Datenschutzvorfall: Was Unternehmen nachweisen müssen

Veröffentlicht am 20. August 2026

Wenn ein Datenschutzvorfall eintritt, ist der Ablauf in den meisten Unternehmen eingeübt: Das Sicherheitsteam grenzt ein, die Rechtsabteilung prüft die Meldepflicht, und binnen 72 Stunden geht die Meldung an die zuständige Aufsichtsbehörde. Der schwierigere Teil kommt danach, denn die Meldung ist zunächst nur eine Erklärung des Unternehmens über sich selbst. Fragt die Behörde Monate später nach oder arbeitet ein Gericht den Sachverhalt auf, zählt nicht mehr, was gemeldet wurde, sondern was sich belegen lässt. Spätestens dort merken viele Organisationen, dass ihre Beweislage vollständig aus Dateien besteht, die sie selbst erzeugt und selbst verwahrt haben. Es geht im Folgenden deshalb nicht um die Meldung, sondern um das, was ein Unternehmen im Nachhinein nachweisen können muss.

Was das Gesetz bei der Meldung eines Datenschutzvorfalls tatsächlich verlangt

Ein Datenschutzvorfall ist eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt. Nach Art. 33 DSGVO ist er der Aufsichtsbehörde binnen 72 Stunden zu melden. Die Frist läuft ab der Kenntnisnahme durch den Verantwortlichen, nicht ab dem Zeitpunkt des Angriffs.

Diese Unterscheidung trägt die spätere Prüfung eines Data Breach. Meldepflichtig ist ein Vorfall, sobald ein Risiko für die Rechte und Freiheiten natürlicher Personen nicht auszuschließen ist, und wer später als 72 Stunden meldet, muss die Verzögerung begründen. Erreicht das Risiko eine hohe Schwelle, kommt nach Art. 34 DSGVO die Benachrichtigung der betroffenen Personen hinzu. Die EDSA-Leitlinien 9/2022 legen fest, wann Kenntnis vorliegt: sobald der Verantwortliche mit hinreichender Sicherheit annehmen kann, dass ein Sicherheitsereignis personenbezogene Daten betroffen hat. Für eine verspätete oder unterbliebene Meldung sieht Art. 83 Abs. 4 lit. a DSGVO Geldbußen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor.

Stellt ein Auftragsverarbeiter den Vorfall fest, muss er den Verantwortlichen unverzüglich informieren, denn die Meldepflicht gegenüber der Behörde bleibt beim Verantwortlichen. Wie belastbar diese Kette ist, entscheidet sich an den vertraglichen Regelungen zur Datenauthentizität, die lange vor dem Ernstfall geschlossen wurden.

Die Fristen nach DSGVO und NIS2-Richtlinie

Ein und derselbe Vorfall kann zwei getrennte Meldewege auslösen, die unterschiedlichen Logiken folgen: Der eine schützt personenbezogene Daten, der andere die Funktionsfähigkeit wesentlicher Dienste.

Für Finanzunternehmen tritt die DORA-Verordnung hinzu, die für schwerwiegende IKT-bezogene Vorfälle eine eigene Kette aus Erst-, Zwischen- und Abschlussmeldung vorsieht. Wer in mehreren dieser Rahmen zugleich reguliert ist, meldet denselben Sachverhalt an verschiedene Stellen und in verschiedener Tiefe; welche Einrichtungen unter die deutsche NIS2-Umsetzung fallen, führt das BSI in seiner Übersicht für regulierte Unternehmen auf. Widersprechen sich die Angaben zweier Meldewege, fällt das auf, und erklären lässt es sich nur mit Unterlagen aus dem Zeitpunkt der Erhebung.

