Datenpanne

Eine Datenpanne bezeichnet im allgemeinen Sprachgebrauch die unbeabsichtigte oder unbefugte Offenlegung von Daten oder deren Zugänglichwerden für Unbefugte. Betroffen sein können Daten jeder Art, beispielsweise Geschäftsunterlagen, Vertrags- und Preisinformationen, Forschungsdaten, Quellcode, Zugangsdaten oder personenbezogene Daten. Ein Personenbezug ist für diese allgemeine Verwendung des Begriffs nicht erforderlich.

Ursachen und Beispiele

Auslöser sind etwa ein öffentlich erreichbarer Cloud-Speicher, ein Konfigurationsfehler, zu weit reichende Zugriffsrechte, ein Fehlversand oder Datendiebstahl. Ein gezielter Cyberangriff ist keine Voraussetzung.

Ein Angebot mit vertraulichen Preisen wird an den falschen Geschäftspartner geschickt.
Eine Entwicklungsplattform macht internen Quellcode und Zugangsschlüssel öffentlich zugänglich.
Ein ungeschützter Datenspeicher legt Kundenkommunikation und Geschäftsdokumente offen, wie im Microsoft-Fall von 2022.

Abgrenzung zum Datenschutzrecht

Im Zusammenhang mit der DSGVO wird „Datenpanne“ häufig als Kurzbezeichnung für eine Verletzung des Schutzes personenbezogener Daten verwendet. Dieser Rechtsbegriff aus Art. 4 Nr. 12 DSGVO setzt personenbezogene Daten voraus und ist hinsichtlich der Folgen weiter gefasst: Er umfasst neben unbefugter Offenlegung oder unbefugtem Zugang auch unbeabsichtigte oder unrechtmäßige Vernichtung, Verlust und Veränderung. Daher kann eine Datenschutzverletzung auch ohne Offenlegung vorliegen.

Werden ausschließlich nicht personenbezogene Geschäfts- oder Forschungsdaten offengelegt, entstehen daraus keine DSGVO-Meldepflichten allein wegen dieser Offenlegung. Trotzdem können erhebliche betriebliche Schäden sowie Pflichten aus dem BSIG, aus Verträgen oder zum Schutz von Geschäftsgeheimnissen bestehen. Die datenschutzrechtliche Einordnung erläutert der Glossarbegriff Datenpanne im DSGVO-Portal.

Datenpanne, Datenleck und Sicherheitsvorfall

Datenleck und Datenpanne werden im allgemeinen Sprachgebrauch häufig ähnlich verwendet. Beide betreffen insbesondere die Vertraulichkeit von Informationen. Ein Sicherheitsvorfall ist umfassender: Er kann auch die Integrität oder Verfügbarkeit beeinträchtigen, beispielsweise durch Manipulation oder einen Dienstausfall, ohne dass Daten offengelegt werden.

Reaktion und Meldepflichten

Unbefugten Zugriff kontrolliert unterbinden, Spuren erhalten und Umfang, Zeitraum sowie mögliche Abrufe untersuchen. Die Sicherheitsvorfallsbehandlung koordiniert Schutzmaßnahmen und Kommunikation. Sind personenbezogene Daten betroffen, müssen Verantwortliche die Verletzung dokumentieren und die Melde- und Benachrichtigungspflichten nach Art. 33 und Art. 34 DSGVO anhand der Risiken für betroffene Personen prüfen.

Cyber-Security-Glossar