Kurz gesagt: Wird bei einem Angriff der Schutz personenbezogener Daten verletzt, verlangt Art. 33 DSGVO eine Meldung an die Aufsichtsbehörde, möglichst binnen 72 Stunden ab Bekanntwerden, sofern ein Risiko für die Betroffenen besteht. Bei hohem Risiko kommt nach Art. 34 die Benachrichtigung der Betroffenen hinzu. Unabhängig davon müssen Sie jede Verletzung dokumentieren. Diese Seite ist allgemeine Information und keine Rechtsberatung.
Keine Rechtsberatung: Ob und wann im Einzelfall eine Meldepflicht besteht, bewerten Ihr Datenschutzbeauftragter oder eine Rechtsanwältin. Wir liefern die technischen Fakten, auf die sich diese Bewertung stützt.
Datenpanne und Meldepflicht in 72 Stunden: was Art. 33 regelt
Art. 33 DSGVO betrifft die „Verletzung des Schutzes personenbezogener Daten“. Gemeint ist jede Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Ein kompromittierter Webserver mit Kundendatenbank, Kontaktformularen oder Bewerberdaten kann darunter fallen.
Die Meldung an die Aufsichtsbehörde soll unverzüglich und möglichst binnen 72 Stunden erfolgen, nachdem der Verantwortliche von der Verletzung erfahren hat. Sie entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Wer später als nach 72 Stunden meldet, muss die Verzögerung begründen. Informationen dürfen schrittweise nachgereicht werden.
Was eine Meldung enthalten soll
Art. 33 Abs. 3 DSGVO nennt Mindestinhalte. Sie sollten diese Punkte vorbereiten, auch wenn noch nicht alles feststeht:
- Art der Verletzung, möglichst mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze
- Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle
- wahrscheinliche Folgen der Verletzung
- ergriffene oder vorgeschlagene Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Folgen
Gerade bei Angriffen auf Webserver ist der Umfang am Anfang oft unklar. Dann hilft eine ehrliche Erstmeldung mit dem bekannten Stand und der Ankündigung, weitere Erkenntnisse nachzureichen.
Wann beginnt die Frist nach einem Serverangriff?
Die Frist knüpft an die Kenntnis an, nicht an den Zeitpunkt des Angriffs. Für die Praxis ist die Abgrenzung oft schwierig: Eine Meldung über eine Sicherheitslücke wie PHP2Shell begründet allein noch keine Kenntnis einer Datenschutzverletzung. Finden Sie aber konkrete Hinweise auf einen Einbruch, etwa eine Webshell oder verdächtige Datenbankabfragen, kann die Lage anders aussehen.
Dokumentieren Sie deshalb von Anfang an mit Uhrzeit, wer wann welche Information erhalten hat und welche Schritte folgten. Diese Zeitleiste hilft bei der rechtlichen Bewertung und bei Rückfragen der Behörde. Eine sorgfältige technische Untersuchung, etwa durch IT-Forensik, klärt, ob und welche Daten tatsächlich betroffen sind.
Benachrichtigung Betroffener nach Art. 34
Hat die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten zur Folge, müssen auch die betroffenen Personen unverzüglich benachrichtigt werden. Das kann etwa bei Zugangsdaten, Bankverbindungen oder Gesundheitsdaten der Fall sein. Die Benachrichtigung soll in klarer und einfacher Sprache beschreiben, was passiert ist, und mindestens die Kontaktstelle, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen nennen.
Art. 34 sieht Ausnahmen vor, etwa wenn die Daten für Unbefugte unzugänglich gemacht wurden, zum Beispiel durch Verschlüsselung. Wäre eine Benachrichtigung jeder einzelnen Person mit unverhältnismäßigem Aufwand verbunden, kann stattdessen eine öffentliche Bekanntmachung oder eine vergleichbar wirksame Maßnahme in Betracht kommen. Ob eine Ausnahme greift, gehört zur rechtlichen Bewertung. Wie Sie Kunden verständlich informieren, beschreibt Krisenkommunikation nach einem Angriff.
