Datenschutz-Schulungen: Pflicht oder Kür?
Datenschutz-Schulungen: Pflicht oder Risiko?
Datenschutzverstöße entstehen selten aus Absicht, aber sehr oft aus Unwissenheit. Für Unternehmen ist das problematisch, weil die DSGVO einen Nachweis verlangt, dass Mitarbeitende über ihre Pflichten informiert sind. Wer Schulungen sauber aufsetzt, reduziert Risiken, schafft Klarheit und entlastet Führungskräfte im Alltag.
In vielen Organisationen entstehen Datenschutzprobleme nicht in Ausnahmefällen, sondern im Tagesgeschäft. Dateien werden weitergeleitet, Adresslisten falsch verwendet, Homeoffice-Regeln sind unklar oder sensible Informationen werden ungeschützt abgelegt. Genau hier zeigt sich, ob Datenschutz nur formal behandelt wird oder im Unternehmen tatsächlich ankommt.
Die DSGVO macht Unternehmen in diesem Punkt zu einer Bringschuld. Es reicht nicht aus, dass irgendwo Regeln existieren. Entscheidend ist, dass Mitarbeitende die wichtigsten Datenschutzpflichten kennen und das Unternehmen dies auch dokumentieren kann. Fehlt dieser Nachweis, kann es im Streit- oder Schadensfall teuer werden – selbst dann, wenn ein Fehler nur auf Unkenntnis beruhte.
Für Entscheider ist das Thema deshalb mehr als eine Pflichtübung. Es geht um Haftungsrisiken, Reputation und auch um Effizienz. Wer klare Regeln vermittelt, reduziert Rückfragen und Unsicherheiten. Das wirkt sich direkt auf die Zusammenarbeit aus, gerade in Organisationen mit vielen Mitarbeitenden, mehreren Standorten oder hybriden Arbeitsmodellen.
Warum Schulungen im Alltag den Unterschied machen
Datenschutz-Schulungen sind dann wirksam, wenn sie nicht abstrakt bleiben, sondern typische Arbeitssituationen aufgreifen. Genau dort entstehen die meisten Fehler: beim Versenden von E-Mails, beim Umgang mit Dateien, beim Ausdruck sensibler Unterlagen oder bei Gesprächen über vertrauliche Themen. Auch private Geräte, Cloud-Dienste und Homeoffice-Situationen gehören dazu.
Eine strukturierte Schulung schafft zwei Dinge zugleich: Rechtssicherheit durch dokumentierte Unterweisung und gelebte Sicherheit, weil Mitarbeitende wissen, wie sie im Alltag richtig handeln. Damit wird Datenschutz nicht zum Sonderthema, sondern Teil der täglichen Arbeitsweise.
Welche Inhalte für Unternehmen besonders relevant sind
Tulos verbindet in seinen Datenschutz-Schulungen die Anforderungen der DSGVO mit konkreten Alltagssituationen. Der Fokus liegt darauf, verständlich zu erklären, was im Unternehmen tatsächlich gebraucht wird. Dazu gehören Grundlagen wie personenbezogene Daten und zentrale Prinzipien der DSGVO ebenso wie typische Fehler und deren Vermeidung.
Besonders relevant sind dabei die Themen, die in der Praxis immer wieder auftreten: Zweckbindung, Datenminimierung, Betroffenenrechte, Auftragsverarbeitung und Meldepflichten bei Vorfällen. Mitarbeitende müssen dabei keine Paragrafen kennen. Sie brauchen Orientierung: Was ist erlaubt, was nicht, und warum?
Auch sichere Datenspeicherung und Datenverarbeitung spielen eine zentrale Rolle. Ob Dateiablage, Passwortnutzung, Zugriffsrechte, Löschkonzepte oder der Umgang mit vertraulichen Dokumenten – überall dort, wo personenbezogene Daten verarbeitet werden, sind klare Leitplanken notwendig. Diese müssen so formuliert sein, dass sie in bestehende Abläufe passen und nicht neben dem Tagesgeschäft herlaufen.
Was Entscheider aus einer Schulung mitnehmen
Für Geschäftsführung, Rechtsabteilung und andere Verantwortliche liegt der Nutzen nicht nur im Wissenstransfer. Professionelle Schulungen unterstützen vor allem dabei, die Schulungspflicht nachweisbar zu erfüllen, alltägliche Risiken spürbar zu senken und im Umgang mit sensiblen Informationen mehr Klarheit zu schaffen. Das ist besonders wichtig, wenn neue Mitarbeitende einzuarbeiten sind oder Führungskräfte Vorbildfunktion haben.
Ein weiterer Punkt ist die Vorbereitung auf Prüfungen. Wenn interne Revisionen, Kunden oder Aufsichtsbehörden Fragen stellen, ist ein geordnetes Schulungskonzept ein starkes Argument. Es zeigt, dass Datenschutz nicht nur behauptet, sondern organisatorisch umgesetzt wird.
- nachweisbare Erfüllung der Schulungspflicht
- Reduktion alltäglicher Datenschutzrisiken
- mehr Sicherheit und Klarheit im Umgang mit sensiblen Daten
Fazit
Datenschutz-Schulungen sind kein formaler Pflichttermin, sondern ein wirkungsvolles Instrument, um Risiken zu senken und Verantwortung im Unternehmen klar zu verankern. Je besser Schulungen auf die tatsächlichen Arbeitsabläufe abgestimmt sind, desto eher werden sie im Alltag genutzt und nicht nur abgehakt.
