Daten & Datenschutz · DAT-04
Vertrauliche Informationen veröffentlicht
Interne oder vertrauliche Informationen sind öffentlich sichtbar geworden, etwa in einem Social-Media-Beitrag, auf der Website, in einer Präsentation oder auf einem Foto. Oft ist es ein Detail im Hintergrund: ein Whiteboard, ein Bildschirm, eine Liste an der Wand.
Erste 15 Minuten
Sofortmaßnahmen.
- Foto mit lesbarem Bildschirm oder Whiteboard gepostet
- Präsentation mit internen Zahlen öffentlich geteilt
- Interne Unterlagen auf der Website verlinkt
- Details zu Kunden oder Projekten in einem Beitrag genannt
- 01
Die Veröffentlichung mit Screenshot, Adresse und Uhrzeit festhalten.
- 02
Wenn du den Beitrag selbst veröffentlicht hast, ihn ausblenden oder entfernen, den Zeitpunkt notieren und gleichzeitig melden.
- 03
Notieren, welche Informationen sichtbar waren und wo der Inhalt geteilt oder weiterverbreitet wurde.
- 04
Sofort melden, auch wenn der Beitrag nur kurz online war.
Melden
Wen informieren, und wie.
Wen
Geschäftsführung und die für Kommunikation zuständige Stelle. Bei personenbezogenen Daten zusätzlich die Datenschutz-Ansprechperson, bei sichtbaren Zugangsdaten die IT.
Wie
Über den internen Meldeweg aus dem Kontaktblatt. Fundstelle als Adresse oder Screenshot mitschicken, den Inhalt nicht weiterverbreiten.
Was bereithalten
- Wo und wann der Inhalt veröffentlicht wurde
- Welche Informationen sichtbar waren
- Wie lange der Inhalt öffentlich war
- Ob er geteilt, kommentiert oder kopiert wurde
- Ob personenbezogene Daten oder Zugangsdaten betroffen sind
Häufige Fehler
Nicht tun.
-
Den Beitrag kommentarlos löschen und hoffen, dass es niemand bemerkt hat.
-
Auf Kommentare oder Nachfragen öffentlich reagieren, bevor das Vorgehen abgestimmt ist.
-
Personen, die den Inhalt geteilt haben, eigenständig auffordern, ihn zu entfernen.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die Geschäftsführung bewertet mit den zuständigen Stellen die Folgen und entscheidet über die Kommunikation.
-
Sichtbare Zugangsdaten, Türcodes oder Netzwerkinformationen werden sofort geändert.
-
Sind personenbezogene Daten betroffen, folgt die Bewertung nach Art. 33 DSGVO durch die Datenschutz-Ansprechperson.
-
Bei Bedarf werden Plattformen oder Suchmaschinen ersucht, verbliebene Kopien zu entfernen.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Das Detail im Hintergrund
Die meisten dieser Vorfälle beginnen mit einem Beitrag, der etwas Gutes zeigen soll: das neue Team, den Messestand, einen Projekterfolg. Im Hintergrund hängt ein Whiteboard mit Kundennamen, auf einem Bildschirm ist ein internes System geöffnet, am Monitor klebt ein Zettel. Mit heutigen Kameras sind solche Details auch in verkleinerten Bildern oft lesbar.
Wer Fotos aus dem Arbeitsumfeld veröffentlicht, prüft deshalb vorher den Hintergrund. Ist es bereits passiert, zählt die schnelle Meldung.
Entfernen bremst, ungeschehen macht es nichts
Ein gelöschter Beitrag kann bereits geteilt, als Screenshot gespeichert oder von Archivdiensten erfasst sein. Das Löschen ist trotzdem richtig, weil es die weitere Verbreitung bremst. Die Bewertung, was mit der Information jetzt geschehen kann, ersetzt es nicht.
Darum gehört der Screenshot vor das Löschen. Ohne ihn lässt sich später nicht mehr feststellen, was genau sichtbar war. Davon hängt aber ab, ob Passwörter geändert, Kunden informiert oder die Datenschutzbehörde eingeschaltet werden müssen.
Öffentliche Reaktionen vergrößern die Reichweite
Ein Kommentar unter dem Beitrag, eine Richtigstellung oder eine öffentliche Bitte um Löschung lenkt zusätzliche Aufmerksamkeit auf den Inhalt. Ob und wie das Unternehmen öffentlich reagiert, entscheidet deshalb die Geschäftsführung gemeinsam mit der Kommunikation.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.