DSGVO und Zugriffsrechte: Was ein Datenschutzvorfall wirklich kostet

Ein falsch gespeichertes Dokument, ein zu weit gefasstes Leserecht oder eine über Jahre gewachsene Gruppenverschachtelung: Für eine Datenschutzverletzung braucht es keinen Hacker. Häufig genügt ein interner Zugriff, der technisch möglich, fachlich aber nicht vorgesehen ist.

Für IT-Verantwortliche beginnt das Problem deshalb nicht erst mit der Meldung an eine Aufsichtsbehörde. Es beginnt viel früher – bei der Frage, ob sie zuverlässig erklären können, wer auf welche personenbezogenen Daten zugreifen kann, warum dieser Zugriff besteht und wann die Berechtigung zuletzt geprüft oder verändert wurde.

• Eine Verletzung des Schutzes personenbezogener Daten liegt unter anderem vor, wenn Daten unbefugt offengelegt werden oder Unbefugte darauf zugreifen. Ob Absicht oder ein Versehen dahintersteht, ist für die Einordnung zunächst unerheblich. [1]
• Nicht jede Datenschutzverletzung ist automatisch meldepflichtig. Jeder Vorfall muss dokumentiert und hinsichtlich des Risikos für die betroffenen Personen bewertet werden. Besteht voraussichtlich ein Risiko, ist die zuständige Datenschutzaufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden zu informieren. Bei einem voraussichtlich hohen Risiko müssen grundsätzlich auch die Betroffenen benachrichtigt werden. [2]
• Ein Berechtigungskonzept beschreibt Rollen, Verantwortlichkeiten und Regeln. Ob diese Regeln technisch eingehalten werden, zeigt jedoch erst die Analyse der effektiven Berechtigungen.
• Für einen belastbaren Nachweis müssen vier Ebenen getrennt betrachtet werden: Soll-Berechtigungen, aktuell effektive Berechtigungen, Änderungen an Berechtigungen und tatsächlich erfolgte Datenzugriffe.
• Ein wirksames und dokumentiertes Berechtigungsmanagement verhindert nicht jeden Fehler. Es reduziert aber die Angriffsfläche, begrenzt mögliche Schäden und verbessert die Handlungsfähigkeit bei Audits und Sicherheitsvorfällen.

In einem Kundenprojekt entstand ein Vorfall nicht durch einen Angriff, sondern durch einen alltäglichen Arbeitsschritt.

Ein Vorgesetzter erstellte eine Abmahnung auf Basis einer Word-Vorlage aus dem HR-Bereich. Über „Speichern unter“ legte er das fertige Dokument versehentlich dort ab, wo zuvor die Vorlage gespeichert war: in einem Verzeichnis, auf das ein zu großer Personenkreis lesend zugreifen konnte.

Ein Mitarbeiter öffnete die Datei und fragte anschließend, ob er sie überhaupt lesen dürfe. Damit war die Vertraulichkeit personenbezogener Daten verletzt. Das Unternehmen sicherte die Fakten, bezog den Datenschutzbeauftragten ein, bewertete das Risiko und meldete den Vorfall innerhalb der maßgeblichen Frist an die zuständige Aufsichtsbehörde.

In diesem Fall wurde kein Bußgeld verhängt. Daraus lässt sich keine allgemeine Garantie ableiten. Der Fall zeigt aber, warum eine schnelle Reaktion, nachvollziehbare Zuständigkeiten und dokumentierte Maßnahmen im Ernstfall so wichtig sind.

Der Fehler lag nicht allein beim Speichern. Menschen legen Dateien gelegentlich falsch ab. Zum Datenschutzproblem wurde der Vorgang, weil die technische Berechtigungsstruktur den Fehlgriff nicht ausreichend begrenzte.

Das ist der entscheidende Unterschied: Der Benutzerfehler ist der Auslöser. Zu weit gefasste effektive Berechtigungen sind der Multiplikator. Nach dem Least-Privilege-Prinzip sollten Benutzer und Gruppen nur die Rechte besitzen, die sie für ihre Aufgaben tatsächlich benötigen.

Personenbezogene Daten sind weit mehr als Name und Anschrift. In Personalbereichen liegen Lebensläufe, Kontaktdaten, Gehaltsinformationen, Leistungsbewertungen, Abmahnungen und Angaben zu Fehlzeiten. Gesundheitsdaten gehören nach Artikel 9 DSGVO zu den besonderen Kategorien personenbezogener Daten und benötigen einen entsprechend hohen Schutz.

Daneben speichern Unternehmen geistiges Eigentum wie Konstruktionsdaten, Rezepturen, Kalkulationen oder Kundenkonditionen. Diese Informationen fallen nicht automatisch unter die DSGVO, können aber dem Geheimnisschutz unterliegen. Für die IT ist die technische Aufgabe häufig dieselbe: schutzwürdige Daten identifizieren und den Zugriff auf den erforderlichen Personenkreis begrenzen.

