Die sächsische Datenschutzbehörde hat am 17. August mitgeteilt, dass sie in den Monaten Juli und August auffällig viele Meldungen über Datenpannen erhalten hat — Ursache waren gehackte Websites. Betroffen waren nicht Konzerne, sondern ausdrücklich Schulen, Vereine sowie kleine und mittlere Unternehmen.
Für uns hat diese Meldung einen besonderen Beigeschmack. Unter den genannten Schwachstellen steht CVE-2026-48907 — genau die Joomla-Lücke, über die wir einen Tag zuvor geschrieben haben. Eine Aufsichtsbehörde bestätigt damit unabhängig, was wir beschrieben hatten: Diese Lücken werden nicht theoretisch ausgenutzt, sondern führen zu echten Vorfällen bei kleinen Organisationen.
Und damit stellt sich eine Frage, die in keiner Anleitung zur Bereinigung vorkommt.
Ein Hack ist nicht nur ein technisches Problem
Wenn eine Website übernommen wird, denkt man an Schadcode, an Wiederherstellung, an neue Passwörter. Das ist richtig und dringend — unsere Erste Hilfe bei gehackten Websites beschreibt genau das.
Sobald aber Personendaten betroffen sein könnten, entsteht daneben eine zweite Ebene. Und Personendaten sind schneller im Spiel, als man denkt: Kontaktformular-Einträge, Newsletter-Adressen, Kundenkonten, Bestellungen, Kommentare mit Namen und E-Mail-Adresse. Wer auf seiner Website irgendetwas davon hat, sollte weiterlesen.
Vorweg, damit es klar ist: Wir sind Hoster, keine Anwälte. Dieser Beitrag erklärt, wie das Gesetz aufgebaut ist und wo die Regeln stehen. Die Beurteilung eines konkreten Falls gehört zu jemandem mit juristischer Zulassung.
Die 72 Stunden gelten hier nicht
Das ist der Punkt, an dem die meisten Ratgeber danebenliegen. Sie nennen eine Frist von 72 Stunden — die stammt aus der europäischen Datenschutz-Grundverordnung.
Das Schweizer Datenschutzgesetz kennt diese Frist nicht. Artikel 24 verlangt, dass nach Kenntnisnahme «so rasch als möglich» gemeldet wird. Keine Stundenzahl, kein fester Termin.
Wer das als Entlastung liest, versteht es falsch. Der Leitfaden des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten sagt ausdrücklich, dass man längere Abklärungen nicht abwarten darf. Wenn erkennbar ist, dass ein hohes Risiko voraussichtlich besteht, und sich das nicht in kurzer Zeit mit Gewissheit klären lässt, ist zu melden. Die Schweizer Regel ist also nicht lockerer als die 72 Stunden — je nach Lage kann sie deutlich strenger sein.
Nicht jeder Einbruch muss gemeldet werden
Meldepflichtig ist eine Verletzung, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen führt. Das ist eine Schwelle, und sie ist nicht bei jedem Vorfall überschritten.
Der Leitfaden nennt die Kriterien. Einige davon sind für Website-Betreiber unmittelbar praktisch:
Wirksam verschlüsselte Daten lösen keine Meldepflicht aus. Sie gelten für alle ohne Schlüssel als anonym. Nur pseudonymisierte Daten dagegen schon — sie bleiben Personendaten. Diese Unterscheidung wird oft verwischt, macht aber den ganzen Unterschied.
Waren die Daten ohnehin schon öffentlich, ist das Risiko in der Regel nicht hoch. Ein Impressum, das kopiert wurde, ist kein Meldefall.
Wie leicht sich Personen bestimmen lassen, zählt mit. Eine reine Kundennummer ist harmloser als sprechende Adressen nach dem Muster vorname.name@firma.ch.
Sensible Daten wiegen schwer. Gesundheitsdaten, biometrische Daten, aber auch Kopien von Ausweisen oder Kreditkartenangaben führen meist zu einem hohen Risiko.
Eine grosse Zahl Betroffener allein genügt nicht. Sie kann aber ein öffentliches Interesse begründen — weshalb in solchen Fällen oft freiwillig gemeldet wird.
Wer meldet — und hier wird es für uns konkret
Jetzt der Teil, den fast alle falsch annehmen. Viele gehen davon aus, dass der Hoster den Vorfall den Behörden meldet, weil bei ihm die Server stehen.
Genau umgekehrt. Das Gesetz unterscheidet zwei Rollen. Der Verantwortliche — das ist der Website-Betreiber, also Sie — entscheidet, wozu die Daten bearbeitet werden. Der Auftragsbearbeiter — das sind wir — betreibt die Technik in seinem Auftrag.
Melden muss der Verantwortliche. Die Meldung an den Datenschutzbeauftragten kann Ihnen niemand abnehmen, auch wir nicht.
