Die Datenpannen-Übung: 60 Minuten, die im Ernstfall Tage sparen

Ein Ingenieurbüro mit 18 Mitarbeitern, Montagmorgen. Die Projektleiterin meldet sich aus dem ICE: Ihr Dienstlaptop ist weg, vermutlich beim Umsteigen in Stuttgart liegen geblieben. Darauf: Angebote, Kundenkorrespondenz, eine lokale Kopie der Personalliste. Ob die Festplatte verschlüsselt war, weiß sie nicht genau. Der Geschäftsführer ist im Kundentermin, die IT betreut ein externer Dienstleister, dessen Nummer „irgendwo im Outlook“ steht. Bis jemand entscheidet, ob das eine meldepflichtige Datenpanne ist, ist es Mittwoch.

Niemand hat hier etwas Böses getan. Es fehlte nur eine Probe.

Warum der Notfallordner allein nicht hilft

Viele Betriebe haben irgendwo einen Notfallplan. Oft wurde er einmal geschrieben, abgeheftet und nie wieder angefasst. Dazu kommt die übliche Ansage: „Passt halt auf eure Geräte auf.“ Das ist Verhinderungskultur. Sie setzt darauf, dass nichts passiert. Und wenn doch, wird zuerst gefragt, wer schuld ist.

Das Problem: Im Ernstfall liest niemand einen Ordner. Menschen tun unter Druck das, was sie schon einmal gemacht haben. Und Fehler, für die man Ärger fürchtet, werden spät gemeldet. Genau das kostet Zeit, denn die 72-Stunden-Frist für die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO läuft ab Kenntnis der Panne, auch übers Wochenende. Daran ändert die EU-Debatte vorerst nichts: Der Rat hat sich am 21. Oktober 2026 im Rahmen des Digital Omnibus für 96 Stunden und eine Meldepflicht nur bei hohem Risiko ausgesprochen. Das ist aber nur seine Verhandlungsposition, das Parlament hat sich noch nicht festgelegt. Bis zu einer Einigung gelten die 72 Stunden.

Die aktive Alternative ist unspektakulär: einmal üben. Am Tisch, mit Kaffee, ohne Technik. Fachleute nennen das Tabletop-Übung oder Planspiel.

So läuft die 60-Minuten-Übung ab

Vorbereitung (etwa 30 Minuten, einmalig): Wählen Sie ein Szenario, das zu Ihrem Betrieb passt. Zwei bewährte Klassiker sind der verlorene Laptop im Zug und Ransomware am Montagmorgen, wenn alle Bildschirme eine Lösegeldforderung zeigen. Laden Sie vier bis sechs Personen ein: Geschäftsführung, jemand aus der Verwaltung, eine Person mit IT-Bezug, gern auch Ihren Datenschutzbeauftragten. Eine Person moderiert. Sie liest die Lage vor und streut nach und nach neue Informationen ein.

Phase 1, Entdeckung (10 Minuten): Wer bemerkt den Vorfall zuerst, und was tut diese Person in den ersten fünf Minuten? Wen ruft sie an? Ist die Nummer griffbereit, auch wenn der Rechner nicht funktioniert?

Phase 2, Einschätzung (15 Minuten): Wer entscheidet, ob ein Datenschutzvorfall vorliegt? Welche Daten sind betroffen? War der Laptop verschlüsselt, lässt er sich aus der Ferne sperren? Bei Ransomware: Sind Daten nur blockiert oder womöglich abgeflossen?

Phase 3, Melden und Informieren (15 Minuten): Wer meldet an die Aufsichtsbehörde, über welchen Weg, bis wann? Müssen Betroffene informiert werden (Art. 34 DSGVO)? Wer ruft die Cyberversicherung an, und verlangt sie bestimmte Schritte, bevor der IT-Dienstleister loslegt? Wer spricht mit Kunden, falls die nachfragen?

Phase 4, Nachbereitung (20 Minuten): Was hat gefehlt? Halten Sie jede Lücke als konkrete Aufgabe fest, mit Namen und Datum.

Typische Erkenntnisse aus solchen Runden: Die Vertretung der Geschäftsführung ist nicht geregelt. Die Nummer des IT-Dienstleisters steht nur im E-Mail-Programm, das gerade nicht läuft. Niemand weiß, ob die Versicherung eine Notfall-Hotline hat. Das alles lässt sich in einer Woche beheben.

Was der Betrieb danach konkret tut

Notfallkarte aushängen (Aufwand: 30 Minuten). Das BSI stellt eine IT-Notfallkarte „Verhalten bei IT-Notfällen“ bereit, gedacht wie der Aushang „Verhalten im Brandfall“. Darauf steht, wen man anruft und was man meldet. Das BSI empfiehlt, sie an zentralen Stellen auszuhängen, etwa in Fluren, Arbeitsräumen und an IT-Arbeitsplätzen.

Kontakte auf Papier (Aufwand: 15 Minuten). Das BSI rät in seinen Ransomware-Empfehlungen, wichtige Telefonnummern und Ansprechpartner offline vorzuhalten. Also: Aufsichtsbehörde, IT-Dienstleister, Versicherung, Datenschutzbeauftragter und Vertretungen auf einem Blatt im Schrank und zusätzlich im Diensthandy.

Notfallplan überarbeiten (Aufwand: etwa eine Stunde). Die Erkenntnisse aus der Übung fließen in einen Plan auf ein bis zwei Seiten. Kürzer ist besser.

Fehlerkultur aussprechen (Aufwand: ein Satz in der nächsten Teambesprechung). „Wer einen Fehler sofort meldet, bekommt keinen Ärger.“ Das ist der schnellste Weg, die 72 Stunden nicht zu verschenken.

Nächsten Termin festlegen. Einmal im Jahr mit wechselndem Szenario ist für die meisten KMU ein guter Rhythmus.

Was die DSGVO dazu sagt

Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit Ihrer technischen und organisatorischen Maßnahmen. Eine dokumentierte Übung ist genau das. Nach Art. 5 Abs. 2 (Rechenschaftspflicht) müssen Sie zudem nachweisen können, dass Ihre Maßnahmen funktionieren. Ein kurzes Protokoll mit Datum, Teilnehmern und Ergebnissen ist dafür ein guter Beleg. Und Art. 33 Abs. 5 verlangt, jede Panne intern zu dokumentieren, auch die, die Sie nicht melden müssen. Wer geübt hat, weiß, wo diese Dokumentation hingehört.

In dieser Reihe zeige ich, wie Betriebe Datenpannen aktiv vermeiden, statt nur Verbote auszusprechen. Die Übung ist der Baustein, der die anderen zusammenhält.

Fazit

Eine Stunde am Tisch ersetzt keinen IT-Sicherheitsdienstleister. Aber sie zeigt Ihnen ehrlich, wo Ihr Notfallplan hakt, solange es noch nichts kostet. Das Ergebnis ist ein Plan, den Ihre Leute kennen, weil sie ihn einmal selbst durchgespielt haben. Wenn Sie die erste Übung nicht allein moderieren möchten: Im kostenlosen Erstgespräch schauen wir gemeinsam, welches Szenario zu Ihrem Betrieb passt.

Stand: November 2026.