In vielen Projekten werden die Begriffe „Berechtigung“ und „Zugriff“ als Synonym verwendet. Für eine belastbare Analyse müssen jedoch vier Ebenen unterschieden werden:

Eine Rollenmatrix beantwortet somit nicht automatisch, wer technisch zugreifen kann. Umgekehrt beweist eine effektive Berechtigung noch nicht, dass ein Benutzer eine bestimmte Datei tatsächlich geöffnet hat. Diese Trennung ist für Audits, interne Untersuchungen und Datenschutzvorfälle wesentlich.

Die folgenden Fälle sind keine identischen Kopien eines klassischen Fileserver-Problems. Sie zeigen aber, welche Folgen unzureichende Zugriffskontrolle, Authentisierung, Protokollierung und Berechtigungsverwaltung haben können.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit verhängte 2020 gegen H&M ein Bußgeld von 35.258.707,95 Euro. Über Jahre waren sehr persönliche Informationen zu mehreren hundert Beschäftigten erfasst und auf einem Netzlaufwerk gespeichert worden. Ein Konfigurationsfehler machte die Daten im Oktober 2019 für einige Stunden unternehmensweit zugänglich. Das Bußgeld sanktionierte damit nicht lediglich ein falsch gesetztes Leserecht, sondern eine umfassende Verletzung des Beschäftigtendatenschutzes. [3]

Die niederländische Datenschutzaufsicht verhängte 2019 zunächst 460.000 Euro gegen das HagaZiekenhuis. Beanstandet wurden insbesondere fehlende Zwei-Faktor-Authentisierung und eine unzureichende regelmäßige Kontrolle der Zugriffsprotokolle. Das Bußgeld wurde später gerichtlich auf 350.000 Euro reduziert. Der Fall zeigt: Bei besonders sensiblen Daten gehören angemessene Authentisierung und die Kontrolle tatsächlicher Zugriffe zusammen. [4]

Bei einem portugiesischen Krankenhaus wurden nach öffentlich verfügbaren Berichten 985 Benutzerprofile mit Arztrechten festgestellt, obwohl dort nur 296 Ärzte beschäftigt waren. Zudem bestanden weitreichende Zugriffe auf Patientenakten. Die Datenschutzaufsicht verhängte 2018 ein Bußgeld von insgesamt 400.000 Euro. Der Fall veranschaulicht, was passiert, wenn Konten, Rollen und Berechtigungen nicht regelmäßig mit der tatsächlichen Organisation abgeglichen werden. [5]

In der öffentlichen Wahrnehmung dominiert meist das Bußgeld. Für das betroffene Unternehmen ist es jedoch nur eine mögliche Position auf der Gesamtrechnung. Je nach Vorfall entstehen zusätzlich mehrere operative und wirtschaftliche Kostenblöcke:

IBM bezifferte die durchschnittlichen Kosten eines untersuchten Datenlecks in Deutschland für 2025 auf 3,87 Millionen Euro. Durchschnittlich vergingen 170 Tage bis zur Identifizierung und Eindämmung. Diese Werte stammen aus einer internationalen Data-Breach-Studie und lassen sich nicht eins zu eins auf eine einzelne falsch abgelegte HR-Datei übertragen. Sie zeigen jedoch, wie stark Dauer, Untersuchungsaufwand und Eindämmung die Gesamtkosten beeinflussen können. [6]

Artikel 82 DSGVO eröffnet Betroffenen einen Anspruch auf Ersatz materieller und immaterieller Schäden. Ein DSGVO-Verstoß allein führt jedoch nicht automatisch zu einer Zahlung. Erforderlich sind ein Schaden und ein ursächlicher Zusammenhang mit dem Verstoß.

Der Europäische Gerichtshof hat klargestellt, dass für einen immateriellen Schaden keine zusätzliche Erheblichkeitsschwelle verlangt werden darf. Der Bundesgerichtshof hielt 2024 im konkreten Facebook-Scraping-Fall bei einem bloßen und kurzzeitigen Kontrollverlust eine Größenordnung von 100 Euro für rechtlich vertretbar. Das ist kein allgemeiner Pauschalsatz für Datenschutzverletzungen. Die Bewertung hängt vom Einzelfall ab. [7] [8]

Für Unternehmen bleibt dennoch ein Multiplikatoreffekt möglich: Je mehr Personen und Datensätze betroffen sind, desto größer können Prüfungs-, Kommunikations- und Anspruchsrisiken werden.

 

Datenschutzrechtlich verantwortlich ist grundsätzlich das Unternehmen, das über Zwecke und Mittel der Verarbeitung entscheidet. Die Geschäftsleitung trägt die Organisationsverantwortung. Der Datenschutzbeauftragte berät und überwacht, übernimmt aber nicht die Rolle des Verantwortlichen.

