Die Mail ist draußen, die Frist beginnt mit dem Bekanntwerden
Der Fehler selbst ist schnell erzählt. In einem Betrieb, den wir betreuen, sind die Unterlagen eines Klienten an einen falschen Empfänger gegangen. Im Adressbuch steht der Nachbar direkt daneben. Keine böse Absicht, nur Tempo.
Zwischen dem Vorschlag im Adressfeld und dem Versand lag kein Zwischenschritt. Die Unterlagen eines Klienten liegen seither im Postfach eines Fremden.
Danach beginnt die Frist. Artikel 33 der Datenschutz-Grundverordnung rechnet sie ab dem Bekanntwerden, nicht ab dem Versand. 72 Stunden bleiben dafür. Ab diesem Zeitpunkt prüft der Betrieb, ob er die Panne der Datenschutzbehörde melden muss. Das ist weniger, als es klingt. Er klärt dabei nicht nur die Meldepflicht, sondern auch, was genau hinausgegangen ist und an wen. Bei hohem Risiko für die Betroffenen kommt deren Verständigung dazu.
Folge: Der Betrieb schreibt seinem eigenen Klienten, dass dessen Unterlagen bei einem Fremden gelandet sind. Was danach kommt, wiegt schwerer als das Verfahren selbst. Wie der Klient darauf reagiert, weiß vorher niemand. Dieses Gespräch nimmt dem Betrieb niemand ab.
Fünf Punkte.Still für sich beantwortet.
Es geht nicht um Schuld, nur um das Muster.
Nach der Panne ändert sich der Ton, nicht der Ablauf
Die Rundmail danach. Nach so einer Panne geht sie üblicherweise hinaus, alle mögen bitte besser aufpassen. Das wirkt nach unserer Erfahrung ungefähr zwei Wochen. Wer am Tag achtzig E-Mails schreibt, adressiert irgendwann wieder eine falsch. Aufmerksamkeit ist keine unerschöpfliche Ressource.
Die Pannen selbst. Die Einladung im CC statt im BCC. Das unverschlüsselte Notebook im Zug. Die Erkenntnis, dass seit Ewigkeiten jeder im Betrieb jeden Ordner öffnen kann, Gehälter eingeschlossen. Das sind alles Zustände, keine Charakterfragen.
Und die Anweisung, die danach kommt. Das Gesetz verlangt nicht bloß Sorgfalt, sondern dass Technik und Abläufe zum Risiko passen. Dazu gehört ebenfalls die passende Dokumentation. Eine Regel, die nur aus einem Verbot besteht, verlagert die Verantwortung nach unten. Dort bleibt sie nicht.
Für Technik-Interessierte Wie Systeme Fehler abfangen
Vier Mechanismen fangen genau die Fälle ab, die im Alltag tatsächlich vorkommen.
Keiner dieser vier Punkte verlangt vom Anwender mehr Konzentration. Das ist ihr Sinn.
- Geräteverschlüsselung. Sie arbeitet unterhalb des Betriebssystems, der Schlüssel liegt im Sicherheitschip (TPM), die Wiederherstellungsschlüssel hinterlegen Sie zentral. Ohne beides sind die Daten auf der Platte nur Rauschen.
- Empfängerwarnung und Anhangsprüfung. Der Fachbegriff ist Data Loss Prevention: Das Mailsystem gleicht ausgehende Nachrichten mit Regeln ab, erkennt Muster wie Sozialversicherungsnummern oder IBANs und kann warnen, verzögern oder blockieren.
- Rollenbasierte Berechtigungen. Sie hängen an Funktionen wie Buchhaltung, Sekretariat oder Partner, nicht an Einzelpersonen. Das verhindert den Wildwuchs, der sonst bei jedem Personalwechsel entsteht.
- Freigabelinks statt Anhänge. Sie lassen sich auf benannte Empfänger begrenzen, mit Ablaufdatum versehen und nachträglich widerrufen. Der Zugriff bleibt steuerbar, ein versendeter Anhang nie.
„Die meisten Datenpannen, die ich sehe, beginnen nicht mit einem Angreifer, sondern mit einem eiligen Klick um 17:40. Meine Aufgabe ist, dass aus diesem Klick keine Meldung an die Behörde wird.“
Und was fängt so einen Klick ab?
Vor dem Fehler: die Verschlüsselung. Ein verlorenes verschlüsseltes Notebook ist ein Hardwareschaden, mehr nicht. Moderne Geräte bringen sie mit, jemand muss sie nur konsequent aktivieren. Für USB-Sticks und Diensthandys gilt dasselbe.
Im Moment des Fehlers: die Warnung. Eine Rückfrage, bevor eine Nachricht an eine externe oder ungewöhnliche Adresse geht. Auch eine kurze Versandverzögerung hat schon manche E-Mail gerettet, weil der Fehler dem Absender eine Sekunde nach dem Klick aufgefallen ist.
Nach dem Fehler: der Widerruf. Was als Freigabelink hinausgeht, lässt sich zurückziehen, was als Anhang hinausgeht, nicht. Das ist der ganze Unterschied.
Und unabhängig davon: die Berechtigungen. Jeder sieht, was er für seine Arbeit braucht, sonst nichts. Das begrenzt nebenbei den Schaden, falls ein Angreifer tatsächlich ein Konto übernimmt.
Sitzt das, ist das Notebook im Taxi ein Anruf und ein Ersatzgerät am nächsten Tag, keine Meldung an die Behörde und kein Brief an Kunden.
Die Bestandsaufnahme und die Regeln, wer was sehen darf, können Sie selbst anstoßen und entscheiden. Die technische Umsetzung, also Verschlüsselung samt Schlüsselverwahrung, Mailregeln und ein sauberes Berechtigungskonzept, ist Facharbeit. Halbherzig umgesetzt wiegt sie in falscher Sicherheit.
„Das unterstellt dem Team etwas“
Der Einwand kommt fast immer, und er ehrt den, der ihn stellt: Unsere Leute arbeiten sorgfältig, wir brauchen keine Kontrollmechanismen, die ihnen das Gegenteil unterstellen.
Genau darum geht es nicht. Eine Empfängerwarnung misstraut niemandem, sie fragt einmal nach, so wie die Kollegin fragt, bevor sie ein Schreiben hinausschickt. Im Vier-Augen-Prinzip bei Zahlungen steckt ja auch kein Vorwurf.
Vier Fragen, und was Sie selbst tun können.
Wer erst nachsehen muss, hat Ihren Datenschutz bisher dem Zufall überlassen, nicht der Technik.
Nach dem Verschlüsselungsstatus gefragt.Und „man muss eben aufpassen“ gehört?
Dann entscheidet der nächste eilige Klick, ob Sie Ihre Kunden anrufen müssen. Reden wir eine halbe Stunde darüber. Wir sagen Ihnen, welche Ihrer Flanken offen sind und welche längst abgedeckt.
