Meist fällt der Begriff erst, wenn es zu spät ist: Kundendaten stehen zum Verkauf, ein Erpresserschreiben liegt im Postfach, oder eine Aufsichtsbehörde meldet sich. Eine Sicherheitsverletzung – im Englischen Security Breach – markiert den Moment, in dem aus einem abstrakten Risiko ein konkreter Schaden wird.
Ein präzises Begriffsverständnis lohnt sich, denn daran hängen Meldepflichten und Haftungsfragen. Wer erst im Ernstfall klärt, was als Verletzung gilt und wer dann was zu tun hat, verliert genau die Stunden, die das Gesetz knapp bemisst.
Was ist eine Sicherheitsverletzung?
Eine Sicherheitsverletzung ist der nachweisliche Bruch von Schutzmaßnahmen mit Folgen für die Schutzziele der Informationssicherheit: Unbefugte erlangen Zugriff auf Systeme oder Daten (Vertraulichkeit), verändern sie (Integrität) oder legen sie lahm (Verfügbarkeit). Entscheidend ist der eingetretene Effekt: Ein abgewehrter Angriffsversuch ist keine Verletzung, ein erfolgreicher Zugriff auf ein einzelnes Postfach dagegen schon.
Die DSGVO spricht von der Verletzung des Schutzes personenbezogener Daten. Dieser Begriff reicht weiter als der klassische Hack: Auch der unverschlüsselte verlorene Laptop, der falsch adressierte Serienbrief oder versehentlich gelöschte Kundendaten fallen darunter. Ob ein Ereignis meldepflichtig ist, bemisst sich am Risiko für die betroffenen Personen – und die Pflicht, diese Einschätzung zu dokumentieren und zu begründen, liegt beim Unternehmen.
Ablauf einer typischen Verletzung
Hinter den meisten gravierenden Fällen steht ein mehrstufiges Vorgehen:
- Zugang verschaffen: Am Anfang stehen gestohlene Zugangsdaten, Phishing oder eine ausgenutzte Schwachstelle in einem von außen erreichbaren System. Auch kompromittierte Dienstleister dienen häufig als Einstieg.
- Festsetzen: Der Angreifer richtet sich dauerhaft ein, etwa über zusätzlich angelegte Konten oder installierte Fernzugriffswerkzeuge. So übersteht er Passwortwechsel und Neustarts.
- Ausbreiten: Vom Einstiegspunkt aus bewegt er sich lateral durch das Netzwerk und sammelt unterwegs höhere Berechtigungen ein. In flachen Netzen verläuft dieser Schritt nahezu ungebremst.
- Sammeln und ausleiten: Interessante Daten werden zusammengetragen und unauffällig nach außen kopiert, oft über längere Zeiträume verteilt und als regulärer Datenverkehr getarnt.
- Monetarisieren: Am Ende stehen Verschlüsselung mit Lösegeldforderung, der Verkauf der Daten oder Betrug mit den erbeuteten Informationen. Häufig wird die Verletzung überhaupt erst in dieser Phase entdeckt.
Warum der richtige Umgang zählt
- 72-Stunden-Frist: Besteht ein Risiko für personenbezogene Daten, muss die Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden erfolgen. Ohne vorbereitete Bewertungs- und Meldeprozesse ist das kaum zu schaffen.
- Information der Betroffenen: Bei hohem Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen. Die Verletzung wird damit öffentlich, und die Qualität der Kommunikation entscheidet über den Vertrauensschaden.
- Langfristige Kosten: Forensik, Wiederaufbau, Rechtsberatung und Kundenabwanderung summieren sich über Monate. Der Folgeschaden übersteigt den unmittelbaren Schaden regelmäßig.
- Bußgelder und Haftung: Verstöße gegen Melde- und Sorgfaltspflichten können empfindliche Sanktionen nach sich ziehen. Für die Geschäftsleitung stellt sich zudem die Frage persönlicher Verantwortung.
- Doppelter Schaden bei Blindflug: Wer Kompromittierungen mangels Sichtbarkeit gar nicht bemerkt, kann weder melden noch reagieren. Das verschärft später den Schaden ebenso wie die rechtliche Bewertung.
Typische Praxisfälle
Ransomware mit Datenabfluss ist heute der Regelfall: Angreifer kopieren Daten vor der Verschlüsselung und drohen mit deren Veröffentlichung. Aus dem Verfügbarkeitsproblem wird damit zugleich eine meldepflichtige Verletzung der Vertraulichkeit – mit allen daran hängenden Pflichten.
Das zweite Szenario ist das kompromittierte Cloud-Konto: Mit gestohlenen Zugangsdaten meldet sich der Angreifer regulär bei E-Mail- oder Kollaborationsdiensten an, liest über Wochen mit und nutzt das Wissen für Zahlungsbetrug oder Angriffe auf Geschäftspartner.
