Die ersten 72 Stunden nach einem DSGVO-Datenleck: ein pragmatischer Playbook

Die 72-Stunden-Uhr nach Artikel 33 DSGVO beginnt zu ticken, wenn Sie sich eines Verstoßes mit personenbezogenen Daten bewusst werden — nicht wenn Sie den Umfang ermittelt haben. Diese Nuance ist der Punkt, an dem die meisten Organisationen stolpern. Dieser Playbook basiert auf realen Vorfällen, die WPROIT in Deutschland, den Niederlanden und Polen begleitet hat.

Stunde 0–6: Triage und Eindämmung

Etablieren Sie sofort einen einzelnen Incident Commander. Sein Job ist nicht, das Problem zu lösen — er soll die Personen koordinieren, die das Problem lösen. Öffnen Sie einen War-Room-Kanal, snapshotten Sie betroffene Systeme für die Forensik und dämmen Sie lateral ein, bevor Sie untersuchen.

Stunde 6–24: Scoping

Drei Fragen sind für den Regulator wichtig: welche Daten, wie viele, wer ist betroffen? Beantworten Sie sie in dieser Reihenfolge. Seien Sie ehrlich darüber, was Sie noch nicht wissen — Aufsichtsbehörden respektieren "wir untersuchen noch" weit mehr als verfrühte Sicherheit, die sich als falsch herausstellt.

Stunde 24–48: Vorbereitung der Benachrichtigung

Entwürfe müssen drei Zielgruppen befriedigen: den Regulator, die betroffenen Datensubjekte und Ihre Kunden. Halten Sie technische Details in der Behördenmeldung; halten Sie klare, einfache Erklärungen für die Datensubjekte.

Stunde 48–72: Benachrichtigung und Kommunikation

Reichen Sie Ihre erste Benachrichtigung bei der Aufsichtsbehörde vor der Frist ein, auch wenn das Bild unvollständig ist. Artikel 33(4) erlaubt ausdrücklich nachfolgende Aktualisierungen. Koordinieren Sie alle externen Kommunikationen mit Recht und PR — niemals nur mit Sicherheit.

Jenseits von Stunde 72: Die vergessene Phase

Die meisten Playbooks hören bei der Meldefrist auf. Die schwierigere Arbeit sind die nächsten zwei Wochen: forensische Ursachenanalyse, Beweissicherung, Folgemeldungen mit der Klärung des Umfangs, Wiederaufbau des Kundenvertrauens und die schmerzhafte, aber unvermeidliche Post-Incident-Review.

Häufige Fehler

• Auf "vollständige Informationen" warten — die Uhr stoppt nicht
• Dem technischen Team die Behördenmeldung schreiben lassen
• Recht erlauben, die Eindämmung aus Angst vor "Beweissicherung" zu verzögern — sprechen Sie vor dem Vorfall mit spezialisiertem DFIR-Berater, nicht währenddessen
• Kunden "wir haben keine Hinweise auf Missbrauch" sagen, bevor Sie es tatsächlich überprüft haben

WPROIT betreibt einen 24/7-Incident-Response-Retainer für europäische Kunden. Wenn Sie keinen Playbook haben, ist es dramatisch günstiger, einen außerhalb eines Vorfalls aufzubauen als währenddessen.