Wenn Sie Datenschutz-Schulungen wirksam, nachweisbar und alltagstauglich aufsetzen möchten, sprechen Sie mit Tulos. Tulos ist Ihr kompetenter Partner, wenn es um Datenschutz und Informationssicherheit geht. Besuchen Sie unsere Seite zu Datenschutz-Schulungen für weitere Informationen.
Tulos Presseschau vom 22.10.2026 zu Datenschutz und Datensicherheit
Presseschau: Datenschutz, Datensicherheit und Informationssicherheit (Aktuelle Meldungen)
Datenschutz und Datensicherheit bleiben in dieser Woche ein wiederkehrendes Thema in den Medien. Unten finden Sie ausgewählte Meldungen mit konkretem Unternehmensbezug.
Charité nimmt Website wegen Sicherheitslücke vom Netz
Die Universitätsmedizin Charité hat ihre offizielle Website aus Sicherheitsgründen vorübergehend vom Netz genommen, nachdem eine IT-Sicherheitslücke bekannt geworden war. Laut Charité handele es sich nicht um einen Cyberangriff, sondern um eine Vorsichtsmaßnahme; der Fokus liege auf notwendigen Sicherheitsupdates, während die Arbeit der Charité selbst laut Mitteilung nicht beeinträchtigt werde. Betroffen sei vor allem die Sichtbarkeit/Auffindbarkeit der Website, etwa die Online-Terminbuchung. Das berichtet WELT.
Das Risiko: Auch ohne „klassischen“ Cyberangriff können Sicherheitslücken in öffentlich zugänglichen Systemen dazu führen, dass zentrale digitale Dienste abgeschaltet werden müssen (z. B. Terminbuchung, Informationsangebote) – mit unmittelbaren Auswirkungen auf Betriebsabläufe und Außenkommunikation.
Die Erkenntnis: Unternehmen sollten für ihre Web- und Service-Frontends klare Prozesse für schnelle Patch-/Update-Entscheidungen sowie für die Folgenabschätzung bei Sicherheitslücken (z. B. welche Dienste dürfen temporär ausfallen, wie wird informiert) vorhalten.
Hacker greifen E-Mail-Konten der AfD an
Die WELT berichtet über einen Hackerangriff auf einen Hosting-Dienstleister der Partei AfD. Nach Angaben der AfD seien dabei vermutlich Teile einzelner, offenbar seit Jahren nicht mehr genutzter Mail-Postfächer kopiert worden; aktuelle Postfächer des Bundesverbands seien laut Partei nicht betroffen gewesen. Unbekannte hätten zudem behauptet, große Mengen an E-Mails veröffentlicht zu haben – über Echtheit/Umfang soll noch unklar sein. Das berichtet ebenfalls die WELT.
Das Risiko: Angriffe auf E-Mail-Umgebungen bzw. Hosting-Dienstleister können zur unbefugten Kopie personenbezogener oder anderweitig geschäftsrelevanter Daten führen – auch dann, wenn der eigentliche Zugriff sich auf „veraltete“ oder selten genutzte Postfächer konzentriert.
Die Erkenntnis: Unternehmen sollten insbesondere bei E-Mail- und Hosting-Setups wirksam nachweisen können, wie Kontenlebenszyklen gehandhabt werden (z. B. Deaktivierung/Stilllegung nicht benötigter Konten) und wie Verantwortlichkeiten/Kontrollen über Dienstleister hinweg dokumentiert und überprüft sind.
Meta Muse: Tausende private KI-Gespräche waren per Suche auffindbar
Wie t3n berichtet, dass Forschende tausende private Gespräche mit dem KI-Agenten „Muse“ von Meta per Suchanfrage einsehen konnten. Laut Berichten habe Meta daraufhin eine Freigabefunktion vorübergehend ausgesetzt. Anlass sei gewesen, dass der KI-Agent sensible Informationen offenlegen konnte, wenn Nutzer Inhalte über Weblinks teilten; darunter seien auch Daten, die auf einen geschäftlichen Kontext schließen lassen (im Bericht genannt: ein Urlaubskalender eines Unternehmens).
Das Risiko: Bei KI-gestützten Anwendungen können Datenschutzrisiken durch fehlerhafte Freigabe-/Auffindbarkeitsmechanismen entstehen – mit der Folge, dass Inhalte, die Unternehmen eigentlich nicht teilen wollten, potenziell über Such-/Freigabewege zugänglich werden.
Die Erkenntnis: Unternehmen sollten bei der Nutzung von KI-Diensten klare Regeln zur Verarbeitung und Weitergabe sensibler Inhalte definieren (inkl. Freigabe- und Link-Nutzung) und diese Regeln intern auch praktisch durch Schulungen und Nutzungsrichtlinien absichern.
Datenschutz: Walisischer Politiker löst Debatte um Smart Glasses aus
Außerdem greift t3n eine Debatte auf, die durch Smart Glasses ausgelöst wurde: Als Problem wird beschrieben, dass smarte Brillen oft ähnlich wie normale Brillen wirken und dadurch unbemerktes Aufzeichnen sowie das Erfassen vertraulicher Informationen erleichtert werden können. In dem Beitrag wird zudem auf Warnungen von Datenschutzbeauftragten Bezug genommen.
