Zum Inhalt springen
Datenschutz

Datenpanne auf der Website: 72 Stunden, dann Meldung

Wann die 72-Stunden-Frist nach einer Datenpanne zu laufen beginnt, was in die Meldung an die Aufsichtsbehörde gehört, wann Betroffene zu benachrichtigen sind und was vorher dokumentiert sein muss.

14 Min. Lesezeit DSGVODatenschutzBetriebsablauf

Ein Kontaktformular schickt Anfragen seit drei Wochen an ein aufgelöstes Postfach. Ein Redaktionszugang wird übernommen. Ein Dienstleister meldet, dass sein System verschlüsselt wurde und Ihre Kundenliste mit darin lag. In allen drei Fällen beginnt in dem Moment, in dem Sie es mit hinreichender Sicherheit wissen, eine Frist von höchstens 72 Stunden (Europäischer Datenschutzausschuss). Das ist kein Konzernthema: Beim Bundesbeauftragten für den Datenschutz gingen im Berichtsjahr 2025 insgesamt 9.170 Meldungen von Datenschutzverstößen ein (BfDI), in Bayern allein 3.603 Datenpannenmeldungen (BayLDA). Dieser Beitrag beschreibt, wann die Uhr zu laufen beginnt, was in die Meldung gehört, wann zusätzlich die Betroffenen zu benachrichtigen sind und welcher Teil der Vorbereitung auf der eigenen Website liegt.

Vier Stufen, eine Uhr: von der Kenntnis zur MeldungWas auf jeder Stufe festgehalten wird - und wann die 72 Stunden ablaufenStunde 0Kenntnis: der Vorfall ist erkanntPflichtangabe: Datum, Uhrzeit, meldende Person, EntdeckungswegStunde 0 bis 72Bewertung: Risiko für Betroffene einschätzenPflichtangabe: Datenarten, Personenkreis, wahrscheinliche Folgenbis Stunde 72Meldung an die AufsichtsbehördePflichtangabe: Art der Verletzung, Zahl der Betroffenen, MaßnahmenunverzüglichBenachrichtigung der BetroffenenPflichtangabe: klare Sprache, Ansprechpartner, empfohlene Schritte9.170 Meldungen von Datenschutzverstößen beim BfDI im Berichtsjahr 20253.603 Datenpannenmeldungen in Bayern, ein Plus von 23 Prozent (BayLDA)Fristen nach Art. 33 und 34 DSGVO (Europäischer Datenschutzausschuss, Leitlinien 9/2022)

Die Uhr läuft ab Kenntnis, nicht ab Aufklärung

Die Regel steht in Artikel 33 der Datenschutz-Grundverordnung und ist kürzer als ihr Ruf. Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten ohne schuldhaftes Zögern und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde, es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist unwahrscheinlich (Europäischer Datenschutzausschuss). Darin stecken zwei Aussagen. Die Meldung ist der Regelfall, das Unterlassen die begründungsbedürftige Ausnahme. Und die Frist ist eine Obergrenze, keine Bearbeitungszeit: Wer nach sechs Stunden weiß, was passiert ist, meldet nach sechs Stunden.

Der schwierigere Teil ist der Fristbeginn. Der Europäische Datenschutzausschuss setzt ihn auf den Zeitpunkt, an dem der Verantwortliche mit hinreichender Sicherheit davon ausgeht, dass ein Sicherheitsvorfall stattgefunden hat, der personenbezogene Daten beeinträchtigt hat (Europäischer Datenschutzausschuss). Das ist weder der erste vage Verdacht noch der Abschluss der Aufklärung. Wer freitags eine merkwürdige Fehlermeldung sieht, hat noch keine Kenntnis. Wer montags den Protokollen entnimmt, dass ein fremdes Gerät zwei Wochen lang das Postfach mitgelesen hat, hat sie. Ab diesem Montag laufen die 72 Stunden, auch wenn die vollständige Liste der betroffenen Nachrichten erst später vorliegt.

Wird die Frist überschritten, verfällt sie nicht, sondern wird begründungspflichtig: Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen (Europäischer Datenschutzausschuss). Eine späte Meldung mit nachvollziehbarem Grund ist damit besser als keine. Sie heißt aber auch, dass diese Begründung Teil der Akte wird und im Zweifel gelesen wird. Der Satz, der Protokolldaten seien beim Dienstleister erst am Montag verfügbar gewesen, ist eine Begründung. Urlaub ist keine.

