top of page
Suche

Datenpannen aus der Praxis: Was die Aufsichtsbehörden berichten

Autorenbild: BGfD Bayreuther Ges. für Datenschutz mbH
BGfD Bayreuther Ges. für Datenschutz mbH
vor 11 Minuten
3 Min. Lesezeit

Bayreuth, 10.11.2026 – Die Datenschutzaufsichtsbehörden der Länder schildern in ihren Tätigkeitsberichten jedes Jahr Datenpannen, die ihnen gemeldet wurden. Wir haben sieben Berichte ausgewertet. Viele Fälle stammen aus Kliniken, Pflegediensten und Behörden. Die Fehler dahinter kommen in jedem Betrieb vor.


Ransomware: Das Backup hing im selben Netz

Ein hessischer Pflegedienst bemerkte den Angriff, als die Pflegekräfte nicht mehr auf ihre zentrale Anwendung zugreifen konnten. Die Angreifer hatten alle Daten verschlüsselt. Betroffen war auch das Backup, „da dieses räumlich, nicht aber netzwerktechnisch von den betroffenen Systemen getrennt war“. Einen Teil der Daten musste der Pflegedienst aus Papierakten und von den Mobilgeräten der Pflegekräfte rekonstruieren. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit stellt klar: Nach einem Ransomware-Angriff entfällt die Meldung an die Aufsichtsbehörde nur selten (54. Tätigkeitsbericht, Nr. 16.9, S. 244 ff.).


Phishing überwindet auch Einmalcodes

Deutlich zugenommen haben in Hessen die Meldungen zu Phishing. Beschäftigte geben ihre Zugangsdaten auf einer gefälschten Anmeldeseite ein. Die Angreifer lesen dann das Postfach mit und verschicken von dort neue Phishing-Mails. In vielen Fällen haben sie auch eine Zwei-Faktor-Anmeldung überwunden, weil die Beschäftigten den Einmalcode ebenfalls auf der gefälschten Seite eintippten (Nr. 16.11, S. 255 ff.). Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hält Phishing-Mails inzwischen für „sprachlich so ausgereift und überzeugend, dass sie wirklich schwer zu erkennen sind“ (Tätigkeitsbericht 2026, Nr. 6.3.1, S. 98).


Der Dienstleister wird angegriffen, die Verantwortung bleibt

Bei einem Dienstleister der Luftfahrtbranche standen Zugangsdaten der Entwickler versehentlich im veröffentlichten Quellcode. Angreifer leiteten Daten von rund 100.000 Passagieren eines Luftfahrtkonzerns aus. Der Konzern meldete den Vorfall fristgerecht, ließ danach aber Fristen der Behörde verstreichen und machte widersprüchliche Angaben. Die hessische Behörde hält fest, dass der Konzern als Verantwortlicher in der Pflicht blieb, obwohl der Vorfall beim Auftragsverarbeiter stattfand. Sie prüft, ob sie ein Bußgeldverfahren einleitet (Nr. 16.10, S. 250 ff.).


Vertippt, vertauscht, versteckt

Viele Pannen beginnen mit einem Handgriff im Büro. Das ULD nennt als Schwerpunkt seiner Meldungen typische interne Fehler: eine vertippte E-Mail-Adresse, vertauschte Briefe und Zugriffsrechte, die zu weit reichen (Tätigkeitsbericht 2026, Nr. 6.3.1, S. 97). Der Bayerische Landesbeauftragte für den Datenschutz beschreibt, wie Excel-Dateien mehr verraten als gewollt. Sein Beispiel: Eine Kontaktliste geht per E-Mail an das ganze Team. Auf einem zweiten Arbeitsblatt stehen noch die Notizen des Vorgängers für die nächste Beurteilung der Mitarbeiter (33. Tätigkeitsbericht 2023, Nr. 2.5, S. 44 ff.).


Kitteltasche, Notebook, Kamera

Ein Arzt trug die unterschriebene Einwilligung einer Studienteilnehmerin in der Kitteltasche ins Nachbargebäude. Unterwegs fiel sie heraus. Das ULD schreibt dazu: „Auch bei kurzen Wegen ist die Datensicherheit zu gewährleisten.“ (Tätigkeitsbericht 2025, Nr. 4.6.2, S. 59) In Sachsen wurden einer öffentlichen Stelle Notebooks mit sehr vielen Gesundheitsdaten gestohlen, deren Verschlüsselung Mängel hatte. Bei einem Einbruch in eine Kindertagesstätte verschwanden zwei Kameras mit Fotos der Kinder (Tätigkeitsbericht Datenschutz 2024, Nr. 4.4.3, S. 128 ff.).


Alte Daten, die niemand gelöscht hat

Das Bewerberportal einer politischen Partei war ohne Zugangsschutz über das Internet erreichbar. Einsehbar waren mehr als 4.860 Namen aus Bewerbungen seit November 2016. Ein Anbieter von Sport- und Fitnessangeboten hatte eine Kopie seiner Kundendatenbank nur vorübergehend in einem Cloudspeicher abgelegt und die Löschung dann über Jahre vergessen. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit zieht daraus einen Schluss: „Unnötig oder mehrfach gespeicherte personenbezogene Daten erhöhen das Risiko, dass Daten in falsche Hände geraten.“ (Jahresbericht 2024, Kap. XV.2, S. 121 ff.)


Was Unternehmen jetzt tun sollten

  1. Backup vom Netz trennen: Halten Sie zusätzlich eine Offline-Sicherung vor, die ein Angreifer nicht erreicht.

  2. Zweiten Faktor einrichten: Sichern Sie alle aus dem Internet erreichbaren Konten ab, vor allem E-Mail-Postfächer, und schulen Sie Ihre Beschäftigten zu Phishing.

  3. Versand prüfen: Verschicken Sie Tabellen als PDF und lassen Sie Sendungen mit sensiblen Daten von einer zweiten Person kontrollieren.

  4. Geräte verschlüsseln: Kontrollieren Sie, ob die Verschlüsselung auf Notebooks und Smartphones tatsächlich aktiv ist.

  5. Löschfristen festlegen: Prüfen Sie einmal im Jahr, ob sie eingehalten werden, und führen Sie eine Liste aller Speicherorte.

  6. Notfallplan aufstellen: Er regelt, wer im Ernstfall wen informiert. Die Sächsische Datenschutz- und Transparenzbeauftragte empfiehlt außerdem Reservetechnik und regelmäßige Weiterbildung (Tätigkeitsbericht Datenschutz 2024, Nr. 4.4.4, S. 131 f.).


Eine Datenpanne müssen Unternehmen der Aufsichtsbehörde möglichst innerhalb von 72 Stunden melden (Art. 33 DSGVO). Bei einem voraussichtlich hohen Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34 DSGVO). Antworten auf häufige Fragen von Betroffenen hat die Landesbeauftragte in Nordrhein-Westfalen zusammengestellt: www.ldi.nrw.de/faq-datenpannen (29. Bericht 2024, Nr. 15.4, S. 112 f.).

Wir bewerten einen Vorfall mit Ihnen, bereiten die Meldung vor und begleiten Sie gegenüber der Aufsichtsbehörde und den Betroffenen.


Quellen

 
 
 

Kommentare

bottom of page