Dokumentationspflicht nach Art. 33 Abs. 5
Unabhängig von der Meldepflicht verlangt Art. 33 Abs. 5 DSGVO, jede Verletzung zu dokumentieren: die Fakten, die Auswirkungen und die ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss der Aufsichtsbehörde die Überprüfung ermöglichen. Das gilt auch, wenn Sie nach Prüfung zu dem Ergebnis kommen, dass keine Meldung nötig ist.
Für Webserver bedeutet das praktisch: Logs sichern, bevor sie rotiert werden, Funde mit Zeitpunkt festhalten, Entscheidungen und ihre Begründung notieren. Bei PHP2Shell empfiehlt die Fachpresse, Server-Logs ab dem 20.10.2026 aufzubewahren. Ein Patch entfernt außerdem keine bereits eingeschleuste Schadsoftware und beweist nicht, dass vorher nichts passiert ist.
Praktischer Ablauf in den ersten Stunden
- Verdacht intern an eine feste Stelle melden und Datenschutzbeauftragten einbinden.
- Beweise sichern: Logs, Dateilisten, Datenbank-Auszüge, bevor etwas gelöscht oder neu aufgesetzt wird.
- Technisch klären, ob personenbezogene Daten betroffen sein können.
- Rechtliche Bewertung der Melde- und Benachrichtigungspflicht, gegebenenfalls mit Anwalt und Versicherer.
- Meldung über das Formular der zuständigen Aufsichtsbehörde, Nachträge bei neuen Erkenntnissen.
Ein vorbereiteter IT-Notfallplan verkürzt diese Schritte erheblich.
Wie hilft PHP SOS konkret?
- Wir sichern Logs und Systemzustände so, dass sie für die Bewertung und eine spätere Prüfung verwertbar bleiben.
- Wir klären technisch, ob und welche Daten erreichbar waren, und liefern eine verständliche Zusammenfassung für Datenschutzbeauftragte und Anwälte.
- Wir führen eine Zeitleiste der technischen Erkenntnisse, die Sie für Meldung und Dokumentation nutzen können.
- Bei bestätigtem Einbruch übernehmen wir Incident Response und Bereinigung.
Häufige Fragen
Ab wann laufen die 72 Stunden?
Nach Art. 33 DSGVO ab dem Zeitpunkt, zu dem der Verantwortliche von der Verletzung Kenntnis erlangt hat. Wann das im Einzelfall anzunehmen ist, ist eine rechtliche Bewertung. Dokumentieren Sie deshalb genau, wann wer welche Information hatte.
Muss jede Sicherheitslücke gemeldet werden?
Nein. Eine Lücke allein ist noch keine Verletzung des Schutzes personenbezogener Daten. Meldepflichtig kann es werden, wenn es Hinweise gibt, dass Unbefugte Zugriff auf solche Daten hatten oder haben konnten, und daraus ein Risiko für Betroffene entsteht.
Was, wenn ich nach 72 Stunden noch nicht alles weiß?
Art. 33 Abs. 4 DSGVO erlaubt, Informationen schrittweise nachzureichen, wenn sie nicht zur gleichen Zeit bereitgestellt werden können. Eine verspätete Meldung ist zu begründen. Warten auf vollständige Klarheit ist daher in der Regel kein Grund, die Frist verstreichen zu lassen.
Wer meldet, wenn der Hoster betroffen war?
Meldepflichtig ist der Verantwortliche, also in der Regel das Unternehmen, das die Website betreibt. Ein Auftragsverarbeiter wie der Hoster muss den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich informieren.
Wo melde ich eine Datenpanne?
Bei der zuständigen Datenschutz-Aufsichtsbehörde, für Unternehmen meist die Behörde des Bundeslandes, in dem sie ihren Sitz haben. Die meisten Behörden bieten dafür Online-Formulare an.