Die Technik ist geklärt, die Seite läuft wieder – und dann kommt die Frage, auf die niemand vorbereitet ist: Sagen wir es unseren Kunden? Die Antwort fällt oft aus den falschen Gründen. Aus Scham wird geschwiegen, aus Nervosität zu viel geschrieben, und beides schadet mehr als die Sache selbst. Dieser Beitrag ordnet, wann Sie müssen, wann Sie sollten und wie der Text aussieht.
Vorweg: Dies ist keine Rechtsberatung. Ob eine Benachrichtigung verpflichtend ist, entscheidet sich im Einzelfall – beziehen Sie Ihren Datenschutzbeauftragten oder Ihre Rechtsberatung ein, bevor Sie etwas verschicken.
Die drei Fälle unterscheiden
Fall 1: Sie müssen informieren
Sind personenbezogene Daten betroffen und besteht dadurch voraussichtlich ein hohes Risiko für die Betroffenen, sieht Art. 34 DSGVO eine Benachrichtigung der Betroffenen vor – zusätzlich zur Meldung an die Aufsichtsbehörde nach Art. 33.
Davon unabhängig gibt es die Meldung an die Behörde, die auch bei geringerem Risiko in Betracht kommt. Den Unterschied und die Fristen behandelt unser Beitrag Datenschutzvorfall melden, die Einordnung verschiedener Meldewege Meldepflichten im Vergleich.
Die Bewertung „hohes Risiko" ist keine technische. Sie hängt davon ab, welche Daten betroffen sind – eine abgeflossene Liste von Newsletter-Adressen ist etwas anderes als Bestelldaten mit Anschriften oder Bewerbungsunterlagen.
Fall 2: Sie sollten informieren, auch ohne Pflicht
Es gibt Lagen, in denen Schweigen rechtlich zulässig, geschäftlich aber falsch ist:
- Ihre Website war sichtbar manipuliert. Kunden haben es gesehen. Nicht darüber zu reden wirkt, als hätten Sie es nicht bemerkt.
- Google hat gewarnt. Dasselbe – die Warnung war öffentlich.
- Es wurden Nachrichten in Ihrem Namen verschickt. Dann sind Ihre Kunden Empfänger gewesen, und sie müssen wissen, dass die Nachricht nicht von Ihnen war. Warum das ein häufiger Fall ist, steht in Vom Webserver ins Firmennetz.
- Zahlungsdaten könnten betroffen sein. Hier gilt: lieber einmal zu viel.
Fall 3: Sie müssen nicht und sollten nicht
Wenn nur gepatcht wurde, nichts gefunden und nichts abgeflossen ist, ist das normaler Betrieb. Eine Mail „Wir waren möglicherweise betroffen, es ist aber nichts passiert" erzeugt Unruhe ohne Anlass und wirft die Frage auf, warum Sie das schreiben.
Wann informieren
Nicht sofort, aber nicht spät. Der häufigste Fehler ist, innerhalb der ersten Stunden etwas zu verschicken – zu einem Zeitpunkt, an dem Sie den Umfang noch nicht kennen. Dann müssen Sie nachbessern, und jede Korrektur kostet mehr Vertrauen als die erste Nachricht gebracht hat.
Bevor es jemand anders tut. Wenn die Manipulation sichtbar war, kursiert sie schon. Ein Kunde, der Sie darauf anspricht, bevor Sie es erwähnen, hat einen anderen Eindruck als einer, der von Ihnen hört.
Der brauchbare Zeitpunkt liegt meist dort, wo Sie drei Dinge sagen können: was passiert ist, was betroffen war, was Sie getan haben. Das ist bei einem eingegrenzten Website-Vorfall oft am Tag danach.
Wie der Text aussieht
Fünf Teile, in dieser Reihenfolge. Kurz halten – eine Seite reicht.
1. Was passiert ist, in einem Satz. „Am 21. Oktober wurde eine Sicherheitslücke in der Software unseres Webservers bekannt. Wir haben festgestellt, dass unsere Website davon betroffen war."
2. Was das für den Empfänger bedeutet. Der wichtigste Teil, und der, der meistens fehlt. Nicht „wir nehmen Datenschutz sehr ernst", sondern: Sind seine Daten betroffen, ja oder nein? Muss er etwas tun?
3. Was Sie getan haben. Konkret, mit Datum. „Die Lücke wurde am selben Tag geschlossen, die Website vom Netz genommen und vollständig überprüft."
4. Was er tun sollte – falls etwas. Passwort ändern, auf ungewöhnliche Nachrichten achten, Kontoauszüge prüfen. Wenn nichts zu tun ist, schreiben Sie das ausdrücklich hin.