Der Fristbeginn ist ein Zeitpunkt, kein Gefühl

Halten Sie den Moment fest, in dem die Kenntnis eintritt: Datum, Uhrzeit, meldende Person, Entdeckungsweg. Drei Zeilen in einer Datei genügen. Ohne diesen Zeitstempel lässt sich später weder belegen, dass die Meldung rechtzeitig war, noch begründen, warum sie es nicht war. Wer seine Zugänge und Verträge beim Website-Anbieter geordnet hat, kommt in dieser Stunde schneller an die Protokolle, die den Zeitpunkt belegen.

Wie häufig eine Datenpanne tatsächlich ist

Die Meldung ist Alltag geworden. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit nahm im Berichtsjahr 2025 insgesamt 9.170 Meldungen von Datenschutzverstößen entgegen (BfDI), davon 9.110 nach Art. 33 DSGVO (BfDI). Sein Zuständigkeitsbereich ist eng zugeschnitten auf Bund, Post und Telekommunikation; Betriebe mit einer eigenen Website melden fast durchweg an eine Landesbehörde. Dass die Aufsicht nicht nur zählt, zeigt eine zweite Zahl aus demselben Bericht: 129 aufsichtsrechtliche Maßnahmen wie Verwarnungen, Anweisungen oder die Festsetzung von Zwangsgeldern im selben Jahr (BfDI).

In den Ländern sind die Zahlen größer und die Richtung ist dieselbe. Beim Bayerischen Landesamt für Datenschutzaufsicht gingen 2025 3.603 Datenpannenmeldungen ein (BayLDA), ein Plus von 23 Prozent gegenüber dem Vorjahr (BayLDA). Baden-Württemberg meldet für dasselbe Jahr einen Anstieg der Datenpannenmeldungen um knapp 20 Prozent und beinahe eine Verdopplung der Beschwerden von 4.034 auf 7.673 (LfDI Baden-Württemberg). In Nordrhein-Westfalen stiegen die Eingaben insgesamt auf 18.062 (LDI NRW), die Datenschutzbeschwerden darin von 7.539 um mehr als 67 Prozent auf 12.592 (LDI NRW).

Tabelle waagerecht wischen

AufsichtsbehördeKennzahl aus dem Berichtsjahr 2025Was daraus für einen kleinen Betrieb folgt
Bundesbeauftragter für den Datenschutz9.110 Meldungen nach Art. 33 DSGVO (BfDI)Die Meldung ist ein Massenvorgang, kein Skandal
Bundesbeauftragter für den Datenschutz129 aufsichtsrechtliche Maßnahmen (BfDI)Die Aufsicht zählt nicht nur, sie handelt auch
Bayerisches Landesamt für Datenschutzaufsicht3.603 Datenpannenmeldungen, plus 23 Prozent (BayLDA)Auch die Landesaufsicht bearbeitet Tausende Meldungen im Jahr
Landesbeauftragter Baden-WürttembergDatenpannen plus knapp 20 Prozent (LfDI Baden-Württemberg)Der Anstieg ist kein bayerischer Sonderweg
Landesbeauftragte Nordrhein-Westfalen18.062 Eingaben, darin 12.592 Beschwerden (LDI NRW)Betroffene beschweren sich häufiger und schneller
Landesbeauftragte Nordrhein-WestfalenGeldbußen nahe einer halben Million Euro (LDI NRW)Ein Verstoß bleibt in der Regel nicht folgenlos

Aus diesen Zahlen folgt keine Panik, sondern eine Erwartungshaltung. Eine Behörde, die im Jahr mehrere tausend Meldungen bearbeitet, sucht Muster, keine Schuldigen. Sie liest eine kurze, sortierte Meldung mit klaren Angaben deutlich lieber als eine lange Erklärung, und sie sieht dieselben Betriebe wieder, wenn die Ursache nicht abgestellt wurde. Wer daneben Auskunftsersuchen nach der DSGVO sauber beantwortet, hat die dafür nötigen Verzeichnisse ohnehin angelegt.