Unsere Pflicht ist eine andere, und sie ist strenger, als viele denken: Der Auftragsbearbeiter muss den Verantwortlichen über jede Verletzung der Datensicherheit informieren. Ausdrücklich unabhängig davon, ob ein hohes Risiko vorliegt. Für uns gibt es keine Abwägung «das war wohl harmlos, das muss man nicht weitergeben» — diese Beurteilung steht uns gar nicht zu.
Was das bei uns heisst
Damit Sie wissen, woran Sie sind:
Wenn wir auf einer Website in unserem Hosting einen Einbruch feststellen, sagen wir es Ihnen. Immer, auch wenn es nach wenig aussieht, und ohne vorher abzuwägen, ob es für Sie meldepflichtig sein könnte. Diese Abwägung ist Ihre, und Sie können sie nur treffen, wenn Sie es erfahren.
Wir sagen Ihnen dabei, was wir gesehen haben — wann, auf welchem Weg, welche Bereiche betroffen waren, was wir unternommen haben. Genau die Angaben brauchen Sie für Ihre eigene Beurteilung.
Was wir nicht tun: für Sie entscheiden, ob Sie melden. Das wäre eine Rechtsauskunft, und die dürfen wir nicht geben.
Es sind zwei Pflichten, nicht eine
Die Meldung an den Datenschutzbeauftragten ist die eine Sache. Daneben steht die Information der betroffenen Personen — und die ist von der ersten unabhängig.
Sie greift, wenn die Betroffenen selbst etwas tun müssen, um Schaden abzuwenden. Ein Passwort ändern zum Beispiel. Eine Karte sperren. Auf Phishing-Mails achten, die mit den erbeuteten Daten glaubwürdiger werden.
Genau das ist der Normalfall nach einem Website-Einbruch. Es kann also gut sein, dass eine Meldung an den Beauftragten nicht nötig ist, die Information Ihrer Kundschaft aber sehr wohl. Sie muss in einfacher, verständlicher Sprache erfolgen und mindestens enthalten: was passiert ist, welche Folgen das hat, was Sie dagegen unternommen haben — und eine Ansprechperson mit Kontaktdaten.
Was passiert, wenn man es nicht meldet
Auch hier wird oft mit Bussen argumentiert, die es so nicht gibt. Der Leitfaden ist eindeutig: Die Missachtung der Meldepflicht selbst ist nach dem Datenschutzgesetz nicht strafbewehrt. Der Beauftragte kann die Meldung nachträglich anordnen, wenn er anderweitig vom Vorfall erfährt.
Strafrechtlich heikel wird es an einer anderen Stelle — nämlich dann, wenn die Mindestanforderungen an die Datensicherheit nicht eingehalten wurden. Also bei dem, was vor dem Einbruch versäumt wurde.
Das ist die eigentliche Botschaft dieses Beitrags: Nicht die Meldung ist das Risiko, sondern der ungepatchte Server dahinter. Wie unbequem dieser Satz ist, haben wir uns heute selbst vorgehalten — mit offengelegten Zahlen aus unserem eigenen Bestand.
Und noch etwas, das dem Melden die Angst nimmt: Eine Meldung darf in einem Strafverfahren nicht ohne Ihr Einverständnis verwendet werden. Wer meldet, belastet sich damit nicht selbst.
Was Sie jetzt tun können
Der ungünstigste Zeitpunkt, sich das anzueignen, ist der Tag des Vorfalls. Drei Dinge lassen sich vorher klären:
Wissen, welche Personendaten Ihre Website überhaupt führt. Formulareinträge, Newsletter-Liste, Kundenkonten, Kommentare. Wer das im Ernstfall erst herausfinden muss, verliert genau die Zeit, die «so rasch als möglich» meint.
Festlegen, wer bei Ihnen entscheidet. Die Beurteilung braucht jemanden mit Entscheidungsbefugnis — nicht die Person, die zufällig als Erste die Meldung von uns liest.
Das Meldeportal einmal ansehen. Der Beauftragte betreibt unter dem Namen DataBreach ein Formular, das durch die nötigen Angaben führt, den Meldezeitpunkt bestätigt und Nachmeldungen erlaubt. Es zu kennen, bevor man es braucht, spart im Ernstfall Stunden.
Nicht zu verwechseln mit der anderen Meldepflicht
Wir haben vor wenigen Tagen über den Cyber Resilience Act geschrieben — auch dort geht es um Meldefristen, dort sogar um 24 und 72 Stunden.
Das sind zwei verschiedene Dinge. Der Cyber Resilience Act betrifft Hersteller von Produkten mit digitalen Elementen und meldet an eine europäische Stelle. Das Datenschutzgesetz betrifft jeden, der Personendaten bearbeitet und meldet an den Beauftragten in Bern. Wer beides in einen Topf wirft, wendet die falsche Frist an.
Wenn Sie unsicher sind, welche Regeln für Ihren Betrieb gelten, schauen wir uns die technische Seite gerne an — und sagen Ihnen offen, wo die Frage juristisch wird.