Checkliste für Datenpannen: die ersten 72 Stunden

In der Europäischen Union wird darüber verhandelt, ob Sie mehr Zeit für die Meldung einer Datenpanne bekommen sollen. Der Vorschlag der Kommission für den Digital-Omnibus, veröffentlicht im November 2025, würde eine Meldung an die Aufsichtsbehörde nur noch verlangen, wenn eine Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt, und die Frist von 72 auf 96 Stunden verlängern, wie eine Zusammenfassung von Maples Group darlegt. Außerdem sollen Meldungen über eine zentrale Meldestelle unter der Verantwortung von ENISA laufen, die auch für NIS2, DORA und weitere Meldepflichten für Vorfälle gilt. Im Februar 2026 haben die europäischen Datenschutzbehörden in einer gemeinsamen Stellungnahme von EDSA und EDSB sowohl die höhere Schwelle als auch die längere Frist unterstützt, und im Juni hat der EDSA eine gemeinsame Vorlage für Meldungen von Datenschutzverletzungen verabschiedet, zu der bis zum 5. August 2026 eine öffentliche Konsultation lief.

Geltendes Recht ist davon noch nichts. Der Datenschutzteil des Omnibus liegt weiterhin beim Rat, wo die irische Ratspräsidentschaft die Verhandlungen führt, wie noyb in diesem Monat berichtet hat. Bis ein endgültiger Text angenommen ist und gilt, lautet Artikel 33 DSGVO so wie seit 2018: Eine Verletzung des Schutzes personenbezogener Daten ist unverzüglich und möglichst binnen 72 Stunden, nachdem sie bekannt wurde, der zuständigen Aufsichtsbehörde zu melden.

In den meisten kleinen und mittleren Unternehmen erfährt nicht zuerst eine Juristin oder der Datenschutzbeauftragte davon, sondern die Person, die die Systeme betreut. Ein Alarm schlägt an, jemand leitet eine verdächtige Anmeldebenachrichtigung weiter, ein Laptop verschwindet aus einem Auto, und die Uhr beginnt in der IT zu laufen. Diese Checkliste ist für genau diese Person geschrieben. Sie ist eine allgemeine Orientierung und keine Rechtsberatung, und die Entscheidung über eine Meldung trifft Ihre Organisation, denn sie ist der Verantwortliche im Sinne der DSGVO. Die ersten 72 Stunden verlaufen aber deutlich besser, wenn die Fakten bereits geordnet bei dieser Entscheidung ankommen.

Die Checkliste im Überblick

• In der ersten Stunde: den genauen Zeitpunkt der Kenntnisnahme festhalten, einen Vorfall anlegen, die Person informieren, die über die Meldung entscheidet, und Beweise sichern, bevor irgendetwas bereinigt wird.
• Bis Stunde 24: die Verletzung eindämmen, ihren Umfang bestimmen (Systeme, Datenarten, Personen, Zeitraum) und beteiligte Dienstleister fragen, was sie wissen.
• Bis Stunde 48: das Risiko für die betroffenen Personen bewerten und die Begründung schriftlich festhalten, ganz gleich, wie sie ausfällt.
• Bis Stunde 72: die Aufsichtsbehörde benachrichtigen, wenn die Schwelle erreicht ist, notfalls schrittweise, wenn das Bild noch unvollständig ist.
• Unverzüglich: betroffene Personen direkt informieren, wenn das Risiko für sie hoch ist.
• Danach: die Behebung abschließen, die Ursache dokumentieren und die Verletzung auch dann dokumentiert lassen, wenn sie nie gemeldet wurde.

Zuerst prüfen: Ist es eine Verletzung des Schutzes personenbezogener Daten?

Die DSGVO definiert eine Verletzung des Schutzes personenbezogener Daten als eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Das umfasst weit mehr als Diebstahl. Die Leitlinien 9/2022 des EDSA zur Meldung von Datenschutzverletzungen unterscheiden drei Arten, und IT-Teams unterschätzen meist die letzten beiden.

• Vertraulichkeit: Jemand hat Daten gesehen, die er nicht sehen durfte. Ein kompromittiertes Postfach, eine E-Mail mit einer Kundentabelle an den falschen Empfänger, ein öffentlich zugänglicher Speicher-Bucket.
• Integrität: Daten wurden unbefugt verändert. Der klassische Fall ist ein Angreifer, der unbemerkt die Bankverbindung in Lieferantendaten ändert.
• Verfügbarkeit: Daten gingen verloren oder waren nicht erreichbar. Ransomware, die eine Kundendatenbank verschlüsselt, ist eine Datenschutzverletzung, auch wenn nichts abgeflossen ist, und das gilt ebenso für eine Löschung ohne Backup, aus dem sich etwas wiederherstellen ließe.

