Sicherheitsvorfall
Ein Sicherheitsvorfall ist ein Ereignis, bei dem die Sicherheit von IT-Systemen, Netzwerken oder Daten beeinträchtigt wird oder wurde. Dazu zählen unbefugter Zugriff, Datenverlust, Systemstörungen oder Verletzungen des Schutzes personenbezogener Daten.
Ausführliche Erklärung
Ein Sicherheitsvorfall bezeichnet jedes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen, IT-Systemen oder Netzwerken gefährdet. Nach ISO 27001 liegt ein Sicherheitsvorfall vor, wenn eine hohe Wahrscheinlichkeit für Auswirkungen auf die Informationssicherheit besteht. Dies umfasst sowohl erfolgreiche als auch versuchte Angriffe, technische Störungen und menschliche Fehler.
Für KMU ist die Unterscheidung zwischen einem allgemeinen Sicherheitsvorfall und einer Datenschutzverletzung zentral: Nicht jeder IT-Sicherheitsvorfall betrifft personenbezogene Daten und löst damit datenschutzrechtliche Meldepflichten aus. Umgekehrt kann jedoch jede Verletzung des Schutzes personenbezogener Daten – etwa durch Verlust eines USB-Sticks mit Kundendaten oder durch Fehlversand einer E-Mail – auch als Sicherheitsvorfall betrachtet werden. Die DSGVO definiert in Artikel 4 Nr. 12 die Verletzung des Schutzes personenbezogener Daten als Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung führt.
Bei einem Sicherheitsvorfall mit Personenbezug besteht eine gesetzliche Meldepflicht an die zuständige Aufsichtsbehörde – in Österreich die Datenschutzbehörde, in Deutschland die jeweilige Landesdatenschutzbehörde –, sofern ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Die Meldung muss unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden erfolgen. Bei Verstößen gegen diese Meldepflicht drohen Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Unternehmen sollten über dokumentierte Verfahren zur Erkennung, Bewertung und Behandlung von Sicherheitsvorfällen verfügen. Dazu gehören klare Zuständigkeiten, Meldekanäle für Mitarbeiterinnen und Mitarbeiter sowie ein strukturierter Reaktionsplan. Die systematische Dokumentation aller Vorfälle – auch jener ohne Meldepflicht – ist verpflichtend und dient als Nachweis gegenüber Aufsichtsbehörden.
Praxisbeispiel
Ein Steuerberatungsbüro mit 18 Mitarbeiterinnen und Mitarbeitern stellt fest, dass ein Laptop mit unverschlüsselten Mandantendaten im Zug verloren gegangen ist. Die Kanzlei dokumentiert den Vorfall sofort intern, bewertet das Risiko für die betroffenen Mandantinnen und Mandanten und meldet den Sicherheitsvorfall innerhalb von 48 Stunden an die österreichische Datenschutzbehörde. Parallel werden die betroffenen Personen über mögliche Risiken und ergriffene Maßnahmen informiert.