Das Risiko: Der Einsatz von Daten verarbeitender Sensorik (z. B. Kamera/Audio) in alltagstauglichen Geräten kann zu Datenschutzverstößen führen, wenn Aufzeichnung und Zweck/Transparenz nicht rechtssicher bzw. für Betroffene erkennbar sind.
Die Erkenntnis: Unternehmen sollten bei neuen Erfassungs- oder Assistenztechnologien (auch „nur“ für interne Zwecke) nicht nur die technische Funktion bewerten, sondern vorab klären: Wer darf sie wann einsetzen, wie werden Aufzeichnungen kenntlich gemacht und wie wird datenschutzkonform mit Betroffeneninformationen umgegangen?
Was Unternehmen daraus lernen
Die Meldungen zeigen vor allem: Sicherheitslücken und falsche/unklare Datenzugriffswege führen schnell zu Einschränkungen oder zu unerwünschter Datenverfügbarkeit – selbst ohne „großen“ Angriff. Unternehmen sollten deshalb ihre Prozesse für Updates und Dienstverfügbarkeit, die Kontrolle über Dienstleister und Datenzugriffe sowie klare Nutzungsregeln für neue digitale Tools und KI-Anwendungen regelmäßig überprüfen. Dabei können NIS2-Readiness und ein Audit-Vorbereitung helfen, Kontrollen und Nachweise so aufzusetzen, dass Risiken nicht nur erkannt, sondern auch belastbar gesteuert und dokumentiert werden.
Gleich mit Tulos Kontakt aufnehmen und ein Angebot anfordern? Schreiben Sie uns über unser Kontaktformular.
Wenn Sicherheitsregeln überfordern
Wenn Sicherheitsregeln den Arbeitsalltag überfordern, entsteht kein zuverlässiger Schutz, sondern ein zusätzliches Risiko. Der Fall des niederländischen Mobilfunkanbieters Odido zeigt, dass Angreifer dafür weder Deepfakes noch künstliche Intelligenz benötigen: Ein Anruf und eine nachgebaute Log-in-Seite reichten nach Angaben des Unternehmens aus, um Daten von mehr als sechs Millionen Kunden abfließen zu lassen.
Ein Sicherheitsvorfall ist nicht automatisch menschliches Versagen
Anfang 2026 brachte ein angeblicher IT-Kollege eine Mitarbeiterin im Callcenter von Odido dazu, sich auf einer gefälschten Log-in-Seite anzumelden – einschließlich zweitem Faktor. Hinter dem Angriff wird die kriminelle Gruppe ShinyHunters vermutet.
Angela Sasse, Professorin für Human-Centred Security an der Ruhr-Universität Bochum, warnt im c’t-Podcast „Nutzer sind nicht der Feind“ davor, solche Vorfälle allein den Beschäftigten anzulasten. Sicherheitsmechanismen müssten so gestaltet sein, dass Menschen sie im Arbeitsalltag tatsächlich zuverlässig anwenden können.
Für Unternehmen ist das eine wichtige Unterscheidung: Wenn ein Prozess unter Zeitdruck, bei vielen parallelen Aufgaben oder mit schwer verständlichen Regeln kaum beherrschbar ist, liegt die Schwachstelle nicht nur bei der einzelnen Person. Sie liegt auch in der Gestaltung des Sicherheitsprozesses.
Überforderte Regeln kosten Zeit und schaffen Umgehungsrisiken
Die Professorin erzählt in dem Podcast von einer Erfahrung, die auch ich immer wieder in meinem Berufsleben gemacht habe: Sicherheitsregeln, die das menschliche Gedächtnis überfordern, werden umgangen. Die Folge ist eine Kombination aus hohen Kosten, unzufriedenen Nutzern und trotzdem fehlender Sicherheit.
Das betrifft unter anderem Passwörter. Viele Menschen müssen heute zahlreiche Konten verwalten. Komplexe Vorgaben können deshalb dazu führen, dass Passwörter notiert, wiederverwendet oder durch andere wenig sichere Verfahren ersetzt werden. Ein Sicherheitsstandard, der praktisch nicht umsetzbar ist, erfüllt seinen Zweck nicht zuverlässig.
Eine zentrale Prüfgröße lautet daher: Wie viel Zeit und Aufmerksamkeit verlangt eine Sicherheitsregel von den Beschäftigten? Nach Sasses Einschätzung wird diese Frage in vielen Unternehmen nicht ausreichend untersucht. Für Entscheider bedeutet das, Sicherheitsvorgaben nicht nur formal zu beschließen, sondern ihre tatsächliche Umsetzung im Prozess zu prüfen.
Phishing lässt sich nicht allein durch Aufmerksamkeit lösen
Phishing-E-Mails werden laut Sasse immer häufiger zur Grundlage von Cyberangriffen. Gleichzeitig ist es im täglichen Mailaufkommen eine kaum lösbare Aufgabe, jede Nachricht mit voller Aufmerksamkeit zu bewerten. Wer dies verlangt, riskiert, dass Beschäftigte entweder nicht mehr effizient arbeiten oder wichtige Warnsignale routinemäßig übersehen.