Der häufigste Auslöser ist kein Angriff

Wer an Datenpanne denkt, denkt an einen Angriff von außen. Die Aufsicht sieht etwas anderes. Der Landesbeauftragte in Baden-Württemberg hält für 2025 fest, dass der Fehlversand ganzer Schreiben und ihrer Anlagen einen Schwerpunkt der eingegangenen Datenpannenmeldungen nach Art. 33 DSGVO bildete (LfDI Baden-Württemberg). Das ist die Sammelmail an sechzig Adressen im offenen Verteiler, das Angebot im falschen Umschlag, der Serienbrief mit verrutschtem Adressfeld. Sie kostet weder Angreifer noch Schadsoftware, sondern zwei unaufmerksame Minuten, und sie ist meldepflichtig wie jede andere, sobald ein Risiko für die Betroffenen besteht.

Angriffe gibt es daneben reichlich. Beim bayerischen Landesamt gingen 2025 524 Meldungen ein, in denen Verantwortliche oder deren Dienstleister von Ransomware betroffen waren (BayLDA). Knapp 400 Meldungen betrafen gekaperte Cloud-Plattformen und E-Mail-Konten (BayLDA). Der zweite Fall ist der unterschätzte: Aus einem übernommenen Postfach wurden in vielen Fällen 1.000 bis 10.000 weitere Konten angeschrieben, auch die fremder Organisationen (BayLDA). Die eigene Panne wird damit zur Panne der Geschäftspartner, und im Absenderfeld steht der eigene Betrieb. Wie sich geschäftliche Post absichern lässt, steht bei der Zustellung geschäftlicher E-Mail.

Formular an die falsche Adresse

Nach einem Anbieterwechsel läuft der Empfänger des Kontaktformulars ins Leere oder in ein fremdes Postfach. Auffällig wird das oft erst Wochen später.

Verzeichnis ohne Zugriffsschutz

Ein Ordner mit Angeboten, Bewerbungen oder Rechnungen liegt ohne Anmeldung im Web und taucht in einer Suchmaschine auf.

Übernommener Zugang

Ein Redaktionskonto ohne zweiten Faktor wird gekapert. Der Angreifer liest mit, lange bevor er etwas verändert.

Eingeschleustes Skript

Ein manipuliertes Skript im Seitenkopf greift Formulareingaben ab. Das Formular arbeitet weiter, deshalb fällt zunächst nichts auf.

Panne beim Dienstleister

Der Hoster oder das Buchungssystem meldet einen Vorfall. Verantwortlich für die Meldung an die Aufsicht bleibt trotzdem Ihr Betrieb.

Alte Daten, die noch da sind

Bewerbungen von vor drei Jahren, ein Newsletter-Export auf dem Laptop, ein Backup ohne Löschfrist. Was gelöscht ist, kann nicht abfließen.

Wie groß der Datenabfluss insgesamt ist, misst der Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik. Im Berichtszeitraum von Juli 2024 bis Juni 2025 wurden 461 Datenleaks mit Daten deutscher Institutionen und Verbraucher bekannt (BSI). Betroffen waren dabei unter anderem Geburtsdaten in 92 Prozent, Postadressen in 72 Prozent und E-Mail-Adressen in 63 Prozent der Fälle (BSI). Die je Quartal gezählte Zahl der Leak-Geschädigten erreichte im ersten Quartal 2025 mit 78 einen Höchststand (BSI), während die beim Bundeskriminalamt angezeigten Ransomware-Angriffe mit 950 weitgehend unverändert blieben (BSI). Europaweit wertete die EU-Cybersicherheitsagentur für denselben Zeitraum 4.875 Vorfälle aus (ENISA); Deutschland wird darin mit 23,4 Prozent am häufigsten genannt (ENISA).

Ihr Formular sammelt genau die Felder, die in den Leaks stecken

Name, Anschrift, E-Mail-Adresse, gelegentlich das Geburtsdatum: Das ist die Feldliste eines gewöhnlichen Kontaktformulars und zugleich die Liste der Datenarten, die in den bekannt gewordenen Leaks am häufigsten auftauchten (BSI). Daraus folgt die wirksamste Vorsorge, und sie ist nicht technisch. Jedes Feld, das nicht erhoben wird, kann nicht abfließen, nicht in eine Meldung geraten und keine Benachrichtigung auslösen. Wer sein Kontaktformular auf die Felder reduziert, die für die Antwort gebraucht werden, senkt die Meldewahrscheinlichkeit, bevor irgendein Schutzmechanismus greift.