Der dritte Klassiker ist der Fehler ohne Angreifer: die falsch konfigurierte Cloud-Freigabe, der offen erreichbare Datenbankserver, der Versand an den falschen Verteiler. Rechtlich zählt auch das als Verletzung, obwohl niemand angegriffen hat.
Vorfall und Verletzung: die Abgrenzung
Im Alltag werden beide Begriffe synonym verwendet, organisatorisch trennt sie eine klare Linie. Ein Sicherheitsvorfall (Security Incident) ist jedes Ereignis, das die Informationssicherheit bedroht – der erkannte Angriffsversuch ebenso wie das verdächtige Login. Eine Sicherheitsverletzung (Security Breach) liegt erst vor, wenn der Schutz tatsächlich durchbrochen wurde und Unbefugte Zugriff erlangt oder Daten kompromittiert haben. Jede Verletzung ist damit ein Vorfall, aber längst nicht jeder Vorfall wird zur Verletzung. Die Unterscheidung hat praktische Folgen: Vorfälle werden intern behandelt und dokumentiert, Verletzungen können Meldepflichten auslösen. Die Bewertung, wann aus dem einen das andere wird, gehört deshalb fest in den Incident-Response-Prozess und in die Hände klar benannter Verantwortlicher.
Schadensbegrenzung in der Praxis
Jeden einzelnen Fehler zu verhindern ist unrealistisch; verhindern lässt sich aber, dass daraus eine großflächige Verletzung wird. Netzwerksegmentierung begrenzt die Ausbreitung eines Angreifers: Ein kompromittiertes System bleibt auf sein Segment beschränkt, und die Sichtbarkeit über alle Verbindungen erleichtert im Ernstfall die Bewertung, welche Daten tatsächlich betroffen waren. Schutz für von außen erreichbare Anwendungen – einen der häufigsten Einstiegspunkte – leisten Web Application Firewalls und Abwehrmechanismen gegen automatisierte Angriffe. In der Praxis betreiben spezialisierte Managed-Service-Provider solche Kontrollen, etwa als gemanagte Zero-Trust-Mikrosegmentierung.
Häufige Fragen
Wann ist eine Verletzung nach DSGVO meldepflichtig?
Meldepflichtig ist eine Verletzung des Schutzes personenbezogener Daten, sobald ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Die Meldung an die Aufsichtsbehörde muss binnen 72 Stunden nach Bekanntwerden erfolgen. Nur wenn ein Risiko nachweislich unwahrscheinlich ist, entfällt die Pflicht – diese Einschätzung muss das Unternehmen dokumentieren und begründen können.
Zählt ein verlorener Laptop als Sicherheitsverletzung?
Ja, sofern darauf personenbezogene oder vertrauliche Daten liegen und Dritte darauf zugreifen könnten. Eine starke Geräteverschlüsselung kann das Risiko so weit senken, dass keine Meldung nötig wird. Genau darum lohnt sich Verschlüsselung als Standard: Sie macht aus einem meldepflichtigen Datenverlust einen reinen Hardwareverlust.
Wie erfahren Unternehmen überhaupt von einer Kompromittierung?
Häufig durch Externe: Ermittlungsbehörden, Sicherheitsforscher oder Kunden melden auffällige Daten oder Missbrauch. Intern liefern Monitoring, Endpoint Detection und Auffälligkeiten im Netzwerkverkehr die frühesten Hinweise, etwa ungewöhnliche Datenmengen in Richtung unbekannter Ziele. Je besser die Sichtbarkeit über interne Kommunikationsbeziehungen, desto früher fällt eine Kompromittierung auf und desto kleiner bleibt der Schaden.
Welche Einstiegswege nutzen Angreifer am häufigsten?
Gestohlene oder erratene Zugangsdaten führen die Liste an, gefolgt von Phishing und der Ausnutzung ungepatchter Schwachstellen in von außen erreichbaren Systemen wie VPN-Gateways oder Webanwendungen. Hinzu kommen kompromittierte Dienstleister mit weitreichenden Zugängen. Auffällig ist: Der Erstzugriff trifft selten das eigentliche Ziel. Gefährlich wird es durch die anschließende Bewegung im Netz.
Was ist unmittelbar nach der Entdeckung zu tun?
Zuerst den Vorfall dokumentieren und das vorbereitete Incident-Response-Verfahren starten: betroffene Systeme isolieren, Beweise sichern, Verantwortliche und Datenschutzbeauftragte einbinden. Parallel beginnt die Risikobewertung für die 72-Stunden-Meldung. Wichtig ist, Systeme kontrolliert zu isolieren statt sie abzuschalten, denn beim Ausschalten gehen flüchtige Spuren verloren, die für die Aufklärung gebraucht werden.