Awareness-Trainings und Test-Phishing können dieses Grundproblem nicht allein beseitigen. Sasse kritisiert, dass Schulungen kurzfristig günstiger erscheinen als technische Maßnahmen. Sie könnten jedoch teuer werden, wenn sie Arbeitszeit binden und trotzdem keine verlässliche Erkennung aller Angriffe ermöglichen.
Ein anderer Ansatz besteht darin, technische Verfahren stärker einzusetzen. E-Mails können nach ihrer Absenderauthentizität sortiert werden, sodass im Posteingang möglichst nur Nachrichten landen, die tatsächlich vom vorgeblichen Absender stammen. Unverifizierte Nachrichten würden dadurch gezielter Aufmerksamkeit erfordern.
Technik, Prozesse und Verantwortung müssen zusammenpassen
Auch bei Zugangsdaten zeigt sich, wie technische Gestaltung Menschen entlasten kann. Passkeys verwenden kryptografische Schlüssel statt Passwörter und lassen sich laut Sasse nicht auf einer gefälschten Log-in-Seite abgreifen. Damit wird ein Risiko reduziert, das Schulungen allein nicht zuverlässig verhindern können.
Für Unternehmen folgt daraus keine pauschale Abschaffung von Schulungen. Sinnvoller ist eine Kombination aus verständlichen Regeln, praktikablen Abläufen und technischen Schutzmaßnahmen. Beschäftigte bleiben ein wichtiger Teil der Sicherheitsorganisation, sollten aber nicht zur alleinigen Sicherheitsbarriere gemacht werden.
Bei KI-generiertem Code gilt derselbe Grundgedanke. Sasse warnt, dass Laien Sicherheitslücken darin möglicherweise nicht erkennen. Dass KI beim Auffinden von Schwachstellen helfen kann, löst das Problem nicht automatisch: Das Schließen von Schwachstellen sei deutlich aufwendiger als ihre Identifikation.
Eine menschenorientierte Sicherheitsprüfung beginnt beim Arbeitsablauf
Datenschutz und Informationssicherheit sollten nach dem Verständnis von Tulos nicht isoliert betrachtet werden. Entscheidend ist, ob technische Maßnahmen, klare Verantwortlichkeiten und organisatorische Prozesse gemeinsam dazu beitragen, Unternehmensdaten sowie Kunden- und Mitarbeiterdaten angemessen zu schützen.
Eine Prüfung sollte deshalb sichtbar machen, welche Sicherheitsanforderungen Beschäftigte im Alltag tatsächlich erfüllen müssen, wo unnötige manuelle Entscheidungen entstehen und welche technischen Verfahren diese Entscheidungen reduzieren können. Ein Datensicherheits-Audit kann dabei helfen, Schwächen in bestehenden Abläufen und Schutzmaßnahmen strukturiert zu erkennen.
Die wichtigsten Fragen und Antworten
Warum reicht ein zweiter Faktor beim Log-in nicht immer aus?
Ein zweiter Faktor erhöht grundsätzlich die Sicherheit. Im Fall Odido meldete sich die Mitarbeiterin jedoch einschließlich zweitem Faktor auf einer nachgebauten Log-in-Seite an. Der Faktor schützt daher nicht, wenn Zugangsdaten und die Bestätigung gemeinsam an einen Angreifer übermittelt werden.
Sind Awareness-Trainings damit überflüssig?
Nein. Sie können Regeln und Risiken verständlich machen. Nach der Einordnung von Angela Sasse können Schulungen technische Maßnahmen jedoch nicht ersetzen, wenn Beschäftigte im Arbeitsalltag unmöglich jede Phishing-E-Mail sicher prüfen können.
Welche Sicherheitsregel sollten Unternehmen zuerst überprüfen?
Ein naheliegender Ausgangspunkt ist die Frage, wie viel Zeit und Aufmerksamkeit Beschäftigte für ihre Einhaltung benötigen. Regeln, die regelmäßig umgangen werden oder den Arbeitsablauf stark belasten, sollten auf ihre praktische Gestaltung und mögliche technische Unterstützung geprüft werden.
Quelle: heise.de
Nachweis zählt: Datenschutz & IT-Sicherheit ohne Risiko
Wenn Datenschutz und IT-Sicherheit auf Knopfdruck „mitlaufen“, wird aus Compliance schnell ein Revisions- und Haftungsrisiko.
Die aktuellen Leitlinien und Entscheidungen aus Datenschutzaufsicht und Gerichten zeigen: Ob KI, Videoüberwachung oder Cloud-Nutzung zählt vor allem, ob Rechtmäßigkeit, Transparenz, Sicherheit und Löschung tatsächlich nachweisbar umgesetzt sind.
Geldbußen, Haftung und „neue“ Risiken: Warum der Nachweis zählt
Der EDSA hat Leitlinien beschlossen, die festlegen, wie Datenschutzbehörden Geldbußen im Zusammenspiel mit anderen Abhilfemaßnahmen bewerten. Dafür wird u.a. eine fünfstufige Methodik beschrieben, inklusive Prüfung, ob der Verstoß zu einer Geldbuße führen kann, ob Vorsatz oder Fahrlässigkeit vorliegt, und ob erschwerende oder mildernde Umstände greifen.