Vier Stufen: Kenntnis, Bewertung, Meldung, Benachrichtigung

Die Verordnung kennt keine Eskalationsstufen, der Ablauf hat aber vier davon. Sie greifen ineinander, und jede Stufe erzeugt eine Angabe, die auf der nächsten gebraucht wird. Wer diese vier Schritte einmal auf einem Blatt hat, verliert im Ernstfall keine Zeit mit der Frage, wer jetzt was entscheidet.

  • Kenntnis. Ein Vorfall ist erkannt und mit hinreichender Sicherheit als Beeinträchtigung personenbezogener Daten eingeordnet (Europäischer Datenschutzausschuss). Festgehalten werden Datum, Uhrzeit, meldende Person und Entdeckungsweg. Ab hier läuft die Frist.
  • Bewertung. Welche Datenarten, welcher Personenkreis, welche möglichen Folgen? Daraus ergibt sich, ob überhaupt gemeldet wird: Meldepflichtig sind Datenschutzverletzungen nur dann, wenn ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht (BayLDA).
  • Meldung an die Aufsichtsbehörde. Binnen höchstens 72 Stunden (Europäischer Datenschutzausschuss), in der Regel über das Online-Formular der zuständigen Landesbehörde. Eine fehlende Angabe wird nachgereicht, nicht abgewartet.
  • Benachrichtigung der Betroffenen. Nur bei voraussichtlich hohem Risiko, dann aber ohne schuldhaftes Zögern und in klarer, einfacher Sprache. Diese Stufe ist die sichtbare: Sie trifft Kunden, Bewerber und Geschäftspartner direkt.

Die Trennung zwischen Stufe zwei und Stufe vier trägt die meiste Unsicherheit. Sie lässt sich mit einer einzigen Frage abkürzen: Was könnte einer betroffenen Person mit diesen Daten geschehen? Bei einer verlorenen Terminliste mit Vornamen ist die Antwort kurz. Bei einer Bewerberliste mit Anschrift, Geburtsdatum und Angaben zur bisherigen Anstellung ist sie es nicht. Wie sich Bewerberdaten mit Fristen und Löschregeln annehmen lassen, beschreibt der Beitrag Bewerbungen online annehmen.

Tabelle waagerecht wischen

SchrittFristAdressatWenn die Frist reißt
Kenntnis dokumentierensoforteigene AkteDer Fristbeginn ist später nicht belegbar
Risiko bewerteninnerhalb der 72 Stundeneigene AkteDie Meldung geht ohne Einschätzung heraus
Meldung nach Art. 33 DSGVOhöchstens 72 Stunden (Europäischer Datenschutzausschuss)zuständige AufsichtsbehördeDer Meldung ist eine Begründung für die Verzögerung beizufügen (Europäischer Datenschutzausschuss)
Benachrichtigung nach Art. 34 DSGVOohne schuldhaftes Zögernbetroffene PersonenDie Aufsicht kann die Benachrichtigung anordnen
Erstmeldung nach dem BSI-Gesetz24 Stunden nach Kenntniserlangung (BSI)Bundesamt für Sicherheit in der InformationstechnikGilt nur für regulierte Einrichtungen
Abschlussmeldung nach dem BSI-Gesetzspätestens nach einem Monat (BSI)Bundesamt für Sicherheit in der InformationstechnikGilt nur für regulierte Einrichtungen

Was in die Meldung gehört

Das Meldeformular der Aufsichtsbehörden folgt dem Aufbau von Art. 33 Abs. 3 DSGVO. Es fragt vier Blöcke ab, und keiner davon verlangt technisches Fachvokabular. Wer die Angaben in der Bewertungsphase notiert hat, füllt das Formular in zwanzig Minuten aus.

