Ein Data Breach (Datenpanne) ist der unbefugte Zugriff auf Daten, ihr Verlust oder ihre Offenlegung; bei personenbezogenen Daten greift die 72-Stunden-Meldepflicht nach Art. 33 DSGVO.
Ein Data Breach ist ein Sicherheitsvorfall, bei dem Unbefugte Zugriff auf geschützte Daten erhalten oder Daten verloren gehen, verändert oder offengelegt werden. Im Deutschen hat sich „Datenpanne“ eingebürgert, der Begriff verharmlost jedoch: Die meisten Data Breaches sind keine Pannen, sondern Ergebnis gezielter Angriffe. Die DSGVO spricht von einer „Verletzung des Schutzes personenbezogener Daten“ und meint damit jede Verletzung der Sicherheit, die zu Vernichtung, Verlust, Veränderung oder unbefugter Offenlegung führt, ob beabsichtigt oder nicht.
Ein Data Breach kann Kundendaten, Beschäftigtendaten, Geschäftsgeheimnisse, Quellcode oder Zugangsdaten betreffen. Rechtlich relevant wird er vor allem, wenn personenbezogene Daten betroffen sind; wirtschaftlich ist er es in jedem Fall.
Wie Data Breaches entstehen
- Externe Angriffe: Ein Angreifer verschafft sich Zugang, bewegt sich zum Datenbestand und schleust ihn aus (Exfiltration). Bei Ransomware mit doppelter Erpressung werden Daten vor der Verschlüsselung gestohlen und mit Veröffentlichung gedroht.
- Fehlkonfiguration: offene Cloud-Speicher, ungeschützte Datenbanken, Backups auf öffentlich erreichbaren Servern. Hier braucht es keinen Angreifer, nur jemanden, der sucht.
- Menschliche Fehler: Fehlversand, verlorene Geräte, falsche Berechtigungen auf Freigaben.
- Insider: Mitnahme oder Weitergabe von Daten durch Berechtigte.
- Lieferkette: Der Breach findet beim Dienstleister statt, betrifft aber die Daten seiner Kunden. Laut Verizon DBIR 2025 waren Drittparteien an 30 Prozent der Breaches beteiligt.
Bei personenbezogenen Daten verlangt Art. 33 DSGVO die Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden, sofern ein Risiko für die Betroffenen besteht; bei hohem Risiko sind nach Art. 34 auch die Betroffenen zu informieren. Für NIS2-Einrichtungen und DORA-Institute kommen eigene Meldepflichten mit kürzeren Fristen hinzu.
Bedeutung für Unternehmen
Die Kosten eines Data Breach bestehen nur zum kleineren Teil aus Bußgeldern. Laut IBM Cost of a Data Breach 2025 lagen die durchschnittlichen Gesamtkosten in Deutschland bei 3,87 Millionen Euro, bis zur Erkennung und Eindämmung vergingen im Schnitt 170 Tage. Forensik, Benachrichtigung, Anwaltskosten, Betriebsunterbrechung, Kundenverlust und Vertragsstrafen machen den Großteil aus. Die Dauer bis zur Erkennung ist dabei der stärkste Kostentreiber: Je länger ein Angreifer unbemerkt bleibt, desto mehr Daten fließen ab.
Genau hier setzt Red Teaming an. Ein Red Team versucht, die Daten zu erreichen, die im Ernstfall den größten Schaden verursachen würden, und dokumentiert, ob der Weg dorthin bemerkt wird. Das Ergebnis zeigt nicht nur, ob der Breach möglich ist, sondern wie lange er unentdeckt bliebe.
Praxis-Hinweise
- Wissen Sie, wo Ihre sensiblen Daten liegen. Eine Datenklassifizierung mit Speicherorten ist Voraussetzung für Schutz, Überwachung und die 72-Stunden-Meldung.
- Überwachen Sie ausgehenden Datenverkehr und Zugriffe auf kritische Datenbestände; Exfiltration hinterlässt Spuren, wenn jemand hinsieht.
- Bereiten Sie die Meldekette vor: Wer entscheidet binnen 72 Stunden, wer meldet, wer kommuniziert? Üben Sie das in einer Tabletop-Übung mit Incident Response, Datenschutz und Geschäftsleitung.
- Beziehen Sie Dienstleister vertraglich in Meldepflichten ein; Sie müssen von deren Breach rechtzeitig erfahren.
- Testen Sie mit einem Red Teaming, ob und wie schnell ein Angreifer Ihre kritischsten Daten erreicht und ob die Exfiltration erkannt wird.
Die Hinweise zu Meldepflichten dienen der Orientierung und ersetzen keine Rechtsberatung.