Wenn ein Unternehmen die Kontrolle über personenbezogene Daten verliert, tickt die Uhr schnell. Nach der britischen und der EU-DSGVO setzen die 72-Stunden-Regeln bei DSGVO-Datenpannen eine feste Frist für die Meldung an die Aufsichtsbehörden. Für die Menschen, deren Daten offengelegt wurden, sind diese Regeln ebenfalls wichtig, denn sie bestimmen, was Sie erfahren, wann Sie es erfahren und was Sie als Nächstes tun sollten.

Dieser Leitfaden erklärt den Prozess in verständlicher Sprache – aus der Sicht des Unternehmens und aus Ihrer Sicht.

Wann die 72-Stunden-Frist beginnt

Das 72-Stunden-Fenster beruht auf einer einzigen Idee: Kenntnis. Nach Artikel 33 der DSGVO muss ein Verantwortlicher eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden nach Kenntniserlangung an die zuständige Aufsichtsbehörde melden. Im Vereinigten Königreich ist das die Information Commissioner's Office (ICO). In der EU ist es die Datenschutzbehörde des betreffenden Mitgliedstaats.

Zwei Punkte sorgen häufig für Verwirrung:

  • Die Frist beginnt mit der Kenntnisnahme, nicht mit dem Angriff. Eine Datenpanne kann Tage oder Wochen zuvor stattgefunden haben. Die Frist läuft ab dem Zeitpunkt, an dem die Organisation mit angemessener Sicherheit davon ausgehen kann, dass personenbezogene Daten kompromittiert wurden.
  • Die Frist ist keine Pause für Ermittlungen. Organisationen müssen schnell handeln. Wenn noch nicht alle Details vorliegen, besteht der übliche Ansatz darin, das Bekannte zu melden und weitere Informationen schrittweise nachzureichen.

Die Frist ohne angemessene Rechtfertigung zu verpassen, kann selbst einen Verstoß gegen Artikel 33 darstellen, was den Verantwortlichen Maßnahmen der Aufsichtsbehörden aussetzt, so Rechtskommentare zur Regelung.

Ein praktischer Hinweis: Die 72 Stunden umfassen Wochenenden und Feiertage. Datenpannen warten nicht auf Bürozeiten, daher ist ein erprobter Notfallplan wichtiger als gute Absichten.

Was Unternehmen der ICO und den betroffenen Personen mitteilen müssen

Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen sind zwei getrennte Pflichten mit unterschiedlichen Auslösern.

Die ICO informieren. Eine Meldung ist grundsätzlich erforderlich, es sei denn, die Datenpanne führt wahrscheinlich nicht zu einem Risiko für die Rechte und Freiheiten der Menschen. Die Meldung sollte die Art der Datenpanne, die Kategorien und ungefähren Zahlen der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen beschreiben. Sie sollte auch Kontaktdaten des Datenschutzbeauftragten der Organisation enthalten.

Betroffene informieren. Wenn eine Datenpanne wahrscheinlich zu einem hohen Risiko für die Menschen führt, muss die Organisation die Betroffenen auch unverzüglich benachrichtigen. Diese Mitteilung sollte in klarer Sprache verfasst sein und erklären, was passiert ist, welche wahrscheinlichen Folgen bestehen und welche Schritte die Menschen zum Schutz ergreifen können.

Die Schwelle für die Benachrichtigung von Einzelpersonen ist höher als die für die Meldung an die Aufsichtsbehörde. Gestohlene Passscans, Gesundheitsdaten oder Finanzdaten liegen in der Regel deutlich darüber. Fälle wie die Deadlock-Ransomware-Leak von LT Group Passdaten zeigen, wie Ausweisdokumente in die Hände von Kriminellen gelangen können – genau die Art von Exposition, die auf ein hohes Risiko hindeutet.

Organisationen müssen außerdem ein internes Verzeichnis jeder Datenpanne führen, einschließlich derjenigen, die sie nicht melden, samt Begründung.

Was Sie tun sollten, wenn Ihre Daten offengelegt wurden

Eine Benachrichtigung über eine Datenpanne kann abstrakt wirken. Hier ist eine konkrete Checkliste, die Sie noch am selben Tag durchgehen können.

