Kurzantwort
Begrenzen Sie den betroffenen Zugriff sofort nach dem vorgesehenen Verfahren und sichern Sie die nötigen Nachweise. Prüfen Sie anschließend Identität, Kunden-Vertrags-Zuordnung und jede serverseitige Berechtigung. Bewerten Sie den Vorfall zusätzlich nach dem Datenschutzprozess; eine korrigierte Anzeige allein erledigt ihn nicht.
Wie wird der Umfang festgestellt?
Ermitteln Sie, welche Konten, Verträge, Dokumente und Zeiträume betroffen sind. Prüfen Sie Protokolle innerhalb der zulässigen Zwecke und Zugriffsrechte. Eine ähnliche Kundennummer, ein gemeinsamer Nachname oder eine erratbare Dokumentadresse darf keine Berechtigung begründen. Auch direkte Dateiabrufe sind in die Untersuchung einzubeziehen.
Welche Prüfung folgt nach der Reparatur?
Testen Sie mit getrennten Testkunden, ob der berechtigte Zugriff funktioniert und fremde Daten gesperrt bleiben. Prüfen Sie veraltete Sitzungen, Cache und Downloadlinks. Geben Sie die dokumentierten technischen Feststellungen unverzüglich an die zuständige Datenschutzstelle weiter. Ob Meldungen oder Benachrichtigungen erforderlich sind und welche Fristen gelten, wird dort gesondert beurteilt; die technische Reparatur beantwortet diese Fragen nicht.
Schritt für Schritt vorgehen
- Unberechtigten Zugriff begrenzen.
- Umfang und Ursache mit Nachweisen feststellen.
- Zuordnung und Zugriffskontrolle korrigieren.
- Gegenprüfung und Datenschutzbewertung abschließen.
Zur eigenen Einordnung
Praxisbeispiel
Fiktives Beispiel: Kunde A sieht den Namen von Kunde B nicht mehr, kann aber dessen alte PDF-Adresse weiterhin öffnen. Die reine Oberflächenkorrektur war unvollständig. Erst eine serverseitige Berechtigungsprüfung beim Dokumentabruf schließt diesen Zugriffsweg; anschließend wird der gesamte Vorfallsumfang bewertet.
Checkliste für Ihren Vorgang
- Direkte Downloads geprüft.
- Mandant und Vertrag gemeinsam kontrolliert.
- Negativtest mit fremdem Kunden bestanden.
- Datenschutzentscheidung dokumentiert.
Häufige Fragen
Reicht es, den falschen Link auszublenden?
Nein. Der Server muss jeden unberechtigten Abruf verhindern, unabhängig davon, ob ein Link sichtbar ist.
Soll ein Kunde fremde Dokumente zur Klärung weiterleiten?
Fordern Sie nur die minimal notwendigen Angaben über einen sicheren Meldeweg an; vermeiden Sie zusätzliche Verbreitung fremder Inhalte.
Ist jeder Zuordnungsfehler automatisch meldepflichtig?
Dieser Ratgeber trifft keine Entscheidung über eine Meldepflicht. Übergeben Sie die festgestellten Umstände unverzüglich an die zuständige Datenschutzstelle und halten Sie deren Rückmeldung im vorgesehenen geschützten Verfahren nach.
Quellen und weiterführende Grundlagen
- BfDI: Datenschutz-Grundverordnung und BDSG
- BSI: Cyber-Sicherheit für Unternehmen
- Versorgia: Fachwissen zum Arbeitsablauf
- Versorgia: Zugehöriger Produktumfang
Behördliche Quellen erläutern die jeweilige Fachgrundlage. Versorgia-Seiten beschreiben den Produktumfang. Die eigenen Rechenbeispiele sind keine Marktpreise oder verbindlichen Angebote. Quellenmethodik und Korrekturweg
Ihr nächster Schritt
Den passenden Ablauf für Ihren Betrieb prüfen
Nutzen Sie diesen Fall mit Ihren eigenen Unterlagen, um Anforderungen, Zuständigkeiten und benötigte Freigaben mit dem beschriebenen Produktumfang abzugleichen.
Ablauf und Produktumfang ansehen →