Artikel 5 Absatz 2 DSGVO verpflichtet den Verantwortlichen, die Einhaltung der Verarbeitungsgrundsätze nachweisen zu können. Artikel 32 verlangt technische und organisatorische Maßnahmen, die zum jeweiligen Risiko passen. Ein Berechtigungskonzept kann ein wichtiger Teil dieses Nachweissystems sein – allerdings nur, wenn die darin beschriebenen Regeln umgesetzt, geprüft und fortgeschrieben werden. [9]

 

DSGVO und NIS2 verfolgen unterschiedliche Ziele und haben unterschiedliche Anwendungsbereiche. Die DSGVO schützt personenbezogene Daten bei deren Verarbeitung. Das NIS2-Regime adressiert die Cybersicherheit bestimmter Einrichtungen und Dienste. In der Praxis gibt es Überschneidungen, etwa bei Risikomanagement, Zugriffskontrolle, Incident Response und Nachweisführung.

Für das Berechtigungsmanagement bedeutet das: Eine saubere Rechtevergabe kann mehrere Compliance-Ziele unterstützen. Sie ersetzt aber weder eine datenschutzrechtliche Risikobewertung noch ein vollständiges Informationssicherheitsmanagement.

Ein belastbares Berechtigungsmanagement beginnt nicht mit einer neuen Richtlinie, sondern mit Transparenz über die tatsächliche technische Lage.

1. Schutzwürdige Daten und Verantwortliche identifizieren. Legen Sie fest, welche Verzeichnisse personenbezogene Daten, besondere Kategorien personenbezogener Daten oder Geschäftsgeheimnisse enthalten und wer fachlich über Zugriffe entscheidet.
2. Effektive Berechtigungen ermitteln. Berücksichtigen Sie Freigaberechte, NTFS-Rechte, Vererbung, direkte Berechtigungen und verschachtelte Gruppen im Active Directory.
3. Risikoberechtigungen priorisieren. Prüfen Sie insbesondere „Jeder“, „Authentifizierte Benutzer“, „Domänen-Benutzer“, direkte Benutzerrechte, verwaiste SIDs, inaktive Konten und unnötig unterbrochene Vererbungen.
4. Soll-Modell und Genehmigungsweg festlegen. Definieren Sie Rollen, Data Owner, erlaubte Rechte, Ausnahmen sowie Joiner-, Mover- und Leaver-Prozesse.
5. Kontrolliert bereinigen. Änderungen sollten geprüft, nachvollziehbar ausgeführt und mit Ticket, Verantwortlichem und Begründung dokumentiert werden.
6. Wiederkehrend überprüfen. Das Intervall sollte sich nach Schutzbedarf, Änderungshäufigkeit und Risiko richten. Für sensible HR-Bereiche können kürzere Intervalle sinnvoll sein als für stabile, weniger kritische Ablagen.
7. Tatsächliche Zugriffe bei Bedarf separat überwachen. Wenn nachvollzogen werden muss, wer konkrete Dateien geöffnet oder verändert hat, benötigen Sie passende Audit-Einstellungen und eine auswertbare Protokollierung.

Ein einzelnes Dokument macht noch kein wirksames Berechtigungsmanagement. Belastbar wird das System erst, wenn Konzept, technische Umsetzung und Nachweise zusammenpassen. Dazu gehören mindestens:

• klare Rollen und fachliche Verantwortliche für Daten und Ressourcen,
• eine aktuelle Sicht auf effektive Berechtigungen und Gruppenpfade,
• ein definierter Genehmigungs- und Änderungsprozess,
• eine nachvollziehbare Dokumentation durchgeführter Änderungen,
• regelmäßige, risikobasierte Überprüfungen sowie
• ein abgestimmtes Vorgehen für Datenschutz- und Sicherheitsvorfälle.

Im Vorfall ersetzt diese Dokumentation weder die Sachverhaltsklärung noch die Risikobewertung. Sie verhindert aber, dass die IT bei null beginnen und komplexe Berechtigungswege ausschließlich mit Bordmitteln rekonstruieren muss.

Die CARO-Suite unterstützt IT-Teams dabei, effektive Zugriffsrechte in Filesystemen und Microsoft-Infrastrukturen sichtbar zu machen, zu analysieren, kontrolliert zu verändern und automatisiert zu bereinigen. Dazu gehören unter anderem die Anzeige „Wo hat ein Benutzer oder eine Gruppe Zugriff?“, die Analyse direkter und indirekter Berechtigungspfade, Prüfungen auf offene Freigaben und tote SIDs sowie risikobasierte Analyse- und Bereinigungsbausteine.

