Ein Angriff kennt keine Abteilungsgrenzen. Wer sich Zugriff auf einen einzigen Rechner in der Buchhaltung verschafft, kommt im schlimmsten Fall auch an die Produktionssteuerung oder den Server der Geschäftsführung heran. In vielen Unternehmen ist das genau so, weil das Netzwerk „flach“ aufgebaut ist.
 |
| Ohne Segmentierung bewegt sich ein Angreifer fast ungehindert durch das gesamte Netzwerk. |
Sie mieten ein Hotelzimmer oder ein Auto und werden gebeten, Ihren Personalausweis vorzulegen. Dabei stellen Sie fest, dass der Ausweis kurzerhand kopiert wird. Ist das eigentlich zulässig? Und welche Regeln gelten in solchen Fällen wirklich?
 |
| Personalausweis kopieren – oft gemacht, aber erlaubt? |
Eine Reihe von Unternehmen ist derzeit erstmals in die Abwicklung von Aufträgen aus dem Verteidigungsbereich eingebunden. Dabei kann es vorkommen, dass die öffentliche Hand als Auftraggeber eine Sicherheitsüberprüfung von Beschäftigten verlangt. Für viele ist dieser Begriff neu – im Folgenden erläutern wir, was dahintersteckt.
 |
| Sicherheitsüberprüfung von Beschäftigten – wer wird geprüft und warum? |
Das Recht auf Löschung gehört zu den wichtigsten Datenschutzrechten. Trotzdem zeigt die Praxis: Personenbezogene Daten werden oft zu spät, falsch oder gar nicht gelöscht. Eine gemeinsame Prüfaktion der Datenschutzaufsichtsbehörden hat deutlich gemacht, wo die typischen Probleme liegen – und was Beschäftigte dagegen tun können.
 |
| Löschen von Daten: Der kleine Wissenscheck für Ihren Arbeitsalltag |
Das Recht auf Löschung gehört zu den wichtigsten Betroffenenrechten der EU-DSGVO. Trotzdem zeigt die Praxis immer wieder: Personenbezogene Daten werden zu spät, unvollständig oder gar nicht gelöscht. Eine europaweite, koordinierte Prüfaktion der Datenschutzaufsichtsbehörden hat genau das jetzt mit Zahlen belegt – und macht deutlich, wo in Unternehmen die typischen Schwachstellen liegen.
 |
| Was beim Löschen von Daten zu beachten ist |
Wenn es um Digitalisierung geht, ist aktuell häufig von „Souveränität" die Rede. Doch warum spielt das plötzlich eine so große Rolle – und welche Konsequenzen hat das für den Datenschutz? Eine ganze Menge, wie sich bei näherem Hinsehen zeigt.
 |
| Digitale Souveränität |
Digitale Souveränität beschreibt die Fähigkeit von Staaten, Unternehmen und Einzelpersonen, über ihre digitale Infrastruktur, ihre Daten und die eingesetzten Technologien selbstbestimmt zu entscheiden – ohne von einzelnen ausländischen Anbietern oder deren Rechtsordnungen abhängig zu sein. Konkret geht es meist um die Frage, wo Daten gespeichert werden, welchem Recht der eingesetzte Dienstleister unterliegt und ob fremde Behörden im Zweifel Zugriff auf diese Daten erhalten können.
Ein wesentlicher Grund liegt im Vertrauen in bestehende Datentransfer-Mechanismen zwischen der EU und den USA. Das EU-US Data Privacy Framework (DPF) bildet seit 2023 die zentrale Rechtsgrundlage dafür, dass europäische Unternehmen personenbezogene Daten in die USA übermitteln dürfen, ohne zusätzliche Garantien wie Standardvertragsklauseln vereinbaren zu müssen. Dieses Fundament gerät jedoch zunehmend ins Wanken: Ein Urteil des US Supreme Court betrifft die Unabhängigkeit der Federal Trade Commission, die eine zentrale Kontrollfunktion im Rahmen des DPF ausübt. Der österreichische Datenschutzaktivist Max Schrems hat als Reaktion darauf bereits eine neue Klage vor dem Europäischen Gerichtshof angekündigt, mit dem Ziel, den Datentransfer in die USA erneut zu stoppen – nach den bereits erfolgreichen Klagen gegen Safe Harbor und Privacy Shield wäre dies der dritte Anlauf.