Nicht jeder Sicherheitsvorfall betrifft personenbezogene Daten. Aber fast jede Datenschutzverletzung beginnt als ganz gewöhnlicher Sicherheitsvorfall in irgendeiner Warteschlange. Deshalb sollte die Person, die ihn zuerst sieht, die Frage früh stellen und nicht erst am dritten Tag.

Wann die 72 Stunden tatsächlich beginnen

Die Frist läuft ab der Kenntnisnahme, nicht ab dem Zeitpunkt der Verletzung. Nach den Leitlinien des EDSA hat der Verantwortliche Kenntnis, sobald er mit hinreichender Sicherheit weiß, dass ein Sicherheitsvorfall eingetreten ist, durch den personenbezogene Daten kompromittiert wurden. Ein bloßer Alarm ist noch keine Kenntnis, und eine kurze Untersuchung zur Bestätigung ist zulässig. Nicht zulässig ist eine gemächliche Untersuchung, die den Moment, in dem man es gewusst haben will, bequem nach hinten schiebt.

Daraus folgen zwei praktische Konsequenzen. Die 72 Stunden sind keine Arbeitsstunden. Eine Verletzung, die am Freitag um 17 Uhr bestätigt wird, ist am Montag um 17 Uhr fällig. Und der Zeitpunkt der Kenntnisnahme ist der Maßstab für jede spätere Entscheidung, also gehört er minutengenau notiert. Der Leitfaden der britischen Aufsichtsbehörde ICO für kleine Organisationen sagt es deutlich: Starten Sie die Uhr und beginnen Sie ein Protokoll, noch bevor Sie wissen, ob die Verletzung meldepflichtig ist.

In der ersten Stunde

1. Zeitpunkt und Quelle notieren. Wann Sie Kenntnis erlangt haben, wer Sie informiert hat, über welchen Kanal und was genau gesagt wurde. Die Worte der Person, nicht Ihre Zusammenfassung.
2. Sofort einen Vorfall anlegen. Warten Sie nicht auf das vollständige Bild. Ein knapper Eintrag aus der ersten Stunde ist mehr wert als ein ausführlicher vom zweiten Tag, denn im Eintrag lebt die Zeitleiste.
3. Die entscheidende Person informieren. Das kann der Datenschutzbeauftragte sein, eine für Datenschutz zuständige Person oder ein Gründer. Die IT steuert die Reaktion, aber die Organisation entscheidet, was gemeldet wird, und diese Person braucht möglichst viel von den 72 Stunden, nicht den Rest.
4. Erst sichern, dann bereinigen. Exportieren Sie die relevanten Logs, bevor Aufbewahrungsfristen sie überschreiben, erstellen Sie Snapshots der betroffenen Systeme und bewahren Sie die Phishing-E-Mail mit vollständigen Headern auf. Einen Laptop neu aufzusetzen fühlt sich produktiv an und vernichtet genau die Beweise, die Sie brauchen, um zu sagen, worauf zugegriffen wurde.

Bis Stunde 24: eindämmen und Fakten klären

Eindämmung und Eingrenzung laufen parallel, und beide fließen in die Meldung ein.

• Eindämmen. Widerrufen Sie aktive Sitzungen und Tokens, setzen Sie betroffene Zugangsdaten zurück, deaktivieren Sie kompromittierte Konten, isolieren Sie Rechner, entfernen Sie den öffentlichen Zugriff auf offene Speicher und löschen Sie ein verlorenes Gerät aus der Ferne, wenn das möglich ist. Bei einer fehlgeleiteten E-Mail kontaktieren Sie den Empfänger, bitten ihn um Löschung und lassen sich diese schriftlich bestätigen.
• Umfang bestimmen. Welche Systeme, welche Datenarten, ungefähr wie viele Personen und Datensätze, in welchem Zeitraum. Ungefähre Zahlen genügen in dieser Phase, denn die Verordnung selbst spricht von ungefähren Angaben.
• Fakten von Vermutungen trennen. Halten Sie Bestätigtes und noch Vermutetes als getrennte Einträge fest, jeweils mit Zeitstempel. Eine Meldung, die auf einer sauberen Zeitleiste beruht, ist schneller geschrieben und später leichter zu korrigieren.
• Die Lieferkette prüfen. Verarbeitet ein Dienstleister die Daten in Ihrem Auftrag, muss er Sie nach Artikel 33 Absatz 2 unverzüglich informieren. Fragen Sie also, was er weiß und seit wann. Sind Sie selbst der Dienstleister, besteht Ihre Pflicht darin, Ihren Kunden schnell zu informieren, denn er ist der Verantwortliche, und die Meldung an die Aufsichtsbehörde ist seine Aufgabe.

Bis Stunde 48: das Risiko für die Menschen bewerten

Maßstab ist das Risiko für die Personen, deren Daten betroffen sind, nicht die Peinlichkeit für das Unternehmen. Diese Fragen erledigen den Großteil der Arbeit.

