgehend folgende Schritte befolgen:
- Passwort zurücksetzen
- Multi-Faktor-Authentifizierung (MFA) neu einrichten bzw. zurücksetzen
- Aktive Sitzungen abmelden
- Weiterleitungs- und Postfachregeln prüfen (diese werden häufig manipuliert)
- Versandhistorie kontrollieren
- IT-Protokolle sichern
Wesentlich an dieser Stelle: Maßnahmen dokumentieren.
4. Abschließend: Bewertung des Risikos
Gemeinsam prüfen wir anschließend:
- Welche Daten sind konkret betroffen?
- Wie sensibel sind diese Daten?
- Besteht ein Risiko für die Rechte und Freiheiten der betroffenen Personen?
Erst auf dieser Grundlage entscheiden wir über weitere Schritte.
5. Nicht vergessen: Nachbereitung und Prävention
Nach einem Vorfall dieser Art lohnt sich immer auch ein Blick nach vorne:
- Mitarbeitende sensibilisieren (Phishing-Schulungen)
- Passwort- und MFA-Strategie überprüfen
- Interne Meldeprozesse schärfen
- Dokumentation im eigenen Datenschutz-Vorfallregister ergänzen
Ein solcher Vorfall kann unangenehm sein - aber er ist auch gleichzeitig eine Chance, ihre internen Strukturen robuster und stärker zu machen.
Uns ist besonders wichtig: Sie sollen sich im Ernstfall nicht alleingelassen fühlen. Melden Sie sich frühzeitig bei uns - wir begleiten Sie pragmatisch und lösungsorientiert durch den gesamten Prozess.
Hinweis in eigener Sache: Dieser Leitfaden wurde mit der Unterstützung einer KI formuliert - inhaltlich geprüft und freigegeben durch uns als verantwortliche Datenschutzbeauftragte. Für Ihre konkreten Fälle bleibt aber immer unsere individuelle Bewertung entscheidend.