Eine Kanzlei. Acht Mitarbeiter. Digitale Akte seit Jahren. Alles in der Cloud. Alles praktisch. Alles schnell.

Ein Fall für Einfach Krisenfest. Ein echter Beratungsfall. Aus meiner Praxis. Details verfremdet.

Eine Kanzlei. Acht Mitarbeiter. Digitale Akte seit Jahren. Alles in der Cloud. Alles praktisch. Alles schnell.

Bis ein Mandant anruft und fragt warum seine vertraulichen Unterlagen auf einer öffentlich zugänglichen Seite auftauchen.

Was dann folgt ist kein Hackerangriff im klassischen Sinn. Kein Einbruch. Kein Ransomware-Angriff. Kein externer Angreifer der sich durch Firewalls gekämpft hat. Es ist etwas unspektakuläreres und in gewisser Weise Erschreckenderes: eine falsch konfigurierte Cloud-Umgebung. Ein Ordner der für interne Zusammenarbeit freigegeben wurde und dabei versehentlich öffentlich zugänglich gemacht wurde. Mandantendaten. Verträge. Korrespondenz.

Niemand hat es absichtlich getan. Niemand hat es bemerkt. Bis der Mandant angerufen hat.

Was in den folgenden Stunden passiert ist kein technisches Problem. Es ist ein Kommunikationsproblem. Die Kanzlei weiß nicht welche Daten betroffen sind. Sie weiß nicht seit wann die Freigabe besteht. Sie weiß nicht wer möglicherweise Zugang hatte. Und sie weiß nicht ob und wann sie die Datenschutzbehörde informieren muss – obwohl die Meldepflicht im Zweifel innerhalb von zweiundsiebzig Stunden greift.

Das ist der Moment in dem eine technische Unachtsamkeit zu einem rechtlichen Problem wird.

Was diesen Fall besonders beschäftigt hat ist nicht die Konfigurationsfehler selbst. Der passiert. In kleinen Kanzleien genauso wie in großen Unternehmen. Was den Schaden vergrößert hat ist das Fehlen von drei Dingen die den Schaden begrenzt hätten.

Erstens ein einfaches Zugriffsprotokoll das regelmäßig geprüft wird – wer hat Zugang zu welchem Ordner und mit welchen Rechten. Zweitens ein klarer interner Prozess für den Fall einer Datenpanne – wer wird sofort informiert wer entscheidet ob eine Meldepflicht besteht. Drittens eine dokumentierte Übersicht über die Cloud-Konfiguration die auch jemand anderes als der ursprüngliche Einrichter verstehen kann.

Keines dieser drei Dinge ist technisch komplex. Alle drei brauchen einen Nachmittag zur Erstellung und eine regelmäßige Überprüfung die mit einem Kalendereintrag gesichert werden kann.

Seine Aussage danach: Wir haben die Cloud als Lösung gesehen. Wir haben nie darüber nachgedacht dass sie auch ein Risiko ist wenn niemand versteht wie sie konfiguriert ist.

Genau dafür ist Einfach Krisenfest da.

Wenn Sie mehr zum Thema Unternehmer-Resilienz wissen möchten – kurze DM genügt.