  • Art der Verletzung. Was ist passiert, in einem Satz. Dazu die Kategorien und die ungefähre Zahl der betroffenen Personen sowie der betroffenen Datensätze.
  • Ansprechpartner. Name und Kontaktdaten der Stelle, bei der weitere Informationen zu erhalten sind. In kleinen Betrieben ist das die Geschäftsführung, nicht der Dienstleister.
  • Wahrscheinliche Folgen. Was der Vorfall für die Betroffenen bedeuten kann: unerwünschte Werbung, Identitätsmissbrauch, Rückschlüsse auf besonders geschützte Daten.
  • Ergriffene Maßnahmen. Was Sie getan haben, um die Verletzung zu beheben und ihre Folgen abzumildern. Zugang gesperrt, Adresse korrigiert, Empfänger zur Löschung aufgefordert.
  • Bei Verzögerung: die Begründung. Warum die Meldung länger als 72 Stunden gebraucht hat (Europäischer Datenschutzausschuss).
  • Der Zeitstempel der Kenntnis. Ohne ihn kann die Behörde die Rechtzeitigkeit nicht beurteilen und fragt nach.

Schnelligkeit vor Vollständigkeit

Das Bundesamt für Sicherheit in der Informationstechnik fasst den Meldegrundsatz für erhebliche Sicherheitsvorfälle in drei Worten: Schnelligkeit vor Vollständigkeit (BSI). Derselbe Gedanke trägt die datenschutzrechtliche Meldung: Sind nicht alle Informationen vorhanden, dürfen sie schrittweise nachgereicht werden. Eine Meldung mit drei offenen Punkten und einem Nachlieferungstermin ist besser als eine perfekte Meldung nach fünf Tagen. Wer ohnehin Erreichbarkeit und Ausfälle im Blick hat, bemerkt einen Vorfall früher und gewinnt genau die Stunden, die diese Frist eng machen.

Dokumentiert wird auch, was nicht gemeldet wird

Die stillste Pflicht der Verordnung ist die, an der eine Prüfung am schnellsten hängen bleibt. Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller damit zusammenhängenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen; diese Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung ermöglichen (Europäischer Datenschutzausschuss). Das gilt für jede Verletzung, auch für die, die Sie nach der Risikobewertung bewusst nicht melden. Wer nichts dokumentiert, kann auch nicht belegen, dass die Nichtmeldung eine begründete Entscheidung war und keine Unterlassung.

vorfall-2026-03-14.txt
Vorfall           2026-03-14  Kontaktformular an aufgelöstes Postfach
Kenntnis          2026-03-14  09:20 Uhr, gemeldet durch die Buchhaltung
Entdeckungsweg    Rückfrage einer Kundin, Antwort blieb aus
Zeitraum          2026-02-21 bis 2026-03-14
Datenarten        Name, E-Mail, Anschrift, Freitext der Anfrage
Betroffene        ca. 40 Personen, 41 Datensätze
Empfänger         Postfach beim vorherigen Anbieter, abgeschaltet
Risiko            gering: kein Abruf nachweisbar, Postfach inaktiv
Entscheidung      keine Meldung nach Art. 33, Doku nach Absatz 5
Abhilfe           Adresse korrigiert, Testeinsendung kontrolliert
Freigabe          Geschäftsführung, 2026-03-14 11:05 Uhr

Wer die Melde- und Dokumentationspflichten verletzt, bewegt sich im unteren Bußgeldrahmen der Verordnung. Bei Verstößen gegen die Artikel 25 bis 39 werden Geldbußen von bis zu 10 Millionen Euro oder von bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes verhängt, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO). Für einen Handwerks- oder Handelsbetrieb ist der Prozentsatz die relevantere Größe, und die Aufsicht schöpft den Rahmen bei kooperativen Betrieben in der Regel nicht aus. Die Zahl steht hier trotzdem, weil sie erklärt, warum eine dreizeilige Notiz am Tag des Vorfalls eine gute Investition ist.

Wann die Betroffenen selbst benachrichtigt werden

Die zweite Meldung geht nicht an eine Behörde, sondern an Menschen. Sie wird fällig, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten zur Folge hat. Der Maßstab ist derselbe wie bei der Meldung an die Aufsicht, nur eine Stufe höher angesetzt. Die Untergrenze formuliert das bayerische Landesamt eindeutig: Meldepflichtig sind Datenschutzverletzungen nur dann, wenn ein Risiko für die Rechte und Freiheiten der vom Vorfall betroffenen Personen besteht (BayLDA). Ohne Risiko keine Meldung, ohne hohes Risiko keine Benachrichtigung.