Hinzu kommt der US CLOUD Act: Er verpflichtet amerikanische Unternehmen, auf Anordnung von US-Behörden Daten herauszugeben – unabhängig davon, wo diese Daten physisch gespeichert sind. Selbst ein europäisches Rechenzentrum schützt also nicht zwangsläufig vor einem Zugriff, wenn der Anbieter letztlich einem US-Mutterkonzern gehört.
Für Unternehmen bedeutet diese Entwicklung vor allem eines: Rechtssicherheit, die sich bislang auf einen einzelnen Angemessenheitsbeschluss stützte, kann sich kurzfristig ändern. Wer heute auf Basis des Data Privacy Frameworks personenbezogene Daten in die USA überträgt, sollte deshalb schon jetzt einen Plan B kennen – etwa den Rückgriff auf Standardvertragsklauseln in Kombination mit einem Transfer Impact Assessment sowie ergänzenden technischen Maßnahmen wie Verschlüsselung. Wie ein solcher Datentransfer in die USA datenschutzrechtlich grundsätzlich einzuordnen ist, haben wir in unserem Beitrag Datentransfer in die USA bereits ausführlich beschrieben.
Digitale Souveränität beginnt nicht erst bei großen strategischen Entscheidungen, sondern schon bei der Auswahl alltäglicher IT-Dienstleister: Cloud-Speicher, E-Mail-Provider, CRM- oder Newsletter-Tools. Bei jedem dieser Dienste lohnt sich die Frage, wo der Anbieter seinen Sitz hat, wo die Daten tatsächlich verarbeitet werden und ob ein wirksamer Auftragsverarbeitungsvertrag vorliegt. Worauf es bei einem solchen Vertrag konkret ankommt, erläutern wir in unserem Artikel Auftragsverarbeitung (AVV): Der Vertrag, den fast jeder falsch macht.
Digitale Souveränität ist längst kein abstraktes politisches Schlagwort mehr, sondern eine sehr praktische Frage des Datenschutzes: Wie abhängig ist mein Unternehmen von einzelnen ausländischen Anbietern, und was passiert, wenn sich die rechtliche Grundlage für den Datentransfer kurzfristig ändert? Wer sich schon heute mit dieser Frage auseinandersetzt, ist deutlich besser vorbereitet, falls sich die aktuelle Unsicherheit rund um das Data Privacy Framework tatsächlich zuspitzt.
Sie möchten wissen, wie abhängig Ihr Unternehmen aktuell von US-Dienstleistern ist und welche Alternativen sinnvoll wären? Sprechen Sie uns an.
Gelangen Daten von einer Hotelbuchungsplattform in falsche Hände, werden nicht nur die gebuchten Hotelaufenthalte für Unbefugte sichtbar. Die Täter nutzen diese Daten aktiv weiter und starten damit zusätzliche Angriffe. Auf eine Datenpanne folgen so oft weitere, ganz eigenständige Vorfälle – und genau das macht solche Vorfälle so gefährlich.
Sie haben versehentlich eine E-Mail mit sensiblen Daten an den falschen Empfänger geschickt? Oder Sie bemerken, dass Unbefugte Zugriff auf personenbezogene Daten hatten? Dann gilt: Nicht zögern – sofort melden! Je schneller Sie reagieren, desto besser lassen sich Schäden begrenzen. Abwarten oder Beschönigen kann aus einer kleinen Panne schnell ein großes Problem machen.
|
Kaum ein Element einer Website wird so häufig unterschätzt wie der Cookie-Banner – und kaum eines führt so zuverlässig zu Abmahnungen, wenn es falsch gestaltet ist. Aufsichtsbehörden und Gerichte haben 2026 ihre Anforderungen an eine wirksame Einwilligung weiter verschärft. Wer noch mit einem Banner aus den Anfangsjahren der EU-DSGVO arbeitet, sollte genau jetzt einen zweiten Blick riskieren.
