Kurz gesagt: Wer Kunden nach einer Datenpanne informieren muss oder will, entscheidet zuerst mit Datenschutzbeauftragtem und Anwalt, ob eine Pflicht nach Art. 34 DSGVO besteht, und klärt, ob Geschäftskunden selbst Verantwortliche sind. Dann folgen Kundengruppen, sichere Kanäle, ein vorbereiteter Kundenservice und eine abschließende Nachricht. Mitteilungen enthalten keine Anmeldelinks, damit sie nicht zur Vorlage für Phishing werden. Diese Seite ist allgemeine Information und keine Rechtsberatung.
Die Mail, die alle fürchten
Der Server ist bereinigt, die Lücke geschlossen, die Forensik hat erste Ergebnisse. Jetzt liegt eine Frage auf dem Tisch, die viele Geschäftsführer lieber vermeiden würden: Müssen wir es unseren Kunden sagen? Und wenn ja, wie, ohne mehr Schaden anzurichten als der Vorfall selbst?
Die Lage rund um PHP2Shell hat diese Frage für viele Unternehmen neu gestellt, auch ohne Einbruch. Websites waren vorsorglich offline, Kunden fragten nach, und Betrüger nutzen solche Lagen erfahrungsgemäß für gefälschte Nachrichten. Wie Krisenkommunikation grundsätzlich aufgebaut ist, in welcher Reihenfolge und mit welchen Inhalten, beschreibt Krisenkommunikation nach einem Angriff. Dieser Beitrag geht einen Schritt tiefer: die Entscheidung, die Kundengruppen und die praktische Umsetzung.
Kunden informieren nach einer Datenpanne: Pflicht oder Entscheidung?
Art. 34 DSGVO verlangt, Betroffene unverzüglich zu benachrichtigen, wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat. Die Benachrichtigung beschreibt die Art der Verletzung in klarer und einfacher Sprache und enthält mindestens einen Ansprechpartner, die wahrscheinlichen Folgen und die ergriffenen oder geplanten Maßnahmen.
Art. 34 Abs. 3 nennt Ausnahmen: wenn die Daten etwa durch Verschlüsselung für Unbefugte unzugänglich sind, wenn nachfolgende Maßnahmen das hohe Risiko voraussichtlich beseitigen oder wenn die Benachrichtigung unverhältnismäßigen Aufwand bedeuten würde; dann tritt eine öffentliche Bekanntmachung an ihre Stelle. Ob eine dieser Ausnahmen greift, ist eine rechtliche Bewertung im Einzelfall. Sie gehört zu Datenschutzbeauftragtem und Anwalt, ebenso wie die Meldung an die Aufsichtsbehörde, siehe DSGVO-Meldepflicht: 72 Stunden nach dem Vorfall.
Auch ohne Pflicht kann eine Information sinnvoll sein. Kunden, die vom Vorfall aus anderer Quelle erfahren, verlieren schneller Vertrauen als solche, die es von Ihnen hören.
Bleibt die Frage nach dem Zeitpunkt. Wer zu früh informiert, muss Aussagen womöglich korrigieren. Wer zu lange wartet, riskiert, dass Kunden in der Zwischenzeit Schaden nehmen, etwa durch Phishing mit abgeflossenen Adressen. Ein bewährter Mittelweg: früh mitteilen, was feststeht und was Kunden selbst tun können, und ausdrücklich ankündigen, dass weitere Informationen folgen. „Unverzüglich“ im Sinne von Art. 34 heißt nicht, auf das Ende der Untersuchung zu warten.
Welche Kunden Sie wie erreichen
Nicht alle Kunden brauchen dieselbe Nachricht. Unterscheiden Sie mindestens drei Gruppen:
| Kundengruppe | Ihre Rolle | Was das für die Information heißt |
|---|---|---|
| Privatkunden mit Konto oder Bestellung | meist Verantwortlicher | Benachrichtigung nach Art. 34 prüfen, verständliche Sprache, konkrete Empfehlungen |
| Geschäftskunden, deren Daten Sie für eigene Zwecke nutzen | meist Verantwortlicher | sachliche Information an benannte Ansprechpartner, Einordnung für deren eigene Pflichten |
| Geschäftskunden, für die Sie Daten im Auftrag verarbeiten | Auftragsverarbeiter | unverzügliche Information nach Art. 33 Abs. 2, Unterstützung bei deren Meldungen |
Die dritte Gruppe wird oft übersehen. Betreiben Sie etwa Shops oder Portale für Kunden, sind diese in der Regel selbst Verantwortliche und müssen ihre eigenen Meldepflichten erfüllen. Dafür brauchen sie Ihre Informationen schnell und vollständig.
