Meldeanforderungen für Sicherheits- oder Vertraulichkeitsverletzungen sind nicht universell – sie werden durch die Richtlinien Ihrer Organisation, Branchenvorschriften (HIPAA, GDPR, FERPA, PCI-DSS) und vertragliche Verpflichtungen definiert.
Allgemeines Prinzip
Wenn ein Vorfall möglicherweise die Vertraulichkeit, Integrität oder Verfügbarkeit sensibler Informationen beeinträchtigt, sollte er gemeldet werden. Im Zweifel lieber melden.
Häufige Auslöserereignisse, die eine Meldung erfordern
- Unbefugter Zugriff: Jemand hat Daten ohne Autorisierung eingesehen, kopiert oder darauf zugegriffen.
- Verlust oder Diebstahl: Laptop, Telefon, USB-Stick, Papierunterlagen mit PHI/PII verloren oder gestohlen.
- Sicherheitsverletzung: Hacking, Malware, Phishing, Kompromittierung von Anmeldeinformationen, ausgenutzte Schwachstelle.
- Datenschutzverletzung: Informationen an unbefugten Empfänger weitergegeben (falsch adressierte E-Mail, Fax, mündlich).
- Vertraulichkeitsverletzung: Verletzung von NDA, Anwalt-Klient-Privileg, Geschäftsgeheimnissen, proprietären Daten.
- Systemfehlkonfiguration: Öffentlich zugängliche Datenbank, offener S3-Bucket, falsch geleitete Berechtigungen.
Meldeprozess
- Sofort: Vorgesetzten, Manager oder den zuständigen Sicherheits-/Datenschutzbeauftragten benachrichtigen.
- Formeller Bericht: Meldeformular Ihrer Organisation ausfüllen (was, wann, wo, wer, beteiligte Daten, ergriffene Maßnahmen).
- Beweise sichern: Geräte nicht löschen, Logs nicht löschen oder das Problem nicht „beheben“, bevor die forensische Überprüfung erfolgt.
- Nachbereitung: Bei der Untersuchung mitwirken; Korrekturmaßnahmen implementieren.
Regulatorische Fristen (Beispiele)
- HIPAA: Verletzung, die ≥500 Personen betrifft → an HHS innerhalb von 60 Tagen melden; betroffene Personen ohne unverhältnismäßige Verzögerung.
- GDPR: An die Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnisnahme melden.
- Staatliche Verletzungsgesetze: Variieren (z. B. CA: „in der schnellstmöglichen Zeit“).
Im Zweifel melden Sie es. Ihr Vorgesetzter oder Datenschutzbeauftragter wird entscheiden, ob ein formeller regulatorischer Bericht erforderlich ist. Schweigen schafft Haftung; Melden ermöglicht Eindämmung.