Für Entscheider ist daran weniger die Höhe einzelner Sanktionen relevant, sondern die Logik dahinter: Wiederholte Verstöße sollen nicht mehr als geringfügig eingestuft werden. Gleichzeitig können Behörden neben einer Geldbuße weitere Maßnahmen wie Verwarnungen, Anordnungen, Beschränkungen, Verbote oder den Entzug von Zertifizierungen aussprechen.
Dieses Muster passt zu mehreren Meldungen der aktuellen Ausgabe: Von Bußgeldern wegen unrechtmäßiger Standortdatenverarbeitung bis zu Sanktionen wegen unzureichender Anonymisierung. Der gemeinsame Nenner ist der fehlende bzw. unzureichende Nachweis rechtmäßiger Verarbeitung.
KI verstärkt typische Datenschutzfehler: Transparenz, Rechtsgrundlage, Kontrolle
Bei KI-Prozessen wird Datenschutz zunehmend nicht als „Dokumentationsaufgabe“ gesehen, sondern als Frage, ob Betroffene die Verarbeitung verstehen und ob Unternehmen die Verarbeitung risikobasiert steuern. So hat die spanische Aufsicht ein Unternehmen verwarnt, das KI zur Analyse von Lebensläufen und zur Vergabe von Scores nutzte: Es wurden Datenschutz durch Technikgestaltung, datenschutzfreundliche Voreinstellungen, Risiko- und ggf. Folgenabschätzungen sowie Transparenz gegenüber Betroffenen eingefordert.
Ähnlich deutlich ist der Hinweis aus dem Bereich personalisierter KI-Werbung: Der Landesbeauftragte Niedersachsen sieht ein erhebliches datenschutz- und persönlichkeitsrechtliches Risiko, weil Chatverläufe in einem breiten Spektrum auch hochpersönliche Themen betreffen können. Die Frage ist hier nicht nur, ob eine Einwilligung vorliegt, sondern wie und wofür Daten genutzt werden.
Smart Glasses und Videoüberwachung: Verantwortlichkeit lässt sich nicht „auslagern“
Bei „Smart Glasses“ wird in der Ausgabe betont: Verantwortlich für Aufnahmen sind die Trägerinnen und Träger. Das Risiko steigt, wenn Geräte kaum unterscheidbar sind und besonders auf den Nahbereich eines Gegenübers zielen können. Zudem reichen Hinweise über eine bloße „Hinweis-LED“ für informierte Einwilligung nicht aus, wenn eine solche überhaupt als Rechtsgrundlage in Betracht kommt.
Für Unternehmen ist das insbesondere dann wichtig, wenn im eigenen Umfeld Videotechnik Beschwerde- oder Haftungsrisiken erzeugen kann: Entscheider sollten prüfen, ob Zwecke, Rechtsgrundlagen, Information der Betroffenen und technische Gestaltung zusammenpassen.
Auch die DSK-Orientierungshilfe zur Videoüberwachung in Fitnessstudios adressiert einen typischen Praxishebel: Beschwerdeanlässe nehmen u.a. mit personallosen Studios zu. Die Handreichung legt Bewertungsmaßstäbe fest und soll Betreiber beim datenschutzkonformen Einzusatz unterstützen.
Anonymisierung und Löschung: „Noch intern“ kann bereits zu viel sein
Im Bereich Anonymisierung bleibt eine Kernfrage offen, die Unternehmen unmittelbar betrifft: Wann ist eine Verarbeitung wirklich nicht mehr personenbezogen? Die italienische Sanktion gegen IQVIA (7 Mio. Euro) belegt, dass Anonymisierung unzureichend sein kann, wenn eine Nachverfolgung der Patienten über einen Code möglich war und in Kombination mit weiteren Detailinformationen eine Identifizierung einzelner Personen möglich wurde.
Hinzu kommt ein zweites, oft übersehenes Risiko: Löschpflichten enden nicht dort, wo im Fachbereich „nichts mehr sichtbar ist“. Das österreichische Bundesverwaltungsgericht bestätigte eine Rechtsverletzung, weil zwar Ausgangsdaten gelöscht waren, aber diese Information noch bei der Scoreberechnung berücksichtigt wurde. Für die Praxis heißt das: Löschung muss auch in abgeleiteten Verarbeitungen nachgezogen werden.
Auch im Kontext von Auskunftsverfahren wird ein verfahrensrelevanter Punkt sichtbar: Die DSB Österreich vertritt, dass Verantwortliche keine Daten löschen sollen, während ein Auskunftsantrag läuft oder eine Beschwerde anhängig ist, weil sonst das Recht auf Auskunft vereitelt werden könne.
Ein zusammenhängender Prüfansatz für Datenschutz und Informationssicherheit
Die Meldungen in Ausgabe 135 zeigen, dass „saubere Prozesse“ nicht automatisch entstehen, wenn Technik eingesetzt wird. Entscheidend ist, ob Sie rechtmäßige Verarbeitung nachweisen können, ob Betroffene sinnvoll informiert sind und ob Sicherheits- und Löschanforderungen tatsächlich durchgängig umgesetzt werden.
Ein strukturierter Ansatz ist dabei die Verbindung von Datenschutzanforderungen mit den betrieblichen Sicherheits- und Nachweisprozessen. Besonders sinnvoll ist es, solche Prüfungen nicht nur projektbezogen zu machen, sondern als wiederkehrenden Baustein in Ihrer Governance zu verankern, z.B. im Rahmen eines systematischen Datenschutz-Auditprozesses.