Die Pflichten, die nach der Meldung bestehen bleiben

Mit dem Absenden der Meldung endet die Nachweispflicht nicht, sie beginnt dort erst. Art. 33 Abs. 5 DSGVO verlangt, jede Datenschutzverletzung zu dokumentieren, einschließlich der Umstände, der Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation soll der Aufsichtsbehörde die Überprüfung ermöglichen, und sie ist auch dann zu führen, wenn nach der Risikobewertung gar nicht gemeldet wird. Der zweite Fall ist der heiklere: Dann muss allein die interne Dokumentation belegen, dass die Entscheidung gegen eine Meldung vertretbar war.

Ergänzt werden darf eine Meldung nach Art. 33 Abs. 4 DSGVO auch schrittweise. Das ist praktisch, verschiebt aber den Prüfungsschwerpunkt, weil Behörden frühe und späte Angaben vergleichen und fragen, worauf der veränderte Kenntnisstand beruht. Darunter liegt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO, die dem Verantwortlichen nicht nur die Einhaltung der Grundsätze auferlegt, sondern auch deren Nachweis. An einer Stelle entlastet das deutsche Recht: Nach § 43 Abs. 4 BDSG darf eine Meldung nach Art. 33 DSGVO in einem Bußgeldverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden.

Die vier Punkte, die ein Unternehmen belegen können muss

Die Meldung verlangt, vier Dinge zu erklären. Die spätere Prüfung verlangt, dieselben vier Dinge zu beweisen, und dieser Unterschied wird selten mitgedacht. Wer meldet, formuliert einen Sachverhalt; wer geprüft wird, muss zeigen, woraus dieser Sachverhalt hervorgeht. Weil die Rechenschaftspflicht die Darlegungslast beim Verantwortlichen belässt, entscheidet die Qualität der Beweissicherung darüber, ob die Meldung Bestand hat.

1. Zeitpunkt der Kenntnisnahme, aus dem die Frist von 72 Stunden berechnet wurde.
2. Umfang der betroffenen Daten, Systeme und Personen im Moment der Feststellung.
3. Getroffene Entscheidungen, ihr jeweiliger Zeitpunkt und die verantwortlichen Personen.
4. Maßnahmen zur Eindämmung und Behebung sowie deren tatsächliche Umsetzung.

Der genaue Zeitpunkt der Kenntnisnahme

Der Zeitpunkt der Kenntnisnahme ist der empfindlichste Wert der Akte, weil an ihm die Frist hängt und weil er sich fast immer aus einer einzigen Quelle ergibt. Ein Alarm im Überwachungssystem trägt zwar eine Uhrzeit, doch Log-Datei und Systemuhr liegen im Verantwortungsbereich derselben Organisation, die ihre Sorgfalt belegen muss. Verschiebt sich dieser Wert um wenige Stunden, verschiebt sich die Bewertung der gesamten Reaktion.

Es hilft daher, den Moment der Feststellung außerhalb der eigenen Systeme festzuhalten. TrueScreen zertifiziert die Screenshots von Überwachungssystemen in dem Moment, in dem sie angesehen werden, und bringt Zeitstempel und elektronisches Siegel über einen dritten qualifizierten Vertrauensdiensteanbieter an. Ob eine Bildschirmansicht als Screenshot mit Beweiswert vor Gericht tragfähig ist, entscheidet sich an dieser Frage der Herkunft.

Der Umfang der betroffenen Daten und Systeme

Der Umfang ändert sich, während man ihn untersucht. Zwischen erster Feststellung und Meldung werden Segmente getrennt, Zugänge gesperrt und Systeme neu aufgesetzt, und der Zustand, den die Meldung beschreibt, existiert zum Zeitpunkt der Prüfung nicht mehr. Wer den Umfang später belegen will, braucht Aufzeichnungen aus der Phase vor dem ersten Eingriff, und diese dauert oft nur Minuten.

ISO/IEC 27037 beschreibt für die Sicherung digitaler Beweismittel eben diese Reihenfolge: erst identifizieren und sichern, dann eingreifen. In einem laufenden Vorfall kollidiert das mit dem berechtigten Reflex, den Schaden sofort zu begrenzen. Auflösen lässt sich der Konflikt nur, wenn das Sichern so wenig Zeit kostet, dass niemand es aus Dringlichkeit überspringt.