| Einwilligung & Cookie-Banner: Was 2026 rechtssicher ist |
Mobiles Arbeiten ist seit der Pandemie für viele Unternehmen zur Normalität geworden. Was dabei häufig auf der Strecke bleibt: Die Datenschutz-Vorgaben wurden selten in gleichem Maße nachgezogen wie die technische Ausstattung. Der Laptop ist da, die VPN-Software installiert – aber ob wirklich alle relevanten Datenschutzpunkte im Homeoffice beachtet werden, wird oft nie systematisch geprüft.
 |
| Datenschutz im Homeoffice endet nicht bei der Technik - er beginnt beim Arbeitsplatz zu Hause. Datenschutz im Homeoffice: Die Checkliste, die oft fehlt |
Eine E-Mail, ein Anruf oder ein formloser Brief – und plötzlich steht die Frage im Raum: Ein Kunde möchte wissen, welche Daten Sie über ihn gespeichert haben. Das Auskunftsrecht nach Art. 15 EU-DSGVO gehört zu den am häufigsten geltend gemachten Betroffenenrechten. Wer hier falsch reagiert oder wichtige Fristen verpasst, riskiert schnell mehr als nur Ärger mit einem einzelnen Kunden.
 |
| Betroffenenrechte: Was tun, wenn ein Kunde Auskunft verlangt? |
„Leg mir das doch bitte auf Laufwerk XY!" Solche Sätze hört man im Büroalltag ständig. Gemeinsame Dateiablagen erleichtern die Zusammenarbeit enorm – Dokumente sind schnell auffindbar, Teams arbeiten gemeinsam an denselben Unterlagen, nichts geht per E-Mail verloren. Gleichzeitig bergen genau diese praktischen Strukturen Risiken, die im Arbeitsalltag oft übersehen werden.
 |
| Dateiablagen – bequem, aber auch ein Risiko! |
Täglich werden Menschen im Internet beleidigt, belästigt und bedroht. Was auf den ersten Blick nach einem reinen Verhaltensproblem aussieht, hat in Wahrheit sehr oft eine Datenschutz-Komponente: Täter greifen bei Cybermobbing und Online-Belästigung regelmäßig auf konkrete, öffentlich zugängliche Informationen über ihre Opfer zurück. Wer verantwortungsvoll mit seinen personenbezogenen Daten umgeht, schützt sich damit nicht nur rechtlich – sondern ganz praktisch auch persönlich.
|
||
Cybermobbing und Online-Belästigung wirken auf Betroffene oft deshalb so bedrohlich, weil die Angreifer nicht anonym und beliebig vorgehen, sondern gezielt: Sie nutzen Wohnadressen, Arbeitgeber, private Fotos, Familienverhältnisse oder Kontaktdaten, die im Netz frei verfügbar sind. Genau hier setzt der Datenschutz an. Je weniger personenbezogene Informationen öffentlich einsehbar sind, desto weniger Angriffsfläche bietet eine Person für gezielte Belästigung, Rufschädigung oder sogar Bedrohung im echten Leben – dem sogenannten Doxing.
Wie man sich konkret gegen unsachliche und datenschutzrechtlich bedenkliche Bewertungen im Netz wehren kann, haben wir bereits in einem eigenen Beitrag beschrieben: Immer Ärger mit Kununu – Tipps zur Selbsthilfe bei Datenschutz-Verstößen und unsachlichen Bewertungen.
Der wirksamste Hebel gegen digitale Belästigung liegt nicht allein bei den Plattformen oder der Polizei, sondern beim eigenen Verhalten im Netz. Wer regelmäßig überprüft, welche Informationen über die eigene Person öffentlich auffindbar sind, kann gezielt gegensteuern: Datenschutzeinstellungen in sozialen Netzwerken restriktiv konfigurieren, private Kontaktdaten aus öffentlichen Verzeichnissen entfernen lassen und bei der Preisgabe von Standort- oder Familieninformationen zurückhaltend sein.
Dieses Prinzip der Datensparsamkeit ist im Übrigen kein rein privates Thema – es ist ein zentraler Grundsatz der EU-DSGVO und gilt genauso für Unternehmen im Umgang mit den Daten ihrer Mitarbeitenden und Kunden. Einen Überblick über die rechtlichen Grundlagen finden Sie auf unserer Seite EU-DSGVO.
