Datenpanne und Meldepflicht

Kurz: Eine Datenpanne ist eine Verletzung der Sicherheit, die zu Verlust, Veränderung oder unbefugtem Zugriff auf personenbezogene Daten führt. Sie muss unter Umständen binnen 72 Stunden gemeldet werden.

Genauer: Der Verantwortliche meldet die Panne der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Bei hohem Risiko müssen auch die Betroffenen informiert werden.

Im Detail

• Beispiele: Gestohlener Laptop, falsch adressierte Mail mit Daten, gehackte Datenbank, Ransomware, offenes Backup im Netz.
• Ablauf: Erkennen, eindämmen, bewerten, melden, Betroffene informieren, Ursachen beheben, dokumentieren.
• Dokumentation: Jede Panne ist zu dokumentieren, auch wenn sie nicht gemeldet wird.
• Vorbereitung: Notfallplan, Ansprechpersonen, Protokolle (Observability: Logs, Metriken und Traces), Backups (Backup-Strategie (3-2-1-Regel)).
• Bußgelder: Hohe Strafen drohen bei verspäteter oder unterlassener Meldung.

Siehe auch: Ransomware, BSI-Gesetz