Die Datenpanne am Freitagnachmittag

Ein Fall für Einfach Krisenfest.

Ein echter Beratungsfall. Aus meiner Praxis. Details verfremdet.

Kanzlei, 8 Mitarbeiter. Am Freitag, kurz vor 16 Uhr, ruft ein langjähriger Mandant an. Er ist freundlich, aber hörbar irritiert, denn in dem Ordner, über den er seine Unterlagen bekommt, liegen auch die Lohnabrechnungen und Steuerbescheide von drei anderen Unternehmen.

Eine Freigabe war falsch gesetzt. Statt eines einzelnen Mandantenordners war ein übergeordnetes Verzeichnis für jeden mit Link erreichbar, und das seit mehreren Wochen. Wer den Link kannte, konnte alles öffnen. Ob ihn jemand weitergeleitet hatte, ließ sich nicht mehr feststellen.

Was dann folgte, war kein technisches Problem, sondern ein organisatorisches. Die Mitarbeiterin, die die Freigabe eingerichtet hatte, war im Urlaub. Der IT-Dienstleister hatte freitags ab 14 Uhr nur einen Anrufbeantworter, und der Inhaber saß in einem Mandantentermin und erfuhr erst eine Stunde später davon. Danach stellten sich alle dieselben Fragen: Wer sperrt den Zugriff? Müssen wir das melden, und wenn ja, bei wem? Wer spricht mit den betroffenen Mandanten, und was sagen wir ihnen?

Aufgeschrieben waren die Antworten nirgends. Den Zugriff sperrte der Inhaber am Freitagabend schließlich selbst, nach einer Stunde in den Einstellungen. Das Wochenende verbrachte er mit Telefonaten, Recherche und wachsendem Unbehagen, denn die Frist für die Meldung an die Datenschutzbehörde beträgt 72 Stunden und lief seit Freitagnachmittag. Die Meldung ging am Montag raus, wenige Stunden vor Fristende. Die drei betroffenen Mandanten wurden am selben Tag informiert. Einer davon ist heute kein Mandant mehr.

Gemeinsam haben wir danach eine Reaktionskette aufgebaut, die auf eine Seite passt. Sie legt fest, wer bei einem Datenvorfall als Erstes informiert wird, wer den Zugriff sperren darf und kann, wer über die Meldung entscheidet und wer mit den Mandanten spricht. Dazu kamen eine Notfallnummer des IT-Dienstleisters, die auch am Wochenende erreichbar ist, und vorbereitete Textbausteine für Behörde und Mandanten.

Außerdem gibt es jetzt eine feste Regel für Freigaben. Jede läuft nach einer festgelegten Frist automatisch ab, und einmal im Quartal prüft eine benannte Person alle offenen Freigaben. Zweimal im Jahr spielt das Team einen solchen Vorfall in einer halben Stunde durch, einschließlich der Frage, wer gerade im Urlaub ist.

Der nächste Vorfall wird kommen, in dieser Kanzlei wie in jeder anderen. Der Unterschied ist, dass er hier nicht mehr mit der Frage beginnt, wer eigentlich zuständig ist, sondern mit dem ersten Schritt.

Genau dafür ist Einfach Krisenfest da.

Wenn Sie mehr zum Thema Unternehmer-Resilienz wissen möchten – kurze DM genügt.