Nicht nur bei klassischen Cyberangriffen auf Unternehmen, sondern auch bei digitaler Belästigung im privaten Umfeld ist der Mensch häufig der Ausgangspunkt: unbedachte Postings, offene Profile oder freiwillig geteilte Informationen liefern Tätern die Grundlage für ihr Vorgehen. Genau deshalb spielt Security- und Datenschutz-Awareness eine so zentrale Rolle – sowohl im privaten als auch im beruflichen Kontext. Mehr dazu, warum Awareness kein Nice-to-have ist, lesen Sie in unserem Artikel Mitarbeiter als Einfallstor: Warum Awareness kein Nice-to-have ist.
Digitale Belästigung, Cybermobbing und Doxing sind längst keine Randphänomene mehr – sie betreffen Privatpersonen genauso wie Mitarbeitende in Unternehmen. Ein bewusster, datenschutzkonformer Umgang mit personenbezogenen Informationen ist dabei mehr als eine gesetzliche Pflicht: Er ist ein wirksamer, oft unterschätzter Baustein zum Schutz vor Belästigung und Bedrohung im Netz. Wer die eigenen Daten schützt, entzieht potenziellen Tätern eine wichtige Angriffsfläche.
Sie möchten wissen, wie Sie den Datenschutz in Ihrem Unternehmen stärken und Ihre Mitarbeitenden für den sensiblen Umgang mit Daten sensibilisieren können? Sprechen Sie uns an.
 |
| Die 5 Datenschutz-Mythen, die uns am häufigsten begegnen |
 |
| 2016 - kurz nach Erhalt des ISO 27001 Zertifikats |
Es ist Freitagabend. Ein Mitarbeitender meldet, dass er versehentlich eine E-Mail mit Kundendaten an den falschen Verteiler geschickt hat. Oder: Das Unternehmen stellt fest, dass ein Fremdsystem seit Wochen auf interne Daten zugreift. In beiden Fällen läuft ab diesem Moment die Uhr. 72 Stunden – nicht mehr.
 |
| Datenpanne gemeldet — und jetzt? Die 72-Stunden-Frist |
 |
| Datenschutz in der Lieferkette: Wenn der Kunde Nachweise verlangt |
Es beginnt oft mit einem schlichten Anhang zur Bestellung: ein Fragebogen, ein Audit-Formular oder eine Selbstauskunft zur Informationssicherheit. Immer mehr Großkunden verlangen von ihren Zulieferern und Dienstleistern den Nachweis, dass Datenschutz und Informationssicherheit im Unternehmen ernsthaft umgesetzt sind. Wer diesen Nachweis nicht liefern kann, riskiert – im schlimmsten Fall – den Auftrag.
 |
| Löschkonzept: Wie lange dürfen Sie Daten wirklich behalten? |
„Wir behalten einfach alles – man weiß ja nie." Dieser Satz fällt in der Datenschutzberatung erschreckend häufig. Er klingt vorsichtig, ist aber aus datenschutzrechtlicher Sicht eines der größten Risiken, das ein Unternehmen eingehen kann. Denn die EU-DSGVO verlangt das Gegenteil: Daten dürfen nur so lange gespeichert werden, wie es einen klaren Zweck dafür gibt.
Wenn Unternehmen über DSGVO reden, fallen meist die großen Schlagworte: Datenschutzerklärung, Einwilligung, Verarbeitungsverzeichnis. Der Auftragsverarbeitungsvertrag – kurz AVV – landet dabei regelmäßig auf dem letzten Platz. Dabei ist er in der Prüfungspraxis einer der häufigsten Stolpersteine. Und er betrifft nicht nur die Endkunden. Gerade IT-Dienstleister und Systemhäuser sind gleich doppelt in der Pflicht.
 |
| Typische Lücken im AVV |
Auf den Punkt: Wer in den letzten Jahren mit einer Datenschutzbehörde zu tun hatte, kennt das Muster: Die erste Anfrage betrifft fast immer das Verarbeitungsverzeichnis. Wer es nicht vorlegen kann, hat den Termin schon halb verloren – wer ein veraltetes oder lückenhaftes Dokument schickt, oft auch. Aus 18 Jahren Beratungspraxis im Mittelstand ist es die häufigste vermeidbare Schwachstelle.
 |
| Verarbeitungsverzeichnis nach Art. 30 EU-DSGVO |