5. Wer antwortet. Ein Name, eine Adresse, eine Telefonnummer. Keine Sammeladresse.
Ein Beispiel, das Sie anpassen können
Für den häufigsten Fall – Website war betroffen, keine Hinweise auf Datenabfluss, Kunden haben die Manipulation gesehen:
> Betreff: Sicherheitsvorfall auf unserer Website – was passiert ist > > Sehr geehrte Frau …, > > am 21. Oktober wurde eine schwerwiegende Sicherheitslücke in einer Software bekannt, die auf dem überwiegenden Teil aller Websites weltweit eingesetzt wird. Unsere Website war davon betroffen, und am Nachmittag waren auf einzelnen Seiten fremde Inhalte sichtbar. > > Was das für Sie bedeutet: Nach derzeitigem Stand unserer Prüfung gibt es keine Hinweise darauf, dass Daten abgeflossen sind. Sie müssen nichts unternehmen. Sollte sich das ändern, melden wir uns umgehend erneut. > > Was wir getan haben: Wir haben die Website noch am selben Tag vom Netz genommen, das Sicherheitsupdate eingespielt und sämtliche Zugangsdaten erneuert. Eine vollständige Überprüfung durch einen externen Dienstleister ist abgeschlossen. > > Für Rückfragen erreichen Sie mich direkt unter … oder telefonisch unter … > > Mit freundlichen Grüßen
Drei Dinge daran sind bewusst so formuliert: Die Einordnung „überwiegender Teil aller Websites" nimmt dem Vorfall das Außergewöhnliche, ohne ihn kleinzureden. „Nach derzeitigem Stand" hält auch dann noch, wenn später etwas auftaucht. Und der Satz „Sie müssen nichts unternehmen" steht früh, weil das die Frage ist, die der Empfänger hat.
Was Sie nicht schreiben sollten
Keine Schuldzuweisung nach außen. „Unser Dienstleister hat versäumt…" – das interessiert Ihren Kunden nicht und wirkt, als hätten Sie Ihre Lieferanten nicht im Griff.
Keine Verharmlosung, die sich später rächt. „Es sind keine Daten abgeflossen" sollten Sie nur schreiben, wenn Sie es belegen können. Sonst: „Nach derzeitigem Stand der Prüfung gibt es keine Hinweise darauf, dass Daten abgeflossen sind." Das ist ehrlich und trägt auch dann noch, wenn später doch etwas auftaucht.
Keine Fachsprache. CVE-Nummern, CVSS-Werte und Versionsnummern gehören in den internen Bericht, nicht in die Kundenmail.
Keine Entschuldigungsschleifen. Ein Satz reicht. Drei Absätze Bedauern lassen es schlimmer wirken, als es ist.
Wen Sie noch informieren sollten
Über Kunden hinaus gibt es Gruppen, die oft vergessen werden:
- Mitarbeiter, und zwar zuerst. Nichts ist schlechter, als wenn die Buchhaltung von einem Kunden erfährt, dass die Firma gehackt wurde.
- Geschäftspartner, die Daten mit Ihnen austauschen
- Ihre Versicherung – was die verlangt, steht in Cyberversicherung: die Obliegenheiten
- Bewerber, wenn Bewerbungsunterlagen betroffen sein könnten
Checkliste: erste Schritte
- Umfang klären, bevor irgendetwas verschickt wird
- Datenschutzbeauftragten oder Rechtsberatung einbeziehen – die Pflichtfrage ist keine technische
- Entscheiden: Pflicht, freiwillig oder gar nicht
- Text nach den fünf Teilen aufbauen, auf eine Seite begrenzen
- Belegbar formulieren: „nach derzeitigem Stand" statt „definitiv nicht"
- Namen, Adresse und Telefonnummer eines Ansprechpartners nennen
- Mitarbeiter vor den Kunden informieren
- Versicherung und Geschäftspartner nicht vergessen
Wie DAVINCI unterstützt
Wir klären zuerst den Umfang, damit Sie belegbar formulieren können statt zu vermuten – das ist die Grundlage jeder Kundenmitteilung. Die Aufarbeitung läuft über Incident Response; auf Wunsch stimmen wir den technischen Teil Ihrer Mitteilung mit ab, damit dort nichts steht, was sich später nicht halten lässt. Die rechtliche Bewertung bleibt bei Ihrem Datenschutzbeauftragten. Kontakt über die Kontaktseite, akut über IT-Notfall.
Häufige Fragen
Müssen wir informieren, wenn nur die Website manipuliert war und keine Daten betroffen sind?
Eine Pflicht nach Art. 34 DSGVO greift dann in der Regel nicht. Sichtbar war es trotzdem, und wer die Seite in diesem Zustand gesehen hat, erinnert sich. Eine kurze, sachliche Erwähnung – etwa im nächsten Newsletter – ist dann oft der bessere Weg als Schweigen.
Wie formulieren wir, wenn wir es noch nicht genau wissen?
Indem Sie das schreiben. „Die Prüfung läuft, wir informieren Sie bis Freitag erneut" ist eine belastbare Aussage. Entscheidend ist, dass Sie den zugesagten Termin dann auch halten.
Sollen wir es auf der Website veröffentlichen oder einzeln verschicken?
Hängt davon ab, wie viele betroffen sind und wie persönlich die Beziehung ist. Bei einer überschaubaren Zahl von Geschäftskunden ist eine einzelne Nachricht besser – und bei den wichtigsten davon ein Anruf vor der Mail.
Was, wenn die Presse anfragt?
Dann antwortet eine Person, nicht mehrere, und sie sagt dasselbe wie die Kundenmail. Widersprüchliche Auskünfte aus einem Haus machen aus einem technischen Vorfall eine Geschichte.
Kostet uns die Offenheit Kunden?
Nach unserer Erfahrung kostet die Vertuschung mehr. Ein Vorfall ist heute nichts Außergewöhnliches – 70 Prozent aller Websites liefen auf der betroffenen Software. Wie jemand damit umgeht, ist das, woran er gemessen wird.
Verwandte Themen: Wer hier weiterdenkt, liest bei Google-Warnung, Datenschutzvorfall und Website gehackt weiter.
