Kennwort ändern, Gerät vom Netz nehmen, melden — in dieser Reihenfolge. Und der Satz, der diesen Block trägt: Melden ist kein Eingeständnis, sondern der Handgriff, der den Schaden klein hält.
Zuerst die Entlastung: Das passiert. Es passiert aufmerksamen Menschen, Fachleuten und an einem Tag, an dem zu viel los war. Niemand ist dumm, wenn es ihm passiert.
Der Grund für die Eile steht im Gesetz. Art. 4 Nr. 12 DSGVO nennt bereits den unbefugten Zugang eine Datenschutzverletzung — nicht erst den Schaden, nicht erst das abgeräumte Konto. Wenn jemand Ihr Kennwort hat, ist der Fall eingetreten.
Und dann läuft eine Frist. Nach Art. 33 Abs. 1 S. 1 meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, „nachdem ihm die Verletzung bekannt wurde". Zwei Wörter sind für Sie wichtig: Der Verantwortliche ist Ihr Betrieb, nicht Sie — Sie haben keine eigene Frist. Und die Uhr startet, wenn der Betrieb es weiß, also mit Ihrer Meldung. Jede Stunde, die Sie zögern, fehlt dem Betrieb hinterher.
Drei Dinge lassen Sie dabei: nichts löschen, nichts aufräumen, nicht selbst ermitteln. Die Nachricht bleibt, wo sie ist — sie ist jetzt der Beleg. Und melden Sie auch beim bloßen Verdacht: Ein Fehlalarm kostet fünf Minuten, und die Beurteilung ist nicht Ihre Aufgabe.
Wie es danach weitergeht — wer meldet, was in die Meldung gehört, wann Betroffene benachrichtigt werden — steht im eigenen Kurs zur Datenpanne.
Eine versäumte Meldung verletzt Art. 33 DSGVO — Rahmen nach Art. 83 Abs. 4 lit. a: bis zu 10 Millionen Euro oder 2 Prozent. Strafmildernd zählt nach Art. 83 Abs. 2 lit. h ausdrücklich mit, wie die Behörde von dem Verstoß erfahren hat — eine eigene, rechtzeitige Meldung wirkt also. Für Sie persönlich entsteht keine Geldbuße; Adressat ist der Verantwortliche.
Im Video: Dieser Lernblock dauert 4:30 und ist Teil des Kurses Phishing und Social Engineering erkennen.
Stand: 11.10.2026