Die getroffenen Entscheidungen und die Verantwortlichen

Aufsichtsbehörden bewerten nicht allein das Ergebnis, sondern auch den Entscheidungsweg: Wer hat die Risikobewertung vorgenommen, wann wurde die Geschäftsführung eingebunden, worauf stützte sich die Entscheidung, nicht zu melden. Diese Kette liegt in E-Mails, Chatverläufen und Freigabevermerken, also in Formaten, deren Beweiskraft im gerichtlichen Verfahren regelmäßig bestritten wird. Unternehmen nutzen TrueScreen, um Log-Auszüge, interne Kommunikation und während der Bearbeitung eines Vorfalls aufgerufene Seiten zu zertifizieren, sodass der Nachweis nicht einseitig von derjenigen Stelle stammt, die ihre eigene Sorgfalt belegen muss.

Die Maßnahmen zur Eindämmung und Behebung

Was ein Unternehmen als Abhilfemaßnahme meldet, bleibt eine Absichtserklärung, solange die Umsetzung nicht belegt ist. Zurückgesetzte Zugangsdaten, geschlossene Schnittstellen und eingespielte Aktualisierungen hinterlassen jeweils eine Spur, die sich bei der Ausführung erfassen lässt und Monate später kaum noch rekonstruierbar ist. Bei einer Ransomware- oder Phishing-Lage kommt hinzu, dass die Umgebung selbst verändert wurde und eine spätere forensische Analyse den ursprünglichen Zustand nicht mehr vorfindet.

Warum interne Log-Dateien als Nachweis nicht ausreichen

Eine interne Log-Datei ist eine veränderbare Datei, die von derselben Organisation erzeugt und verwahrt wird, die damit ihre eigene Sorgfalt belegen soll. Als Beweismittel ist sie zulässig, angreifbar ist sie trotzdem, und zwar an dem Punkt, an dem es zählt. Die Pflicht, Log-Dateien lange aufzubewahren, löst die Frage der Verfügbarkeit und sagt zur Unversehrtheit nichts: zwei Probleme, die regelmäßig verwechselt werden.

Veränderbare Dateien, erstellt von demjenigen, der seine eigene Sorgfalt belegen muss

Der Konflikt liegt nicht in der Technik, sondern in der Rollenverteilung. Wer den Nachweis erzeugt, verwahrt und vorlegt, ist zugleich derjenige, dessen Verhalten bewertet wird, und ein Audit-Trail im selben Systemverbund teilt das Schicksal der Systeme, über die er Auskunft gibt. War der Angreifer mit erhöhten Rechten unterwegs, betrifft der Zweifel auch die Aufzeichnungen. Die digitale Beweiskette beantwortet deshalb nicht nur, was aufgezeichnet wurde, sondern auch, wer sie wann in der Hand hatte.

Wie ein interner Nachweis angegriffen wird und was das für die Beweiswürdigung bedeutet

Der Angriff auf einen internen Nachweis ist selten spektakulär. Er besteht darin, die Herkunft in Zweifel zu ziehen, und dafür genügt der Hinweis, dass die Datei jederzeit hätte verändert werden können. Ein elektronisches Dokument ohne besondere Absicherung ist im Zivilprozess Gegenstand des Augenscheins nach § 371 ZPO und wird nach § 286 ZPO frei gewürdigt: Das Gericht entscheidet selbst, ob es die Darstellung für überzeugend hält. Eine gesteigerte Beweiskraft erkennt § 371a ZPO elektronischen Dokumenten erst zu, wenn ihre Echtheit durch ein anerkanntes technisches Verfahren abgesichert ist; die praktischen Folgen sind in unserer Analyse zu § 371a ZPO ausgeführt.