Wenn Sie Ihre Nachweisfähigkeit absichern möchten, kann ein Datenschutz-Audit helfen, Lücken in Verarbeitung, Dokumentation, Lösch- und Informationsketten sowie in der praktischen Umsetzung von „Datenschutz durch Technikgestaltung“ sichtbar zu machen.
Die wichtigsten Fragen und Antworten
Welche Rolle spielt es, ob ein Verstoß „geringfügig“ ist, wenn Datenschutzbehörden auch andere Abhilfemaßnahmen nutzen können?
Der EDSA beschreibt eine fünfstufige Methodik, die auch die Bewertung umfasst, ob eine Geldbuße in Betracht kommt und ob ein Verstoß geringfügig ist. Wiederholte Verstöße sollen nicht mehr als geringfügig eingestuft werden. Unabhängig davon können Behörden parallel weitere Abhilfemaßnahmen wie Verwarnungen, Anordnungen oder Beschränkungen verhängen.
Was muss bei KI im Recruiting praktisch überprüft werden, damit Transparenz und „menschliche Mitwirkung“ nicht nur auf dem Papier stehen?
Aus der Verwarnung der spanischen Aufsicht folgt, dass Sie Risiken bewerten, bei hohen Risiken eine Datenschutz-Folgenabschätzung durchführen (wenn erforderlich) und insbesondere Transparenz gegenüber Bewerbern gewährleisten müssen. Außerdem ist zu prüfen, ob eine mögliche Anwendung von Art. 22 DS-GVO vorliegt und ob menschliche Mitwirkung wirksam ist, sodass die Entscheidung nicht de facto vom automatisierten Ergebnis determiniert wird.
Kann „Einwilligung“ oder ein Hinweis auf einer Technik (z.B. LED) ausreichen, wenn Betroffene unbemerkt gefilmt werden könnten?
Bei Smart Glasses wird betont, dass eine informierte Einwilligung voraussetzt, dass Betroffene vorab entsprechend informiert werden. Eine bloße Hinweis-LED reicht dafür nicht aus. Zudem können bestimmte KI-Nutzungen rechtlich unzulässig sein, z.B. KI-gestützte Gesichtserkennung im öffentlichen Raum.
Was bedeutet die Entscheidung zu Löschung und Scoreberechnung konkret für Löschkonzepte?
Das Bundesverwaltungsgericht bestätigte eine Rechtsverletzung, weil gelöschte Ausgangsdaten weiterhin in der Scoreberechnung berücksichtigt wurden. Für Löschkonzepte heißt das: Sie müssen nicht nur die Primärdaten, sondern auch abgeleitete Verarbeitungen und abgeleitete Datensätze einschließen.
Quelle: Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V.
Vertrauen ist gut – aber ist Kontrolle besser?
Ein vertraut wirkender Link oder Absender ist noch kein Sicherheitsnachweis. Wer auf den ersten Blick plausible Nachrichten zu schnell vertraut, riskiert nicht nur den Zugriff auf Konten, sondern auch den Missbrauch von Kommunikationswegen und den Verlust sensibler Informationen.
Wenn vertraute Links zur Schwachstelle werden
JCPIT beschreibt, dass ein Link mit einem bekannten Dienst beginnen und am Ende trotzdem auf einer unerwarteten Seite landen kann. Der sichtbare Anfang des Links sagt damit nicht zwingend etwas über das eigentliche Ziel aus, weil Weiterleitungen erst später greifen können.
Wer nur den Absender oder den ersten Link prüft, kann eine manipulierte Weiterleitung übersehen und dadurch Zugangsdaten oder andere sensible Informationen preisgeben.
heise.de berichtet parallel von einem konkreten Phishing-Fall: Über ein kompromittiertes E-Mail-Konto der Heilbronner CDU wurden Tausende Phishing-Nachrichten verschickt, unter anderem an sicherheitsrelevante Kontakte und den Bundeskanzler. Der Fall zeigt, dass kompromittierte Konten selbst als Verteilpunkt für weitere Angriffe dienen können.
Warum der Klick allein keine Sicherheit schafft
Der JCPIT-Beitrag macht deutlich, dass Weiterleitungen und Tracking-Mechanismen die Beurteilung eines Links erschweren. Hovering über einen Link zeigt unter Umständen nur den ersten Zwischenstopp, nicht aber das endgültige Ziel.
Deshalb reichen technische Einzelprüfungen vor dem Versand nicht immer aus. JCPIT verweist darauf, dass manche Schutzsysteme Links erst beim Klick erneut prüfen, weil sich das Ziel später ändern kann.
heise.de ordnet Phishing zudem als eine der häufigsten Betrugsmaschen ein, bei der sensible Daten wie Passwörter oder Bankinformationen abgegriffen werden sollen. Für Entscheider heißt das: Die Angriffsmethode ist unspektakulär, die mögliche Wirkung auf Konten, Prozesse und Vertrauen aber erheblich.
Konten, Prozesse und Reputation müssen zusammen gedacht werden
Der Fall aus Heilbronn zeigt nicht nur ein technisches Problem, sondern auch ein organisatorisches. Wenn ein E-Mail-Konto selbst zum Ausgangspunkt einer Kampagne wird, kann das den internen und externen Nachrichtenaustausch in kurzer Zeit erheblich belasten.
