Kurz gesagt: Sie. Nicht der Angreifer, nicht der Hoster, nicht die Agentur, die die Seite gebaut hat. Verantwortlich für die Verarbeitung personenbezogener Daten ist der Betreiber, und das bleibt auch nach einem Einbruch so.
An Werktagen hören Sie am selben Tag von uns. Abends und am Wochenende sind wir erreichbar, das kostet einen Zuschlag, den wir vorher nennen.
Nicht daran, dass etwas passiert ist. Sondern daran, was Sie vorher getan und danach dokumentiert haben.
Waren personenbezogene Daten betroffen, muss der Vorfall nach Artikel 33 DSGVO binnen 72 Stunden nach Kenntnis an die Aufsichtsbehörde gemeldet werden. Die Frist läuft ab dem Moment, in dem Sie es bemerken, nicht ab der Meldung.
Bei hohem Risiko für die Betroffenen kommt nach Artikel 34 die Information der Kunden dazu. Ob ein hohes Risiko vorliegt, muss begründet entschieden und festgehalten werden.
Sie müssen belegen können, dass angemessene Schutzmaßnahmen bestanden. Fehlt der Nachweis, wird aus einem Vorfall ein eigener Verstoß, unabhängig vom Angriff.
Die Pflicht lässt sich nicht an die IT oder eine Agentur wegdelegieren. Auslagern kann man die Arbeit, nicht die Verantwortung.
Hoster und Dienstleister sind Auftragsverarbeiter. Ohne Vertrag nach Artikel 28 fehlt eine Grundlage, die im Ernstfall geprüft wird.
Eine Cyber-Police zahlt nur, wenn der Vorfall dokumentiert ist. Wer erst aufräumt und dann meldet, hat die Belege meist schon vernichtet.
Der erste Reflex ist, den Schadcode zu löschen. Damit verschwinden die Spuren, die Sie später brauchen. Erst sichern, dann bereinigen.
wichtigster Punkt
Vollständige Sicherung von Dateien, Datenbank und Protokollen. Protokolle werden nach Tagen überschrieben, danach ist der Nachweis weg.
sofort
Wurden personenbezogene Daten abgerufen oder nur Dateien verändert? Diese Frage entscheidet, ob die 72-Stunden-Frist überhaupt läuft.
gleicher Tag
Eine Meldung, die sich später als unnötig erweist, kostet nichts. Eine versäumte kostet.
binnen 72 Stunden
Erst danach bereinigen und den Einstiegspunkt schließen. Ohne diesen Schritt ist die Seite in Tagen wieder betroffen.
danach
Für seine Infrastruktur ja, für Ihre Anwendung nein. Ein veraltetes Plugin oder ein schwaches Passwort liegt in Ihrer Verantwortung, auch wenn der Angriff über den Server lief.
Nur soweit sie vertraglich für Pflege und Sicherheit zuständig war. Ohne Wartungsvertrag endet ihre Verantwortung meist mit der Abnahme.
Wenn keine personenbezogenen Daten betroffen waren, in der Regel nicht. Die Einschätzung sollten Sie aber schriftlich festhalten, damit sie nachvollziehbar bleibt.
Der Rahmen der DSGVO reicht bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. In der Praxis wiegt schwerer, ob Sie mitgewirkt und dokumentiert haben.
Die Meldung selbst muss von Ihnen kommen. Wir liefern die Grundlage: was passiert ist, welche Daten betroffen waren, welche Maßnahmen ergriffen wurden. Genau das fragt das Formular der Behörde ab.
Schreiben Sie kurz, was passiert ist. Wir sagen Ihnen, ob es ein meldepflichtiger Vorfall sein könnte und was Sie jetzt sichern sollten.