  1. Ändern Sie das betroffene Passwort und alle wiederverwendeten. Wenn dasselbe Passwort andere Konten schützt, ändern Sie diese ebenfalls. Verwenden Sie für jeden Dienst ein eindeutiges Passwort, idealerweise in einem Passwort-Manager gespeichert.
  2. Aktivieren Sie die Zwei-Faktor-Authentifizierung. Bevorzugen Sie nach Möglichkeit eine Authenticator-App oder einen Hardware-Schlüssel gegenüber Textnachrichten.
  3. Lesen Sie die Mitteilung sorgfältig. Notieren Sie, welche Datentypen betroffen waren: Kontaktdaten, Ausweisdokumente, Gesundheits- oder Finanzinformationen. Das zeigt Ihnen, welche Risiken Sie priorisieren sollten.
  4. Beobachten Sie Ihre Konten. Prüfen Sie Konto- und Kartenauszüge und erwägen Sie einen Kreditüberwachungsdienst, wenn Finanzdaten oder Ausweisdokumente betroffen waren.
  5. Seien Sie skeptisch bei unerwarteter Kontaktaufnahme. E-Mails, Textnachrichten oder Anrufe, die sich auf die Datenpanne beziehen, können echt sein – oder Betrugsversuche, die sie als Köder nutzen.
  6. Stellen Sie einen Auskunftsantrag. Nach der britischen und der EU-DSGVO können Sie von einer Organisation Auskunft darüber verlangen, welche personenbezogenen Daten sie über Sie gespeichert hat und in vielen Fällen, wie sie verwendet werden. Das hilft Ihnen, Ihre tatsächliche Exposition zu verstehen, und schafft einen Papiernachweis.
  7. Kennen Sie Ihren Beschwerdeweg. Wenn Sie der Meinung sind, dass das Unternehmen den Vorfall schlecht gehandhabt hat, können Sie sich im Vereinigten Königreich an die ICO oder in der EU an Ihre nationale Datenschutzbehörde wenden.

Warum gestohlene Daten Folge-Betrugsversuche befeuern

Die ursprüngliche Datenpanne ist oft nur die erste Stufe. Gestohlene Daten haben Wiederverkaufs- und Erpressungswert, und Angreifer nutzen sie zunehmend, um direkt Druck auf Einzelpersonen auszuüben.

Die Berichterstattung über den AnMed-Ransomware-Angriff und den Erpressungsbetrug an Patienten zeigt, wie das funktioniert: Berichten zufolge könnten Angreifer gestohlene Patientendaten genutzt haben, um personalisierte Erpressungsversuche gegen die betroffenen Personen durchzuführen. Persönliche Details lassen eine Drohung glaubwürdig erscheinen, weshalb diese Nachrichten so wirkungsvoll sein können.

Leaks können auch öffentlich sein. Im Fall von ShinyHunters, die 8,8 TB gestohlener One-Medical-Daten veröffentlichten, wurden die Daten nach Erpressungsdruck veröffentlicht, sodass potenziell jeder darauf zugreifen konnte. Sobald Informationen öffentlich sind, können sie lange nach dem ursprünglichen Vorfall für Phishing, Identitätsdiebstahl und gezielten Betrug genutzt werden.

Deshalb ist eine schnelle Benachrichtigung wichtig. Je früher die Menschen Bescheid wissen, desto früher können sie Konten absichern und einen Betrug als solchen erkennen. Auch kleine Organisationen sind nicht ausgenommen, wie der Jaipur-Ransomware-Fall zeigt: Ransomware macht keinen Unterschied nach Unternehmensgröße, und ein Team ohne dedizierte Sicherheitsmitarbeiter braucht trotzdem einen Reaktionsplan.

Was das für Sie bedeutet

Das Gesetz gibt Ihnen eine berechtigte Erwartung, dass ein Unternehmen die Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntniserlangung einer Datenpanne informiert und Sie direkt benachrichtigt, wenn das Risiko für Sie hoch ist. Es garantiert nicht, dass Ihre Daten sicher bleiben, und es kann ein Leak nicht rückgängig machen. Ihre eigene Reaktion ist es, die den Schaden begrenzt.

Wenn Sie ein Unternehmen führen, betrachten Sie die 72 Stunden als Planungsvorgabe: Wissen Sie, wer entscheidet, ob eine Datenpanne meldepflichtig ist, wer die ICO kontaktiert und wie Sie betroffene Kunden schnell erreichen würden.

Wichtigste Erkenntnisse

  • Die 72-Stunden-Frist beginnt, wenn eine Organisation Kenntnis von einer Datenpanne erlangt, nicht wenn sie begann.
  • Die ICO oder die EU-Behörde muss informiert werden, es sei denn, das Risiko für Menschen ist unwahrscheinlich; Einzelpersonen müssen bei hohem Risiko benachrichtigt werden.
  • Ändern Sie Passwörter, aktivieren Sie die Zwei-Faktor-Authentifizierung und überwachen Sie Ihre Konten, sobald Sie eine Benachrichtigung erhalten.
  • Behandeln Sie jede Nachricht, die eine Datenpanne erwähnt, mit Vorsicht, da Kriminelle gestohlene Daten für Erpressung und Phishing wiederverwenden.
  • Nutzen Sie Ihr Recht auf Auskunft, um zu sehen, welche Daten eine Organisation über Sie gespeichert hat.

Das Verständnis der 72-Stunden-Regeln bei DSGVO-Datenpannen hilft Ihnen zu beurteilen, ob ein Unternehmen ordnungsgemäß handelt, aber Ihr bester Schutz ist, selbst schnell zu handeln. Sichern Sie Ihre Konten noch heute, bleiben Sie wachsam gegenüber Folge-Betrugsversuchen und lesen Sie die AnMed- und ShinyHunters-Berichte oben, um zu sehen, wie kompromittierte Daten in der Praxis missbraucht werden.