Berechtigungsänderungen, die über CARO ausgeführt werden, werden im globalen Logbuch nachvollziehbar dokumentiert. Dadurch erhalten Administratoren eine belastbare Sicht auf den aktuellen Berechtigungsstand und die über CARO vorgenommenen Änderungen. Die Protokollierung tatsächlicher Dateiöffnungen ist davon zu unterscheiden und erfordert eine dafür konfigurierte Audit- beziehungsweise Monitoring-Lösung.

Wenn Sie einschätzen möchten, wo Ihr Unternehmen beim Berechtigungsmanagement steht, beginnen Sie mit unserem Zugriffsrechte-Sicherheitscheck. Zehn typische Gefahren führen Sie zu den Fragen, die Sie für Ihre eigene Umgebung beantworten sollten.

Zugriffsrechte-Sicherheitscheck starten

Wenn Sie anschließend effektive Berechtigungen, Gruppenpfade und Auffälligkeiten in Ihrer eigenen Microsoft-Umgebung analysieren möchten, zeigen wir Ihnen die CARO-Suite in einer persönlichen Demo oder einem begleiteten Test.

Nein. Eine fehlerhafte oder unangemessene Berechtigung kann zunächst ein Sicherheits- oder Compliance-Mangel sein. Eine Datenschutzverletzung liegt vor, wenn es beispielsweise zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten kommt. Ob eine Meldung an die Aufsicht erforderlich ist, richtet sich anschließend nach dem Risiko für die Betroffenen. Dokumentiert werden muss die Datenschutzverletzung in jedem Fall. [1] [2]

Die Frist knüpft an die Kenntnis der Datenschutzverletzung an. Deshalb sollten Unternehmen den Zeitpunkt der Kenntnis festhalten, unverzüglich den Sachverhalt klären und die Risikobewertung starten. Kann eine erforderliche Meldung nicht innerhalb von 72 Stunden vollständig erfolgen, erlaubt Artikel 33 eine schrittweise Ergänzung; eine Verzögerung ist zu begründen. [2]

In der Regel nicht. Erst die Verbindung aus Freigaberechten, NTFS-ACLs, Vererbung sowie direkten und verschachtelten Gruppenmitgliedschaften zeigt, welche Berechtigungen für ein Konto effektiv wirksam sind.

Nein. Eine effektive Berechtigung zeigt, dass ein Zugriff technisch möglich ist. Für den Nachweis einer tatsächlichen Dateioperation benötigen Sie geeignete Audit- oder Monitoring-Daten.

Die DSGVO nennt kein festes Monats- oder Quartalsintervall. Das Prüfintervall sollte risikobasiert festgelegt werden. Schutzbedarf, Zahl der Änderungen, Fluktuation, externe Konten und die Kritikalität der Daten sind dabei wesentliche Faktoren.

Nein, eine Garantie gibt es nicht. Wirksame technische und organisatorische Maßnahmen, dokumentierte Zuständigkeiten, schnelle Schadensbegrenzung und die Zusammenarbeit mit der Aufsicht können bei der Bewertung eines Einzelfalls jedoch relevant sein. Entscheidend ist nicht das Papier allein, sondern die nachweisbare Umsetzung.

Hinweis: Dieser Beitrag vermittelt allgemeine technische und organisatorische Informationen und ersetzt keine Rechtsberatung.

[1] DSGVO, Artikel 4 Nr. 12 – Definition der Verletzung des Schutzes personenbezogener Daten:

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679

[2] DSGVO, Artikel 33 und 34 – Dokumentation, Meldung und Benachrichtigung:

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679

[3] Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit: Bußgeld gegen H&M, 1. Oktober 2020:

https://datenschutz-hamburg.de/fileadmin/user_upload/HmbBfDI/Pressemitteilungen/2020/2020-10-01-H_M.pdf

[4] Autoriteit Persoonsgegevens: HagaZiekenhuis – Bußgeld und spätere Reduzierung:

https://www.autoriteitpersoonsgegevens.nl/documenten/boete-hagaziekenhuis

[5] Garrigues: Bericht zum portugiesischen Krankenhausfall:

https://www.garrigues.com/en_GB/garrigues-digital/first-penalties-imposed-under-gdpr-portugal

[6] IBM Deutschland: Cost of a Data Breach Report 2025 – Deutschlandwerte:

https://de.newsroom.ibm.com/2025-07-30-IBM-Studie-Kosten-von-Datenlecks-sinken-in-Deutschland-erstmals-seit-funf-Jahren

[7] EuGH, C-300/21 – Österreichische Post, 4. Mai 2023:

https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-05/cp230072de.pdf

[8] Bundesgerichtshof, VI ZR 10/24, 18. November 2024:

https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2024/2024218.html

[9] DSGVO, Artikel 5, 32 und 83 – Rechenschaft, Sicherheit und Bußgeldkriterien:

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679