Der Vorfall in der Berliner Verwaltung führt vor Augen, dass Datenschutz und Informationssicherheit untrennbar miteinander verknüpft sind. Die unzureichende Absicherung von Systemen führt unmittelbar zu einer Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) mit schwerwiegenden Rechts- und Haftungsfolgen für die Verantwortlichen.

Um vergleichbare Risiken wirksam zu minimieren, sollten Verantwortliche umgehend folgende Maßnahmen prüfen und umsetzen:

1. Technische und organisatorische Maßnahmen nachschärfen (Art. 32 DSGVO)

• Netzwerksegmentierung: Systeme mit sensiblen Mitarbeiter- oder Bürgerdaten strikt von sonstigen Verwaltungsnetzen und operativen Betriebssystemen trennen, um seitliche Bewegungen (Lateral Movement) von Angreifern zu unterbinden.

• Least-Privilege-Prinzip: Zugriffsberechtigungen rollenbasiert auf das absolut notwendige Minimum beschränken. Standardmäßige Vollzugriffe oder unsegmentierte Netzlaufwerke müssen eliminiert werden.

• Multi-Faktor-Authentifizierung (MFA): Verpflichtender Einsatz von MFA für alle administrativen Zugänge, Fernzugriffe (VPN) und Standardarbeitsplätze.

2. Auftragsverarbeiter und Schnittstellen auditieren (Art. 28 DSGVO)

• Lieferantenrisikomanagement: IT-Dienstleister und externe Softwareanbieter stellen häufig das Haupteinfallstor dar. Verträge zur Auftragsverarbeitung (AVV) müssen auf konkrete Sicherheitszusagen geprüft und durch regelmäßige Sicherheitsnachweise oder Audits verifiziert werden.

• Datensparsamkeit bei Übergaben: An Dienstleister übermittelte Datensätze vorab pseudonymisieren oder bereinigen, sofern der Vollzugriff für die Leistungserbringung nicht zwingend erforderlich ist (Art. 5 Abs. 1 lit. c DSGVO).

3. Löschkonzepte und Datenhaltung konsequent durchsetzen (Art. 5 Abs. 1 lit. e & Art. 17 DSGVO)

• Das hohe Datenvolumen von 5,8 TB deutet oft auf eine unregulierte Vorhaltung von Altdaten hin. Bewerbungsunterlagen (Regellöschfrist in der Praxis 6 Monate nach Ablehnung) und historische Krankmeldungen dürfen nicht unbegrenzt auf Standardlaufwerken lagern, sondern müssen nach Ablauf der gesetzlichen Aufbewahrungsfristen automatisiert gelöscht werden.

4. Incident-Response- und Meldeprozesse etablieren (Art. 33 & 34 DSGVO)

• Meldewege testen: Ein dokumentierter Notfallplan muss sicherstellen, dass Datenpannen innerhalb der gesetzlichen Frist von 72 Stunden an die zuständige Datenschutzaufsichtsbehörde gemeldet werden können.

• Betroffeneninformation: Da bei Passkopien und Personalakten ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen (Identitätsdiebstahl, gezieltes Social Engineering) besteht, muss ein standardisierter Prozess für die Benachrichtigung der Betroffenen vorliegen.

5. Kontinuierliche Sensibilisierung (Security Awareness)

• Die beste technische Hürde versagt, wenn Zugangsdaten über Phishing abgegriffen werden. Regelmäßige, praxisnahe Schulungen der Beschäftigten zur Erkennung von Social Engineering und zur Meldung verdächtiger Vorfälle sind eine zwingende organisatorische Schutzmaßnahme.

Rechtliche und normative Bezugsquellen

• Art. 5 Abs. 1 lit. c & e DSGVO: Grundsätze der Datenminimierung und Speicherbegrenzung.

• Art. 28 DSGVO: Pflichten und Kontrollrechte bei der Beauftragung von Dienstleistern (Auftragsverarbeitung).

• Art. 32 DSGVO: Sicherheit der Verarbeitung (Angemessenheit technischer und organisatorischer Maßnahmen).

• Art. 33 & 34 DSGVO: Melde- und Benachrichtigungspflichten bei Verletzungen des Schutzes personenbezogener Daten.