Für die Vorfallsbearbeitung folgt daraus eine klare Arbeitsteilung. Die Incident Response bleibt beim Sicherheitsteam, das erkennt, eindämmt und wiederherstellt. TrueScreen setzt auf der Ebene an, die das Gesehene und Entschiedene gegenüber Dritten belegbar macht.

Wie sich Nachweise sichern lassen, die einer Prüfung standhalten

Nachweise halten einer Prüfung stand, wenn ihre Herkunft von jemandem bestätigt wird, der am Ausgang der Prüfung kein Interesse hat. Technisch beruht das auf zwei Elementen: einem Hash, der den Inhalt im Moment der Erfassung eindeutig festlegt, und einem Zeitstempel, der diesen Moment von außen bestätigt.

Was während der Bearbeitung des Vorfalls zu zertifizieren ist

Sinnvoll ist eine kurze, vorab festgelegte Liste, die im Ernstfall ohne Diskussion abgearbeitet wird: die Ansicht, an der der Vorfall erkannt wurde, die Auszüge zum Umfang, die Kommunikation, in der entschieden wurde, und die Belege der umgesetzten Maßnahmen. Damit diese Nachweise später vor Gericht verwertbar sind, zählt weniger ihr Umfang als der Zeitpunkt ihrer Erfassung.

Wann zertifizieren: Erfassung im Moment gegenüber nachträglichem Export

Ein nachträglicher Export belegt, welchen Inhalt eine Datei am Tag des Exports hatte. Über den Zustand des Systems im Moment des Vorfalls sagt er nichts, weil zwischen beiden Zeitpunkten alles geschehen sein kann, was ein Prüfer sich vorzustellen bereit ist. Bei der Erfassung im Moment selbst werden Inhalt und Zeitpunkt dagegen gemeinsam festgeschrieben. Welche Rolle dabei ein qualifiziertes elektronisches Siegel nach der eIDAS-Verordnung 910/2014 und dem Vertrauensdienstegesetz spielt, ist an anderer Stelle beschrieben.

Wie sich Nachweise eines Vorfalls während der Bearbeitung zertifizieren lassen

Einen Nachweis im Moment der Erfassung zu zertifizieren bedeutet, seinen Inhalt und seinen Zeitpunkt in derselben Handlung festzuschreiben, in der er entsteht. Beim Erfassen wird ein Hash über den Inhalt gebildet, und auf diesen Hash bringt ein dritter qualifizierter Vertrauensdiensteanbieter Zeitstempel und elektronisches Siegel an. Was danach in der Akte liegt, ist nicht mehr eine Erklärung der Organisation über sich selbst, sondern ein Nachweis mit einem Zeitbezug, den ein Dritter bestätigt hat. Bildschirminhalte, Log-Auszüge, E-Mails und aufgerufene geschützte Bereiche lassen sich so in dem Zustand festhalten, in dem das Team sie vorgefunden hat. Der Unterschied zwischen einem elektronischen Siegel und einer digitalen Signatur ist dabei kein formaler: Er entscheidet darüber, wem der Nachweis zugerechnet wird.

Freitag, 23:14 Uhr. Das Sicherheitsteam eines Maschinenbauunternehmens bemerkt in der Überwachungskonsole ein ungewöhnliches Datenvolumen, das einen Dateiserver verlässt. Die diensthabende Person öffnet die Ansicht, sieht die Kurve und trennt das Segment. Am Montag meldet das Unternehmen der Aufsichtsbehörde Freitag, 23:14 Uhr als Zeitpunkt der Kenntnisnahme. Sieben Monate später lautet die Frage im Prüfverfahren: Woraus ergibt sich, dass um 23:14 Uhr dieser Wert auf dem Bildschirm stand? Die Log-Datei des Überwachungssystems stammt aus dem eigenen Haus. Der im selben Moment zertifizierte Screenshot, dessen Zeitstempel von einem Dritten stammt, ist etwas anderes.