Datenpanne

Aktualisiert am: 25.08.2026

Eine Datenpanne ist ein Sicherheitsvorfal, bei dem personenbezogene Daten durch einen Sicherheitsbruch unbefugt offengelegt, verloren oder zerstört wurden. Sie unterscheidet sich von einer bloßen Sicherheitslücke. Betroffene Unternehmen müssen Behörden innerhalb von 72 Stunden benachrichtigen und unter bestimmten Bedingungen auch die betroffenen Personen informieren.

Was eine Datenpanne ist und was nicht

Eine Datenpanne ist nicht jede Sicherheitslücke. Sie liegt vor, wenn tatsächlich ein Sicherheitsereignis stattgefunden hat und Daten davon betroffen sind. Ein fehlerhaft konfigurierter Server, aus dem jemand Daten auslesen könnte, ist noch keine Panne — eine wird es nur, wenn jemand tatsächlich zugegriffen hat. Die Schwelle für die Meldepflicht ist: ein realistisches Risiko für die Rechte und Freiheiten von Personen. Nicht jedes Risiko führt zu einer Meldepflicht; es muss nachvollziehbar dokumentiert sein.

Meldung und Folgen

• Behördenmitteilung: Innerhalb von 72 Stunden an die Datenschutzbehörde berichten
• Betroffenenmitteilung: Betroffene Personen so schnell wie möglich unterrichten, wenn ein hohes Risiko besteht
• Dokumentation: Den Ablauf, die ergriffenen Maßnahmen und Ursachenanalyse festhalten
• Reparatur: Lücke schließen, Sicherheitsmaßnahmen überprüfen und verbessern
• Aufbewahrung: Alle Unterlagen zur Panne mindestens drei Jahre speichern für Behördenprüfungen

Woran man eine ernst zu nehmende Panne erkennt

Es gibt Indikatoren, die zeigen, ob eine Sicherheitslücke das Niveau einer Meldepflicht erreicht. Dazu gehören: Daten von sensiblen Kategorien wie Gesundheit, Finanzen oder biometrische Informationen; große Anzahl betroffener Personen; Hinweise auf tatsächlichen Missbrauch; oder längere unkontrollierte Zugriffsmöglichkeit. Unsicherheit bei der Einstufung sollte konservativ gelöst werden — im Zweifel melden und dokumentieren.

Häufige Frage

Muss ich jede Sicherheitslücke an die Behörde melden?

Nein, nur wenn ein realistisches Risiko für die Rechte oder Freiheiten betroffener Personen besteht. Ein technischer Fehler, der sofort behoben wurde und für den es keine Hinweise auf Missbrauch gibt, ist nicht meldepflichtig. Wer unsicher ist, sollte die zuständige Datenschutzbehörde fragen.

Verwandte Begriffe

• Datensicherheit — Maßnahmen, die Pannen verhindern sollen.
• Personenbezogene Daten — Das, was durch eine Panne offengelegt wird.
• Datenschutzmanagementsystem — Prozess zur Vorbereitung auf und Reaktion auf Vorfälle.