• Um welche Daten geht es? Namen und E-Mail-Adressen stehen am einen Ende. Finanzdaten, Ausweisdokumente, Gesundheitsdaten und die übrigen besonderen Kategorien stehen am anderen.
• Wie viele Personen, und wer sind sie? Die Menge zählt, die Schutzbedürftigkeit ebenso. Daten von Kindern erhöhen das Risiko schnell.
• Wie leicht lässt sich jemand identifizieren? Allein aus den Daten oder zusammen mit dem, was ohnehin öffentlich ist.
• Was könnte realistisch passieren? Betrug, Identitätsdiebstahl, Diskriminierung oder eine echte Belastung für die Betroffenen.
• Hält der Schutz noch? Eine starke Verschlüsselung mit Schlüsseln, die nicht kompromittiert wurden, kann die Antwort ändern, vor allem wenn es um die Vertraulichkeit geht.

Die Bewertung endet an einer von drei Stellen. Führt die Verletzung voraussichtlich nicht zu einem Risiko für die Personen, dokumentieren Sie sie und melden nicht. Besteht ein Risiko, melden Sie sie der Aufsichtsbehörde. Ist das Risiko hoch, benachrichtigen Sie zusätzlich die betroffenen Personen. Halten Sie in jedem Fall die Begründung fest. Artikel 33 Absatz 5 verlangt, jede Verletzung des Schutzes personenbezogener Daten zu dokumentieren, einschließlich der Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Genau diese Dokumentation liest die Behörde, wenn sie irgendwann fragt, warum Sie eine Verletzung nicht gemeldet haben.

Bis Stunde 72: melden, auch wenn das Bild unvollständig ist

Nach Artikel 33 Absatz 3 muss eine Meldung an die Aufsichtsbehörde vier Punkte enthalten.

• Eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze.
• Den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle.
• Die wahrscheinlichen Folgen der Verletzung.
• Die ergriffenen oder vorgeschlagenen Maßnahmen, einschließlich Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen.

Sie müssen nicht alles auf einmal liefern. Artikel 33 Absatz 4 erlaubt eine schrittweise Meldung. Senden Sie also innerhalb der Frist, was Sie wissen, und reichen Sie nach, sobald die Untersuchung weiter ist. Verpassen Sie die 72 Stunden, muss die Meldung eine Begründung für die Verzögerung enthalten. Die gemeinsame Vorlage des EDSA soll diesen Angaben europaweit dieselbe Form geben, sobald die Datenschutzbehörden sie einführen. Den Zeitplan dafür legt der Ausschuss nach der Konsultation fest. Bis dahin verwenden Sie das Formular Ihrer zuständigen Behörde.

Ist das Risiko für die Personen hoch, verlangt Artikel 34, sie unverzüglich und in klarer, einfacher Sprache zu benachrichtigen: was passiert ist, an wen sie sich wenden können, welche Folgen wahrscheinlich sind und was Sie dagegen unternommen haben. Es gibt enge Ausnahmen, etwa wenn die Daten verschlüsselt waren und unlesbar bleiben. Die ICO empfiehlt außerdem, konkrete Hinweise zu geben, wie sich die Betroffenen schützen können, und konkret ist dabei das entscheidende Wort. „Ändern Sie das Passwort für diesen Dienst und überall dort, wo Sie es wiederverwendet haben, und misstrauen Sie jeder E-Mail, die Ihre Bestellhistorie zitiert“ hilft. „Bleiben Sie wachsam“ hilft nicht.

Nach den 72 Stunden

• Die Behebung abschließen und jede Aufgabe bis zum Ende verfolgen. Das lose Ende, für das niemand zuständig ist, wird zur nächsten Verletzung.
• Die Ursache festhalten, nicht nur die Lösung. „Passwort zurückgesetzt“ ist die Lösung. „Keine Multi-Faktor-Authentifizierung auf dem gemeinsamen Postfach“ ist die Ursache.
• Das Verfahren für Datenschutzverletzungen aktualisieren, mit allem, was Sie diesmal aufgehalten hat.
• Die Dokumentation aufbewahren. Die Verletzung bleibt dokumentiert, ob sie gemeldet wurde oder nicht.

Wenn Sie außerhalb der EU und des Vereinigten Königreichs tätig sind, gelten womöglich andere Schwellen, oder die Frist wird in Tagen statt in Stunden gezählt. Der Aufbau dieser Checkliste bleibt trotzdem gültig: Kenntnis festhalten, eindämmen, eingrenzen, bewerten, entscheiden, melden, dokumentieren. Klären Sie die genaue Frist mit Ihrer Behörde, bevor Sie sie brauchen.

