IT-Sicherheit

Datenpanne im Betrieb: Die 72-Stunden-Meldepflicht und wie KMU teure Bußgelder vermeiden

Von Christopher Schütz · Juli 2026 · 9 Min. Lesezeit
Eine Datenpanne ist schneller passiert, als viele denken. Ein verlorener Laptop, ein gehacktes Postfach, eine falsch versendete E-Mail mit einem Kundenverteiler im offenen Empfängerfeld oder ein erfolgreicher Ransomware-Angriff, bei dem Daten abgeflossen sind. In all diesen Fällen greift die Datenschutz-Grundverordnung, und sie setzt eine knappe Frist: In der Regel bleiben nur 72 Stunden, um den Vorfall der Aufsichtsbehörde zu melden. Wer diese Frist verpasst oder gar nicht meldet, riskiert empfindliche Bußgelder, und zwar zusätzlich zum eigentlichen Schaden.

Was gilt überhaupt als Datenpanne?

Der Begriff ist weiter gefasst, als viele annehmen. Eine meldepflichtige Datenpanne liegt vor, wenn personenbezogene Daten unbeabsichtigt oder unrechtmäßig vernichtet, verloren, verändert, offengelegt oder zugänglich gemacht wurden. Das umfasst nicht nur Diebstahl durch Angreifer, sondern auch eigene Fehler und technische Pannen. Typische Beispiele sind:

  • ein durch Ransomware verschlüsselter oder abgeflossener Datenbestand
  • ein gehacktes oder übernommenes E-Mail-Konto
  • ein verlorenes oder gestohlenes Notebook oder Smartphone ohne Verschlüsselung
  • eine E-Mail an einen offenen Verteiler, bei dem alle Empfänger sichtbar sind
  • versehentlich öffentlich zugängliche Dateien oder Fehlversand von Dokumenten

Wichtig ist: Meldepflichtig kann ein Vorfall schon sein, bevor überhaupt ein konkreter Schaden entstanden ist. Es kommt auf das Risiko für die betroffenen Personen an, nicht darauf, ob sich das Risiko bereits verwirklicht hat.

Die 72-Stunden-Frist und der häufigste Fehler

Die Uhr beginnt zu laufen, sobald der Vorfall bekannt wird. Innerhalb von 72 Stunden muss die zuständige Aufsichtsbehörde informiert werden. Wenn ein hohes Risiko für die Betroffenen besteht, müssen zusätzlich diese Personen benachrichtigt werden.

Der häufigste und teuerste Fehler ist laut Branchenberichten, dass Unternehmen die Panne zunächst nur intern untersuchen und erst nach Tagen oder Wochen melden. Verstöße gegen die Meldepflicht selbst machen einen erheblichen Teil der geahndeten Fälle aus. Dabei gilt: Auch eine unvollständige erste Meldung innerhalb der Frist ist besser als eine späte, dafür vollständige. Man kann Informationen nachreichen, aber die Frist nicht zurückholen.

Wie ernst die Lage ist: die Zahlen

Datenpannen sind kein Randphänomen. Laut dem DSGVO-Portal wurden den deutschen Aufsichtsbehörden im Jahr 2025 über 10.000 Datenpannen gemeldet, deutlich mehr als im Vorjahr. Europaweit lag die Zahl bei über 167.000 Meldungen, ein Anstieg gegenüber dem Vorjahr. Der Trend zeigt klar nach oben, und die Behörden ahnden Verstöße zunehmend konsequent.

Der Rahmen für Bußgelder ist beträchtlich. Bei Verstößen gegen die Meldepflicht drohen Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für ein KMU ist auch der untere Bereich dieses Rahmens existenziell spürbar.

Vorbereitung entscheidet, nicht Reaktion

Der Fehler vieler Betriebe ist, sich erst im Ernstfall mit dem Thema zu beschäftigen. Dann fehlt die Zeit. Wer die 72-Stunden-Frist halten will, muss vorbereitet sein. Dazu gehört vor allem, eine Panne überhaupt schnell zu bemerken, denn die Frist läuft ab Bekanntwerden, und ein unbemerkter Vorfall kann später besonders unangenehm werden.

