Die Zahl der Datenschutzverletzungen steigt deutlich. Dabei sind nicht nur Hackerangriffe das Problem – häufig entstehen Vorfälle mitten im normalen Arbeitsalltag.
Wenn von einer Datenschutzverletzung die Rede ist, denken viele Unternehmen zuerst an Hacker, Ransomware oder gestohlene Server. Doch ein Datenschutzvorfall kann wesentlich unspektakulärer beginnen:
Eine E-Mail geht an den falschen Empfänger.
Ein offener Verteiler zeigt sämtliche E-Mail-Adressen.
Eine Excel-Datei enthält mehr Informationen als vorgesehen.
Ein Dokument wird im falschen Onlineordner abgelegt.
Oder personenbezogene Daten werden versehentlich öffentlich zugänglich gemacht.
Wie relevant dieses Thema aktuell ist, zeigen neue Zahlen des Landesbeauftragten für den Datenschutz Niedersachsen. Im Jahr 2025 wurden dort 1.607 Datenschutzverletzungen gemeldet. Das waren bereits rund fünf Prozent mehr als im Vorjahr. Im ersten Halbjahr 2026 gingen dann schon 1.245 Meldungen ein – rund 58 Prozent mehr als im Vergleichszeitraum des Vorjahres.
Nicht jeder Datenschutzvorfall ist ein Cyberangriff
Nach Angaben der niedersächsischen Datenschutzaufsicht gehören Fehlversand und die versehentliche Offenlegung personenbezogener Daten im Internet zu den häufig gemeldeten Vorfällen. Daneben spielen selbstverständlich auch Hackerangriffe und Cyberkriminalität eine zunehmende Rolle.
Für Unternehmen ist diese Unterscheidung wichtig. Denn gegen einen professionellen Hackerangriff helfen technische Sicherheitsmaßnahmen. Gegen eine falsch versendete E-Mail helfen dagegen vor allem klare Prozesse, Aufmerksamkeit und entsprechend geschulte Mitarbeiter. Beides gehört deshalb zu einem funktionierenden Datenschutzmanagement.
Was ist überhaupt eine Datenschutzverletzung?
Eine Datenschutzverletzung (im Fachjargon Datenvorfall genannt) liegt vereinfacht gesagt vor, wenn personenbezogene Daten beispielsweise vernichtet, verloren, verändert, unbefugt offengelegt oder unbefugt zugänglich werden. Dabei spielt es zunächst keine Rolle, ob dies absichtlich oder versehentlich geschieht. Auch ein interner Fehler kann deshalb eine Datenschutzverletzung darstellen.
Ein klassisches Beispiel:
Eine Gehaltsabrechnung wird versehentlich an den falschen Mitarbeiter geschickt.
Oder:
Eine Kundenliste wird an einen externen Empfänger versendet, der sie nicht erhalten sollte.
In solchen Situationen sollte der Vorgang nicht einfach stillschweigend korrigiert werden.
Die 72-Stunden-Frist macht Geschwindigkeit wichtig
Unter bestimmten Voraussetzungen muss eine Datenschutzverletzung der zuständigen Datenschutzaufsichtsbehörde gemeldet werden.
Die DSGVO sieht hierfür grundsätzlich eine Frist von 72 Stunden ab Bekanntwerden vor. Das bedeutet nicht, dass jeder kleine Fehler automatisch gemeldet werden muss.
Es bedeutet aber sehr wohl:
Jeder mögliche Datenschutzvorfall sollte intern schnell an die richtige Stelle gelangen – am besten dem Datenschutzbeauftragten. Denn erst durch ihn kann geprüft werden, welches Risiko besteht und ob eine Meldung erforderlich ist. Das größte organisatorische Problem entsteht deshalb häufig dann, wenn ein Mitarbeiter einen Fehler bemerkt, ihn aber zunächst selbst lösen möchte – oder aus Sorge vor Konsequenzen gar nicht meldet. Dadurch geht wertvolle Zeit verloren.
Eine gute Fehlerkultur schützt das Unternehmen
Unternehmen sollten ihren Mitarbeitern deshalb eine sehr klare Botschaft vermitteln:
Ein Fehler kann passieren. Entscheidend ist, dass er sofort gemeldet wird.
Das Ziel einer internen Meldekette darf nicht sein, einen Schuldigen zu suchen. Das Ziel ist, Schäden zu begrenzen und die gesetzlichen Verpflichtungen einzuhalten. Je früher ein Vorfall bekannt wird, desto mehr Handlungsmöglichkeiten bestehen und das Risiko kann reduziert werden.
Ein falsch adressierter Brief kann möglicherweise noch zurückgerufen werden.
Ein Empfänger kann um Löschung gebeten werden.
Ein falsch gesetzter Zugriff kann geschlossen werden.
Zugangsdaten können gesperrt werden.
Und bei einem Cyberangriff können betroffene Systeme isoliert werden.
Wissen Ihre Mitarbeiter, was sie tun müssen?
Unternehmen sollten deshalb vier einfache Fragen beantworten können:
1. Wissen Mitarbeiter, was ein Datenschutzvorfall sein kann?
2. Wissen sie, an wen sie einen möglichen Vorfall sofort melden müssen?
3. Ist diese Meldung unkompliziert möglich?
4. Gibt es intern einen klaren Prozess zur Bewertung und Dokumentation?
Wenn ein Mitarbeiter erst im Intranet nach einer zehnseitigen Prozessbeschreibung suchen muss, ist das Verfahren zu kompliziert. Im Ernstfall zählt Geschwindigkeit.
Datenschutzverletzungen lassen sich nicht vollständig verhindern
Kein Unternehmen wird jeden menschlichen Fehler und jeden Cyberangriff verhindern können. Das ist auch nicht der richtige Maßstab. Entscheidend ist, Risiken angemessen zu reduzieren und auf einen Vorfall vorbereitet zu sein. Die aktuellen Zahlen aus Niedersachsen zeigen, wie relevant das Thema inzwischen geworden ist.
Deshalb sollte jedes Unternehmen nicht nur fragen:
„Wie verhindern wir einen Datenschutzvorfall?“
Sondern ebenso:
„Was passiert bei uns in den ersten 30 Minuten, wenn einer passiert?“
Wer darauf eine klare Antwort hat, ist im Ernstfall deutlich besser aufgestellt.
HUBIT unterstützt Sie bei der Bewertung von Datenschutzverletzungen und dabei, geeignete interne Melde- und Reaktionsprozesse aufzubauen.
Quelle: Landesbeauftragter für den Datenschutz Niedersachsen, Angaben zum Tätigkeitsbericht 2025 und zu den Meldungen im ersten Halbjahr 2026.