Für Unternehmen betrifft das vor allem E-Mail-Prozesse, Freigaben, Zahlungsanweisungen und interne Abstimmungen. Ein einzelner erfolgreicher Phishing-Zugriff kann damit weit über das betroffene Postfach hinausreichen und das Vertrauen von Kunden, Partnern oder Mitarbeitern beeinträchtigen.
Hinzu kommt: Wenn Nachrichten an viele Kontakte verschickt werden, kann der Missbrauch eines Kontos auch die eigene Organisation in die Rolle eines Angreifers drängen. Das verschärft das Reputationsrisiko, selbst wenn der ursprüngliche Einbruch von außen erfolgte.
Klare Prüfungen und ein sicherer Umgang mit Links
Aus den beiden Beiträgen lässt sich vor allem eine praktische Konsequenz ableiten: Vertraute Namen ersetzen keine Prüfung des tatsächlichen Ziels. Unternehmen sollten deshalb klare Regeln etablieren, wie verdächtige Nachrichten geprüft und gemeldet werden.
Dazu passt auch, dass JCPIT empfiehlt, unerwartete Anfragen nicht direkt über den Link zu beantworten, sondern bekannte Dienste separat aufzurufen. Ebenso wichtig ist ein interner Meldeweg, damit auffällige Nachrichten schnell an die richtige Stelle gelangen.
Datenschutz, Sicherheit und Abläufe gemeinsam prüfen
Gerade bei E-Mail-basierten Angriffen zeigt sich, dass Datenschutz und Informationssicherheit nicht getrennt betrachtet werden sollten. Wenn Zugangsdaten, Kommunikationsinhalte oder Kunden- und Mitarbeiterdaten bedroht sind, betrifft das immer auch die organisatorischen Abläufe im Unternehmen.
Ein Datensicherheits-Audit kann helfen, Schwachstellen in E-Mail-Prozessen, Weiterleitungen, Prüfmechanismen und Zuständigkeiten sichtbar zu machen. Entscheidend ist dabei nicht nur die Technik, sondern auch, ob Mitarbeitende verdächtige Nachrichten erkennen und richtig melden können.
Die wichtigsten Fragen und Antworten
Warum ist ein vertraut aussehender Link trotzdem riskant?
Weil der sichtbare Anfang eines Links nicht unbedingt das endgültige Ziel zeigt. Nach einer Weiterleitung kann der Browser auf einer anderen Seite landen als zunächst vermutet, wie JCPIT beschreibt.
Was macht Phishing für Unternehmen besonders relevant?
Phishing zielt häufig auf Passwörter, Kontozugänge oder Finanzinformationen. heise.de zeigt mit dem CDU-Fall, dass ein kompromittiertes Postfach zudem weitere Kontakte für den Versand von Phishing-Nachrichten missbraucht werden kann.
Welche organisatorische Reaktion ist sinnvoll?
Unternehmen sollten feste Meldewege und klare Prüfregeln für verdächtige Nachrichten haben. Wichtig ist, dass Mitarbeitende nicht spontan über den Link reagieren, sondern bei Bedarf bekannte Dienste direkt aufrufen.
Was sollten Entscheider dabei besonders im Blick behalten?
Entscheider sollten nicht nur den Einzelfall betrachten, sondern auch die Auswirkungen auf Kommunikationsprozesse, Kontozugriffe und Vertrauen. Wenn E-Mail-Konten oder Links missbraucht werden, kann das operative Abläufe und die Außenwirkung zugleich treffen.
Quellen:
Hackerangriff auf Berlin: Wenn Datenrisiken weiterbestehen
Ein abgewehrter Angriff beendet nicht automatisch das Risiko für sensible Daten und Geschäftsprozesse. Der Hackerangriff auf die Berliner Verwaltung zeigt, dass ein Sicherheitsvorfall gleichzeitig die Betriebsfähigkeit beeinträchtigen und langfristige Datenschutzrisiken schaffen kann.
Wenn die akute Gefahr endet, beginnt die Aufarbeitung
Nach Angaben der Berliner Senatskanzlei gab es seit dem 13. August keine weiteren Angriffe auf die untersuchten Bereiche des Landesnetzes. Der Angreifer habe das Netz nicht nachhaltig infiltrieren können. Damit war die unmittelbare Gefahrenabwehr beendet.
Die Folgen des Vorfalls waren dennoch nicht abgeschlossen. Nach der Isolierung zweier Senatsverwaltungen konnten unter anderem an rund 50.000 berechtigte Haushalte zunächst keine Wohngeldzahlungen ausgezahlt werden. Die eingeschränkte IT-Nutzung wirkte sich damit direkt auf Verwaltungsprozesse aus.
Für Unternehmen liegt darin eine zentrale Erkenntnis: Ein Angriff kann auch dann erhebliche Auswirkungen haben, wenn die Systeme anschließend wieder erreichbar sind. Entscheidend ist nicht nur, ob ein Angreifer noch aktiv ist, sondern auch, welche Daten kopiert wurden und ob zentrale Abläufe zuverlässig funktionieren.