Ein durchdachter Ablauf für den Ernstfall umfasst mehrere Punkte:

Früh erkennen. Ein laufendes Sicherheitsmonitoring bemerkt verdächtige Zugriffe oder ungewöhnliche Datenbewegungen und macht so aus einem schleichenden Vorfall einen sichtbaren, meldbaren Ereignis.

Klare Zuständigkeit. Es muss festgelegt sein, wer im Ernstfall was tut, wer die Meldung vorbereitet und wer entscheidet. Suchen im Chaos kostet die wertvollen Stunden.

Vorbereitete Meldung. Ein Muster für die Meldung an die Aufsichtsbehörde, das im Ernstfall nur noch gefüllt werden muss, spart entscheidend Zeit.

Technische Vorsorge. Verschlüsselte Notebooks und Datenträger entschärfen einen Verlust erheblich, denn verschlüsselte, für Dritte unlesbare Daten senken das Risiko und damit oft auch die Meldepflicht.

Dokumentation. Jede Panne, auch eine gemeldete, muss dokumentiert werden. Das ist zugleich ein wichtiger Nachweis gegenüber der Behörde.

Wie TwoPixels Sie absichert

Wir helfen Ihnen, für den Ernstfall vorbereitet zu sein, statt ihm hinterherzulaufen. Unser Sicherheitsmonitoring auf Wazuh-Basis läuft rund um die Uhr und macht verdächtige Vorgänge früh sichtbar, sodass Sie eine Panne bemerken, bevor die Frist ungenutzt verstreicht. Mit unseren DSGVO- und Security-Audits, die Ihre Website und Ihre Systeme über 14 Disziplinen prüfen, decken wir Schwachstellen auf, aus denen eine Datenpanne entstehen könnte. Zugangsdaten schützen wir in einem zentralen, verschlüsselten Secret-Management, und mit Backups plus geprobtem Wiederherstellungsplan sichern wir Ihre Daten ab. So verkleinern Sie das Risiko und sind im Ernstfall handlungsfähig.

Häufige Fragen

Müssen wir wirklich jede Kleinigkeit melden?
Nicht jeder Vorfall ist meldepflichtig. Entscheidend ist das Risiko für die betroffenen Personen. Bei Unsicherheit ist eine kurze fachliche Einschätzung sinnvoll, denn im Zweifel schützt eine Meldung vor dem Vorwurf der Unterlassung.

Was, wenn wir die 72 Stunden nicht schaffen?
Eine verspätete Meldung muss begründet werden. Besser ist eine erste, auch unvollständige Meldung innerhalb der Frist mit späterer Ergänzung. Wichtig ist, die Frist nicht einfach verstreichen zu lassen.

Zählt ein Ransomware-Angriff als Datenpanne?
In aller Regel ja, insbesondere bei der heute üblichen doppelten Erpressung, bei der Daten vor der Verschlüsselung gestohlen werden. Dann liegt ein Abfluss personenbezogener Daten nahe.

Hilft Verschlüsselung?
Ja, deutlich. Sind verlorene Daten für Dritte unlesbar verschlüsselt, sinkt das Risiko für die Betroffenen, was die Bewertung des Vorfalls und teils die Benachrichtigungspflicht beeinflusst.

Fazit und nächster Schritt

Datenpannen passieren, und die 72-Stunden-Frist ist unerbittlich. Wer vorbereitet ist, Vorfälle früh bemerkt, Zuständigkeiten geklärt hat und eine Meldung parat hält, hält die Frist und vermeidet Bußgelder, die zum eigentlichen Schaden noch hinzukämen.

Sie möchten wissen, wie gut Ihr Betrieb auf eine Datenpanne vorbereitet ist? Fordern Sie einen Sicherheits-Check bei TwoPixels an: Christopher Schütz, info@webagentur-twopixels.de, +49 1556 7039821.

Quellen

Weiterführende Leistungen & Ratgeber

KI-Cyberangriffe: Fall GTG-1002 KI-Phishing & Deepfakes Prompt Injection & KI-Agenten IT-Sicherheits-Fahrplan 2026 NIS2 & IT-Sicherheit

Sie möchten wissen, wie sicher Ihre IT wirklich ist? Wir prüfen Ihre Systeme und richten ein passendes Schutzkonzept ein. Fordern Sie einen Sicherheits-Check an oder rufen Sie direkt an: +49 1556 7039821.

Kostenlos beraten lassen