Kanäle wählen, ohne Phishing zu fördern
Der sicherste Kanal ist der, den Kunden bereits kennen. Bewährt haben sich:
- E-Mail von der gewohnten Absenderadresse, ohne Anmeldelinks und ohne Anhänge, mit dem Hinweis, die Website selbst aufzurufen.
- Hinweis nach der Anmeldung im Kundenkonto, sobald das System wieder sicher läuft.
- Hinweis auf der Website, als öffentliche Ergänzung oder, wo Art. 34 Abs. 3 das vorsieht, als öffentliche Bekanntmachung.
- Brief für Kunden ohne aktuelle Mailadresse oder bei besonders sensiblen Daten.
- Telefon und Kundenservice als Anlaufstelle für Rückfragen, mit einer Nummer, die Kunden bereits von Ihrer Website oder Rechnung kennen.
Nennen Sie in jeder Mitteilung ausdrücklich, dass Sie niemals per Mail oder Telefon nach Passwörtern, Codes oder Zahlungsdaten fragen. Betrüger verschicken nach bekannten Vorfällen gern Nachrichten, die wie Ihre aussehen.
Von der Entscheidung bis zur Abschlussnachricht
So kann der Ablauf in der Praxis aussehen:
- Fakten festhalten: was belegt ist, was wahrscheinlich, was unbekannt. Nur Belegtes geht nach außen.
- Rechtliche Bewertung einholen: Pflicht nach Art. 34, Rolle gegenüber Geschäftskunden, Abstimmung mit der Meldung an die Behörde.
- Kundengruppen und Kanäle festlegen, Verteiler aus dem eigenen System ziehen, nicht aus einer möglicherweise manipulierten Kopie.
- Kundenservice vorbereiten: interne Fragen und Antworten, klare Sprachregelung, Weiterleitung schwieriger Fälle an eine benannte Stelle.
- Empfehlungen für Kunden formulieren: etwa Passwort ändern, wenn Zugangsdaten betroffen sein könnten, und auf verdächtige Nachrichten achten.
- Versenden und dokumentieren: wer wann über welchen Kanal informiert wurde.
- Nachfassen: neue Erkenntnisse mitteilen und eine Abschlussnachricht senden, wenn die Untersuchung beendet ist.
Wer die Kontaktwege intern vorher festgelegt hat, spart dabei viel Zeit, siehe Notfallkontakte: Wer muss wann informiert werden?. Technische Schritte, die der Information vorausgehen sollten, fasst die Checkliste nach einem Hack zusammen.
Wie hilft PHP SOS konkret?
- Wir liefern die technischen Fakten zum Vorfall so aufbereitet, dass Datenschutzbeauftragter und Anwalt die Pflichten bewerten können.
- Wir prüfen Ihre Kundenmitteilungen auf technische Richtigkeit und darauf, dass sie Angreifern keine Hinweise geben.
- Wir stellen sicher, dass Verteiler und Kundenkonten aus einem bereinigten System stammen, bevor Sie versenden.
- Über Incident Response liefern wir die Erkenntnisse für Folge- und Abschlussnachrichten im vereinbarten Takt.
Fazit: Eine gute Kundeninformation ist rechtlich geprüft, nach Gruppen getrennt, über sichere Kanäle verschickt und wird zu Ende geführt. Diese Seite ist allgemeine Information und keine Rechtsberatung; die Entscheidung im Einzelfall treffen Sie mit Datenschutzbeauftragtem und Anwalt.
Häufige Fragen
Wann muss ich Kunden nach einer Datenpanne informieren?
Nach Art. 34 DSGVO, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge hat. Es gibt Ausnahmen, etwa bei wirksamer Verschlüsselung der Daten. Die Bewertung nehmen Sie mit Datenschutzbeauftragtem und Anwalt vor; diese Seite ist keine Rechtsberatung.
Was gilt, wenn ich Daten im Auftrag meiner Geschäftskunden verarbeite?
Dann sind Ihre Kunden meist selbst Verantwortliche. Nach Art. 33 Abs. 2 DSGVO informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, nachdem ihm eine Datenpanne bekannt wurde. Die Meldung an Behörde und Betroffene bleibt Sache Ihres Kunden.
Darf ich Kunden informieren, obwohl keine Pflicht besteht?
Ja. Eine freiwillige Information kann sinnvoll sein, etwa wenn die Website wegen PHP2Shell vorsorglich offline war oder Kunden Fragen stellen. Wichtig ist, nur gesicherte Fakten zu nennen und keine vorschnelle Entwarnung zu geben.
Wie verhindere ich, dass Betrüger meine Mitteilung nachahmen?
Verzichten Sie in der Mitteilung auf Links zur Anmeldung und auf Anhänge, verweisen Sie auf Ihre bekannte Website und nennen Sie ausdrücklich, über welche Wege Sie niemals nach Passwörtern oder Zahlungsdaten fragen.