Praktisch entscheidet dieser Teil über den Ruf. Die Benachrichtigung erreicht Kunden, Bewerber und Lieferanten und wird weitergereicht. Ein Text, der den Vorfall benennt, die Folgen einordnet und eine konkrete Empfehlung gibt, wird als Zeichen von Ernsthaftigkeit gelesen; einer, der beschwichtigt, wird kommentiert. Dieser Text entsteht besser vorher als in der Nacht danach, und er gehört auf dieselbe Seite wie Ihre Rechtstexte und die Datenschutzerklärung.

  • Was passiert ist, in einfacher Sprache. Ein Satz ohne Fachbegriffe, dazu Zeitraum und Datenarten.
  • Was das für die einzelne Person bedeutet. Konkret statt abstrakt: womit zu rechnen ist und womit nicht.
  • Was Sie getan haben. Zugang gesperrt, Adresse korrigiert, Dienstleister gewechselt.
  • Was die Person selbst tun sollte. Passwort ändern, auf ungewöhnliche Post achten, Kontoauszüge sichten.
  • Wer erreichbar ist. Name, Rufnummer und Adresse für Rückfragen, für einige Tage auch außerhalb der Bürozeiten.
  • Wo der Stand nachzulesen ist. Eine schlichte Seite auf der eigenen Website trägt weiter als eine Serienmail mit Anhang.

Die zweite Uhr: für regulierte Einrichtungen

Neben der datenschutzrechtlichen Frist läuft eine kürzere, die nicht jeden betrifft. Für Einrichtungen, die unter das BSI-Gesetz in seiner Fassung nach der europäischen Richtlinie zur Netz- und Informationssicherheit fallen, ist die Erstmeldung eines erheblichen Sicherheitsvorfalls innerhalb von 24 Stunden nach Kenntniserlangung fällig (BSI). Die Kette endet dort nicht: Spätestens nach einem Monat nach Meldung ist eine Abschlussmeldung abzugeben (BSI).

Für den typischen Handwerks-, Handels- oder Dienstleistungsbetrieb mit einer Website gilt diese zweite Uhr in der Regel nicht. Wichtig ist die Unterscheidung trotzdem, weil sie in Verträgen auftaucht. Wer als Nachunternehmer für ein Energieversorgungsunternehmen, ein Krankenhaus oder einen Logistiker arbeitet, findet in Rahmenverträgen zunehmend Meldefristen von 24 Stunden, die vertraglich gelten, unabhängig von der eigenen Einstufung. Wer sich um öffentliche Aufträge bewirbt, sollte solche Klauseln vor der Angebotsabgabe lesen, denn sie binden ab dem Zuschlag.

Was die Website vorher leisten kann

Die wirksamste Vorsorge ist Datensparsamkeit, und sie kostet nichts. Ein Formular mit vier Feldern erzeugt einen kleineren Vorfall als eines mit vierzehn. Ein Bewerbungsverfahren mit klarer Löschfrist erzeugt nach zwei Jahren gar keinen mehr. Und eine Seite, die ohne Cookie-Banner auskommt, weil sie datensparsam gebaut ist, hat im Ernstfall weniger Datenwege zu dokumentieren.

Technisch ist die Lage im Web durchwachsen. Der Transport ist weitgehend gelöst: 97,3 Prozent der mobil aufgerufenen Startseiten laufen über HTTPS (Web Almanac). Der Rest ist es nicht. Nur 21,9 Prozent der Seiten setzen überhaupt eine Content-Security-Policy (Web Almanac), also die Regel, die ein eingeschleustes Skript daran hindern würde, Formulareingaben abzugreifen. Von den Seiten mit einer solchen Richtlinie erlauben 92 Prozent weiterhin unsafe-inline und heben den Schutz damit weitgehend auf (Web Almanac). Und nur 36 Prozent der mobil aufgerufenen Seiten senden einen HSTS-Header (Web Almanac), der den ersten Aufruf vor einem ungeschützten Umweg bewahrt.

