Daten & Datenschutz · DAT-02
Daten versehentlich öffentlich freigegeben
Eine Datei, ein Ordner oder ein Dokument ist über einen Link oder eine Freigabe für mehr Personen zugänglich als vorgesehen, im schlimmsten Fall für alle im Internet. Typisch sind Cloud-Links, die für jeden mit dem Link funktionieren, oder Freigaben, die nach einem Projekt nie zurückgenommen wurden.
Erste 15 Minuten
Sofortmaßnahmen.
- Cloud-Ordner per offenem Link für jeden zugänglich
- Tabelle mit Kundendaten öffentlich freigegeben
- Externe Freigabe nach Projektende nie entfernt
- Freigabe für das ganze Unternehmen statt für das Team
- 01
Mit einem Screenshot festhalten, was freigegeben ist, für wen und seit wann, soweit erkennbar.
- 02
Danach die Freigabe einschränken, wenn du berechtigt bist, und den Zeitpunkt notieren. Gleichzeitig melden.
- 03
Die Datei oder den Ordner nicht löschen und nicht verschieben.
- 04
Notieren, welche Personengruppen und Datenarten betroffen sein könnten.
- 05
Sofort melden, auch wenn du nicht weißt, ob jemand zugegriffen hat.
Melden
Wen informieren, und wie.
Wen
Datenschutz-Ansprechperson und IT-Verantwortliche gemeinsam. Fehlt eine benannte Datenschutz-Ansprechperson, geht die Meldung an die Geschäftsführung.
Wie
Über den internen Meldeweg aus dem Kontaktblatt. Den Freigabelink nicht in Chats oder Mails weiterverbreiten, nur den Speicherort nennen.
Was bereithalten
- Welche Datei oder welcher Ordner betroffen ist
- Für wen die Freigabe galt und seit wann
- Welche Datenarten und wie viele Personen betroffen sind
- Ob die Freigabe bereits eingeschränkt wurde
- Wo der Link geteilt oder verschickt wurde
Häufige Fehler
Nicht tun.
-
Die Freigabe still zurücknehmen und den Fall damit für erledigt halten.
-
Datei oder Ordner löschen, um den Vorfall zu bereinigen.
-
Selbst nachforschen, wer den Link geöffnet hat, und dafür weitere Personen einbinden.
-
Den Link zur Prüfung an Kolleginnen und Kollegen schicken.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die IT wertet die Zugriffsprotokolle der Plattform aus und prüft, ob die Daten abgerufen wurden.
-
Die Datenschutz-Ansprechperson bewertet das Risiko. Ergibt sich eines, meldet das Unternehmen unverzüglich und möglichst binnen 72 Stunden an die Datenschutzbehörde (Art. 33 DSGVO).
-
Bestehende Freigaben im selben Bereich werden auf vergleichbare Fehler durchgesehen.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Ein offener Link ist eine Veröffentlichung
Ein Link, der für jeden funktioniert, ist bequem, weil der Empfänger kein Konto braucht. Er macht den Inhalt aber für alle zugänglich, die den Link kennen. Und Links wandern: in weitergeleitete Mails, in Chatverläufe, in Notizen, gelegentlich auf öffentliche Seiten.
Ob eine Freigabe tatsächlich missbraucht wurde, lässt sich am Link selbst nicht erkennen. Die Antwort steht in den Zugriffsprotokollen der Plattform, und nur die IT kann sie auswerten.
Erst festhalten, dann einschränken
Die Freigabe einzuschränken ist richtig und dringend. Vorher braucht es eine Minute für einen Screenshot der Freigabeeinstellungen und eine Notiz zur Uhrzeit. Nach dem Zurücknehmen ist der ursprüngliche Zustand oft nicht mehr sichtbar, und genau dieser Zustand bestimmt, wer potenziell Zugriff hatte.
Danach folgt die Meldung ohne Umweg. Für die 72-Stunden-Frist nach Art. 33 DSGVO zählt der Moment, in dem das Unternehmen Kenntnis erlangt.
Alte Freigaben sind das größere Risiko
Eine Freigabe, die gestern gesetzt wurde, hat jemand noch im Kopf. Freigaben aus abgeschlossenen Projekten, für ehemalige Partner oder für Personen, die das Unternehmen längst verlassen haben, hat niemand mehr im Blick. Sie bleiben offen, bis jemand zufällig darauf stößt.
Ein gefundener Fall ist deshalb ein guter Anlass, den ganzen Bereich durchzusehen. Diese Durchsicht übernimmt die IT, nachdem der aktuelle Fall gesichert ist.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.