Sicherheit auf gut Glück
Eine Kanzlei wird gehackt, meldet das zunächst brav bei der Behörde und behauptet danach aber jahrelang hartnäckig: eigentlich sei ja gar nichts passiert. Nur SPAM, mehr nicht. Wer sich selbst meldet, hat doch eigentlich alles richtig gemacht, oder? Spoiler: Nicht ganz. 😉 Und dann folgt eine Zahlenreise, bei der der Taschenrechner der Behörde ordentlich was zu tun bekommt, von einem Bußgeldrahmen in Millionenhöhe zu einem Betrag, den man locker aus der Portokasse zahlen könnte.
Wie das zusammenpasst? Genau das lösen wir in dieser Folge auf.
Was erwartet Sie in dieser Folge?
💡 Warum es der Behörde am Ende egal war, ob wirklich Daten gestohlen wurden, ihre eigentliche Frage war nämlich eine ganz andere
💡 Wieso „das macht doch mein Hosting-Anbieter“ die schlechteste Ausrede ist, die man wählen kann
💡 Warum ein selbst erstellter „Verhaltenskodex“ der eigenen Branche rechtlich gar nicht als solcher zählt
💡 Weshalb Selbstmelden bei der Behörde übrigens keinerlei Pluspunkte bringt
💡 Und warum „keine Beweise dafür, dass etwas passiert ist“ auch kein Beweis dafür ist, dass nichts passiert ist
Zum Hintergrund des Falls
Ein unbefugter Dritter verschafft sich Zugang zum E-Mail-Postfach eines Mitarbeiters einer kleinen polnischen Kanzlei für Buchhaltung und Steuerberatung. Betroffen sind nicht nur die eigenen Klienten, sondern auch deren Mitarbeitende und sogar deren Kinder, praktisch der gesamte Datenschatz eines Buchhaltungsbüros. Fast fünf Jahre vergehen zwischen dem Vorfall und der Entscheidung, kein Sprint also, sondern ein echter Ausdauerlauf, bei dem sich Kanzlei und Behörde jahrelang gegenseitig Schreiben zuschickten, fast schon eine Brieffreundschaft. 😄 Und erstmals führt uns diese Folge dafür nach Polen, zur dortigen Datenschutzbehörde UODO.
Für wen ist diese Folge spannend?
🎯 Für kleine und mittlere Unternehmen, die ihre IT-Sicherheit komplett an einen externen Dienstleister ausgelagert haben
🎯 Für alle, die glauben, eine Meldepflicht erfüllt zu haben reiche bereits als gute Tat
🎯 Für Kanzleien und Beratungsbetriebe, die mit heiklen Kundendaten arbeiten
🎯 Für alle, die denken: „Uns hat’s ja noch nie erwischt, wird schon passen“ 😉
Unser Fazit
Datenschutz beginnt nicht erst, wenn etwas passiert, sondern lange vorher, mit einer ehrlichen Bestandsaufnahme der eigenen Risiken. Wer diese Hausaufgabe macht und sie auch wiederholt, steht am Ende deutlich besser da, selbst wenn doch einmal etwas schiefgeht. Ob eine derart geschrumpfte Bußgeldsumme am Ende wirklich das richtige Signal an andere Kanzleien sendet, darüber lässt sich trefflich streiten. 🤷♀️
🎙️ Jetzt reinhören in Folge 45 von
DSGVOMG – Mein Datenschutztheater
Der Podcast von MeineBerater 🎙️⚖️
Moderation: Birgit und Erich von Maurnböck
Produziert von DAS POD
Überall verfügbar, wo gute Podcasts zuhause sind 😉