  • Das Kontaktformular erhebt nur Felder, die für die Antwort gebraucht werden; jedes weitere Feld hat einen benannten Zweck.
  • Die Empfängeradresse des Formulars ist dokumentiert und wird nach jedem Anbieterwechsel mit einer Testeinsendung kontrolliert.
  • Redaktionszugänge sind personengebunden, mit zweitem Faktor versehen und beim Ausscheiden entzogen; die Rollen und Rechte sind schriftlich festgelegt.
  • Für jeden Dienstleister mit Datenzugriff liegt ein Auftragsverarbeitungsvertrag vor, samt Meldeweg und Reaktionszeit im Vorfall.
  • Eingebundene fremde Inhalte sind bekannt und begründet; wie das ohne stille Datenabflüsse geht, steht bei Karten, Videos und Schriften.
  • Die Angriffsfläche der Seite ist bewusst klein gehalten: wenig Fremdcode, wenige Zugänge, wenige Datenspeicher.
  • Ein Vorfallsbogen liegt als Datei bereit, mit den Feldern aus dem Beispiel oben und einer benannten verantwortlichen Person.
  • Der Link auf das Meldeformular der zuständigen Aufsichtsbehörde ist hinterlegt, damit er nicht innerhalb der Frist gesucht werden muss.

Diese acht Punkte sind an einem Vormittag erledigt und halten Jahre. Der Unterschied zwischen einem Betrieb, der eine Meldung in zwei Stunden abgibt, und einem, der drei Tage braucht, liegt fast vollständig in dieser Vorarbeit. Ein Blick auf die Leistungen im Überblick zeigt, welcher Teil davon in den Aufbau einer Seite gehört und welcher in den laufenden Betrieb.

Im Ernstfall entscheidet nicht, wie gut Ihre Technik war, sondern wie schnell Sie sagen können, was passiert ist.

Die ersten Stunden in fünf Schritten

Wenn es soweit ist, hilft eine kurze Reihenfolge mehr als ein Handbuch. Die folgenden fünf Schritte lassen sich von einer Person abarbeiten, die keine Fachkraft für Informationssicherheit ist.

  • Stoppen und festhalten. Zugang sperren, Formular abschalten, Adresse korrigieren. Im selben Zug Datum, Uhrzeit und Entdeckungsweg notieren, denn ab diesem Zeitstempel läuft die Frist von 72 Stunden (Europäischer Datenschutzausschuss).
  • Umfang schätzen, nicht ermitteln. Welche Datenarten, wie viele Personen, welcher Zeitraum? Eine begründete Schätzung reicht für die Meldung; die genaue Zahl wird nachgereicht.
  • Risiko bewerten und entscheiden. Besteht ein Risiko für die Betroffenen, wird gemeldet (BayLDA). Besteht ein voraussichtlich hohes Risiko, kommt die Benachrichtigung der Betroffenen hinzu.
  • Melden, auch mit Lücken. Das Online-Formular der zuständigen Landesbehörde ausfüllen und offene Punkte als offen kennzeichnen. Der Grundsatz lautet Schnelligkeit vor Vollständigkeit (BSI).
  • Ursache abstellen und dokumentieren. Die Abhilfe gehört in dieselbe Datei wie die Kenntnis, denn die Dokumentation muss der Aufsicht die Überprüfung ermöglichen (Europäischer Datenschutzausschuss). Wer Unterstützung beim Aufbau der Seite und ihrer Datenwege sucht, findet den Weg über die Kontaktseite.

Quellen und Studien

Grundlage dieses Beitrags sind die Leitlinien 9/2022 des Europäischen Datenschutzausschusses zur Meldung von Verletzungen des Schutzes personenbezogener Daten, die den Wortlaut von Art. 33 DSGVO wiedergeben, sowie Art. 83 Abs. 4 DSGVO. Die Meldezahlen stammen aus dem 34. Tätigkeitsbericht des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, dem 15. Tätigkeitsbericht des Bayerischen Landesamtes für Datenschutzaufsicht, dem 41. Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Baden-Württemberg und dem 31. Tätigkeitsbericht der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, jeweils für das Berichtsjahr 2025. Angaben zu Datenleaks, Ransomware und Meldefristen nach dem BSI-Gesetz stammen aus dem Lagebericht zur IT-Sicherheit in Deutschland 2025 und den Infopaketen des Bundesamtes für Sicherheit in der Informationstechnik, die europaweiten Vorfallszahlen aus dem ENISA Threat Landscape 2025. Die Verbreitungswerte zu HTTPS, Content-Security-Policy und HSTS stammen aus dem Kapitel Security des Web Almanac 2025. Diese Einordnung ersetzt keine Rechtsberatung im Einzelfall.