Wo ISO Mate ins Spiel kommt

Das Schwierigste an den ersten 72 Stunden ist selten die technische Lösung. Schwierig ist, einen einzigen verlässlichen Eintrag zu führen, während mehrere Personen an verschiedenen Stellen am Problem arbeiten. Genau dafür gibt es das Vorfallmanagement in ISO Mate.

• Ein Eintrag ab der ersten Minute. Legen Sie einen Vorfall mit der Kategorie Datenschutzverletzung an. ISO Mate fragt dann nach Betroffene Personen, Kompromittierte Datentypen und Datum der Entdeckung und berechnet daraus die Meldefrist von 72 Stunden. Das Feld zur Entdeckung speichert den Tag, nicht die Uhrzeit, also tragen Sie den genauen Zeitpunkt der Kenntnisnahme zusätzlich in die Beschreibung ein.
• Eine Frist, die alle sehen. Die Karte DSGVO-Datenschutzverletzung am Vorfall zeigt die betroffenen Personen, die Meldefrist und ob und wann die Aufsichtsbehörde benachrichtigt wurde. Markieren Sie die Verletzung als hohes Risiko für betroffene Personen, kommt der Punkt Betroffene Personen benachrichtigt hinzu. Die Karte zeigt Konform oder Handlungsbedarf, sodass niemand den Stand aus dem Gedächtnis rekonstruieren muss.
• Klare Zuständigkeiten. Fügen Sie Personen dem Reaktionsteam als Melder, Beauftragter oder Beteiligter hinzu. Ein Vorfall kann erst mit einem Beauftragten zu In Untersuchung wechseln. Beauftragte werden erinnert, wenn ein Vorfall, der noch Offen oder In Untersuchung ist, sich der Marke von 72 Stunden seit seiner Erfassung nähert, und noch einmal, wenn sie überschritten ist. Ein weiterer Grund, ihn sofort zu erfassen.
• Lose Enden mit Zuständigen. Verknüpfen Sie für jeden Eindämmungs- und Behebungsschritt eine Aufgabe, und verknüpfen Sie Notizen für die Risikobewertung und die Begründung der Meldeentscheidung. Ohne Ursache und Lösungsbeschreibung lässt sich ein Vorfall nicht auf Gelöst setzen, und auf Geschlossen erst, wenn alle verknüpften Aufgaben abgeschlossen sind.
• Ein Verzeichnis, das sich selbst aufbaut. Jede Änderung landet mit Benutzer und Zeitstempel in der Aktivitätszeitleiste des Vorfalls. Der Reiter DSGVO-Konformität in den Vorfallberichten zeigt die Datenschutzverletzungen insgesamt, wie viele der Behörde und den Betroffenen gemeldet wurden, überfällige Benachrichtigungen und eine Konformitätsrate, und Vorfalllisten lassen sich mit Ihren Filtern als CSV oder PDF exportieren.

ISO Mate reicht die Meldung nicht bei Ihrer Aufsichtsbehörde ein und entscheidet auch nicht, ob eine Verletzung meldepflichtig ist. Diese Entscheidungen bleiben bei Ihrer Organisation. Was ISO Mate liefert, sind Zeitleiste, Zuständigkeiten und Nachweise an einem Ort, wenn Sie sie treffen. Die Anleitung zur Vorfallverfolgung erklärt jedes Feld.

Üben, bevor es ernst wird

Wenn Sie im Compliance-Management die DSGVO-Rahmenwerksvorlage angewendet haben, haben Sie bereits einen Ausgangspunkt: einen Entwurf der Richtlinie zur Reaktion auf Datenschutzverletzungen und ein Verfahren zur Meldung von Datenschutzverletzungen. Die acht Schritte des Verfahrens reichen von der Erkennung und Eindämmung über die Meldung nach Artikel 33 und das Verzeichnis der Verletzungen bis zu einer Nachbetrachtung, sobald die Verletzung abgeschlossen ist. Das Verfahren ist mit den Kontrollen der Vorlage für Erkennung, Reaktion und Meldung verknüpft. Veröffentlichen Sie es, wählen Sie das Wiederholungsmuster Jährlich, und ISO Mate erzeugt jedes Jahr eine Aufgabe mit diesen Schritten, wie unter Verfahren verwalten beschrieben. Spielen Sie diese Aufgabe als Planspiel mit einem erfundenen Szenario durch, messen Sie die Zeit für jeden Schritt, und Sie finden die Lücken, solange keine echte Uhr läuft.

Vielleicht wird aus der Frist am Ende 96 Stunden, und vielleicht steigt die Schwelle. Beides ändert nichts daran, was über die ersten drei Tage entscheidet: ob jemand die Uhrzeit notiert, einen Eintrag angelegt und jedem losen Ende eine zuständige Person gegeben hat. Wenn Sie das vor dem nächsten Alarm eingerichtet haben möchten: Jedes Konto bei ISO Mate startet mit einer 14-tägigen kostenlosen Testphase.