Ein Sicherheitsvorfall ist ein Ereignis, bei dem die Informationssicherheit beeinträchtigt wurde oder mit hoher Wahrscheinlichkeit beeinträchtigt wird. Der verschlüsselte Dateiserver gehört dazu, die versehentlich an den falschen Verteiler geschickte Gehaltsliste ebenso, der verlorene Laptop und der über Wochen aktive Zugang eines längst ausgeschiedenen Mitarbeiters.
Die begriffliche Trennung zwischen Ereignis und Vorfall ist keine Wortklauberei. Sie entscheidet darüber, wann Fristen anlaufen und wer eingeschaltet wird.
Die fünf Schritte der Behandlung
- Erkennen und melden. Jede Person im Geltungsbereich muss wissen, wohin. Ein Meldeweg, der über die Vorgesetzte läuft, verliert am Wochenende zwei Tage.
- Bewerten und einstufen. Aus dem Ereignis wird ein Vorfall oder nicht. Diese Entscheidung wird festgehalten, mit Zeitpunkt und Person.
- Reagieren. Eingrenzen, dann beheben. In dieser Reihenfolge, denn wer sofort neu aufsetzt, vernichtet die Spuren.
- Beweise sichern. Protokolle, Abbilder, Datenträger — wenn eine Anzeige oder ein Versicherungsfall folgen könnte, entscheidet dieser Schritt darüber, ob später etwas belegbar ist.
- Auswerten. Ursache bestimmen, Maßnahmen ableiten, Wirksamkeit prüfen.
Der fünfte Schritt ist derjenige, der am häufigsten ausfällt. Der Betrieb läuft wieder, damit gilt der Fall als erledigt. Genau hier liegt aber der Unterschied zwischen Störungsbehebung und Managementsystem: Der Vorfall soll nicht nur beendet, sondern als Erkenntnisquelle genutzt werden — methodisch wie beim 8D-Report oder mit dem Ishikawa-Diagramm.
Die Fristfalle
Wenn personenbezogene Daten betroffen sind, beginnt die Meldefrist von 72 Stunden nach Artikel 33 DSGVO mit der Kenntnis des Verantwortlichen — nicht mit dem Abschluss der Untersuchung. Der Fehler, der daraus entsteht, ist immer derselbe: Es wird erst analysiert, dann gemeldet, und die Frist ist abgelaufen, bevor die Ursache feststeht. Eine unvollständige Meldung mit Nachreichung ist ausdrücklich vorgesehen und in der Sache immer besser als eine verspätete vollständige.
Die zweite Falle betrifft die Kenntnis selbst: Sie entsteht in der Organisation, nicht in der Geschäftsleitung. Wenn ein Servicemitarbeiter am Freitag etwas bemerkt und die Leitung es am Montag erfährt, sind zwei Tage verbraucht.
Woran es in der Praxis scheitert
Es wird nicht gemeldet. Nicht aus Nachlässigkeit, sondern aus Sorge vor Konsequenzen. Wer den eigenen Fehlklick meldet, muss dafür Anerkennung bekommen und keine Ermahnung — sonst wird der nächste Vorfall verschwiegen, und die Organisation erfährt davon erst durch den Kunden.
Der zweite Punkt ist die fehlende Aufzeichnung. Ohne ein Verzeichnis der Vorfälle mit Datum, Einstufung, Maßnahme und Abschluss fehlt der Nachweis im Überwachungsaudit und die Grundlage für die Managementbewertung. Auffällig ist dabei nicht die hohe Zahl an Meldungen, sondern die Null: Eine Organisation mit hundert Beschäftigten und keinem einzigen dokumentierten Vorfall im Jahr hat kein Sicherheitsniveau bewiesen, sondern ein Meldeproblem.