Gestohlene Daten bleiben ein Risiko für Organisation und Betroffene
Im Berliner Fall bestätigte die Senatsverwaltung, dass auch Passwörter abgeflossen waren. Die Beschäftigten der betroffenen Verwaltungen konnten deshalb vorübergehend nicht aus dem Homeoffice arbeiten. Nach der Veröffentlichung mussten rund 12.000 Systeme überprüft werden.
Am 4. September wurden nach den vorliegenden Angaben rund 1,44 Millionen Dateien im Darknet veröffentlicht. Darunter befanden sich Personalunterlagen, Angaben zu Disziplinarverfahren, Finanzunterlagen und Informationen zur kritischen Infrastruktur. Außerdem waren personenbezogene und weitere vertrauliche Daten betroffen.
Solche Daten können über den ursprünglichen Angriff hinaus missbraucht werden. Der CCC warnte im Zusammenhang mit dem Vorfall vor Identitätsdiebstahl, Betrugs- und Erpressungsversuchen. Für Unternehmen bedeutet das: Ein Datenabfluss betrifft nicht nur die eigene IT, sondern möglicherweise auch Kunden, Beschäftigte, Geschäftspartner und andere betroffene Personen.
Passwörter und vernetzte Prozesse vergrößern die Reichweite
Abgeflossene Passwörter sind besonders kritisch, weil sie einen direkten Bezug zu Zugängen und Benutzerkonten haben können. Im Berliner Fall führte der bestätigte Passwortabfluss dazu, dass die Arbeit aus dem Homeoffice zunächst nicht möglich war.
Übertragen auf Unternehmen zeigt sich, warum Zugriffsrechte, getrennte Systeme und klare Notfallabläufe zusammen betrachtet werden müssen. Fällt ein Zugang aus oder muss vorsorglich gesperrt werden, können Kommunikation, Verwaltung und operative Prozesse beeinträchtigt sein.
Eine angemessene Vorbereitung umfasst deshalb nicht nur technische Schutzmaßnahmen. Unternehmen sollten prüfen, welche Daten besonders schützenswert sind, wer darauf zugreifen darf und wie bei einem vermuteten Abfluss vorzugehen ist. Dazu gehören auch geregelte Kommunikationswege und die nachvollziehbare Dokumentation von Entscheidungen.
Aus dem Berliner Vorfall lassen sich konkrete Prüfungen ableiten
Die Berliner Verwaltung wertete die abgeflossenen Daten weiter aus und implementierte zusätzliche Maßnahmen zum Schutz der Informationstechnik. Für Unternehmen ist eine vergleichbare Prüfung insbesondere dann relevant, wenn sensible Personal-, Kunden-, Finanz- oder Vertragsdaten verarbeitet werden.
Im Mittelpunkt stehen sollte die Frage, ob ein Unternehmen einen betroffenen Zugang schnell sperren, Passwörter gezielt ändern und die weitere Nutzung der Systeme kontrollieren kann. Ebenso wichtig ist, ob Verantwortliche wissen, welche Geschäftsprozesse bei einer Isolation einzelner Systeme zuerst abgesichert werden müssen.
Der Vorfall zeigt außerdem, dass Datenschutz und Informationssicherheit nicht getrennt voneinander betrachtet werden können. Technische Schwachstellen können zur Offenlegung personenbezogener Daten führen; unklare Zuständigkeiten können zugleich die Reaktion und die Aufklärung erschweren.
Ein Sicherheitsvorfall ist auch eine Führungsaufgabe
Aus Sicht von Tulos sollten technische Maßnahmen, organisatorische Abläufe und klare Verantwortlichkeiten ein gemeinsames Sicherheitskonzept bilden. Regelmäßige Audits können helfen, Schwächen bei Zugriffsrechten, Notfallprozessen und dem Schutz sensibler Daten zu erkennen, bevor ein Vorfall diese Schwächen offenlegt.
Gerade bei komplexen IT-Umgebungen schafft ein strukturiertes Risikomanagement für Informationssicherheit die Grundlage, Risiken nach ihrer Bedeutung für Daten und Geschäftsprozesse zu bewerten. So lassen sich Schutzmaßnahmen priorisieren, ohne den laufenden Betrieb aus dem Blick zu verlieren.
Die wichtigsten Fragen und Antworten
Ist das Risiko nach der Eindämmung eines Angriffs beendet?
Nein. Die akute Gefahrenabwehr kann beendet sein, während die Auswertung gestohlener Daten, der Schutz betroffener Personen und die Überprüfung der Systeme weiterlaufen. Der Berliner Fall zeigt, dass veröffentlichte Daten auch nach dem Ende des Angriffs missbraucht werden können.
Warum sind abgeflossene Passwörter besonders problematisch?
Passwörter stehen unmittelbar mit Benutzerkonten und Zugängen in Verbindung. Im Berliner Fall wurde bestätigt, dass Passwörter abgeflossen waren. Deshalb konnten Beschäftigte der betroffenen Verwaltungen vorübergehend nicht aus dem Homeoffice arbeiten.
Welche Unternehmensbereiche sollten besonders geprüft werden?
Besonders relevant sind Systeme und Prozesse mit Personal-, Kunden-, Finanz- oder Vertragsdaten sowie Zugänge zu wichtigen Geschäftsabläufen. Unternehmen sollten prüfen, welche Daten dort verarbeitet werden, wer zugriffsberechtigt ist und wie sie bei einem vermuteten Datenabfluss reagieren können.
Quelle: heise.de
