Was ist Datenexfiltration?
Datenexfiltration ist die unbefugte Übertragung von Informationen aus einem Informationssystem.
Technische Einordnung: Der Begriff beschreibt einen Übertragungsvorgang und ist kein Legalbegriff der DSGVO. Betrifft der Vorgang personenbezogene Daten, kann er jedoch eine „Verletzung des Schutzes personenbezogener Daten“ im Sinne der DSGVO darstellen.
Der Normwortlaut
Normtext: Artikel 4 Nummer 12, Artikel 33 Absatz 1 sowie Artikel 34 Absätze 1 und 3 DSGVO bestimmen Definition, Aufsichtsmeldung und Betroffenenbenachrichtigung:
„‚Verletzung des Schutzes personenbezogener Daten‘ eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust oder zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden;“
„Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.“
„Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.“
„Die Benachrichtigung der betroffenen Person gemäß Absatz 1 ist nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist:
a) der Verantwortliche geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat und diese Vorkehrungen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden, insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung;
b) der Verantwortliche durch nachfolgende Maßnahmen sichergestellt hat, dass das hohe Risiko für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 aller Wahrscheinlichkeit nach nicht mehr besteht;
c) dies mit einem unverhältnismäßigen Aufwand verbunden wäre. In diesem Fall hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.“
Auslegung für diesen Begriff: Diese Regeln gelten nicht für jede technische Datenexfiltration. Sie werden erst relevant, wenn personenbezogene Daten betroffen sind, die DSGVO sachlich und territorial anwendbar ist und eine Verletzung nach Artikel 4 Nummer 12 vorliegt.
Wie ist Datenexfiltration von Zugriff, Verlust und Veröffentlichung abzugrenzen?
Technische Einordnung: Ein unbefugter Zugriff kann ohne Übertragung bleiben und ist dann noch keine Exfiltration. Auch Datenverlust oder eine öffentliche Veröffentlichung sind keine notwendigen Begriffsmerkmale. NIST definiert den Kern als unbefugte Übertragung von Informationen aus einem Informationssystem. Einzelne Übertragungswege sind Beispiele, keine abschließende Definition.
Wann wird eine Exfiltration zur DSGVO-Verletzung?
Rechtliche Einordnung: Erforderlich sind personenbezogene Daten und eine Sicherheitsverletzung, die unter anderem zu deren unbefugter Offenlegung oder zu unbefugtem Zugang führt. Der bloße Datenabfluss genügt für eine automatische Aufsichtsmeldung nicht. Der Verantwortliche muss jede Verletzung des Schutzes personenbezogener Daten nach Artikel 33 Absatz 5 dokumentieren, einschließlich ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen.
Für wen gelten die dargestellten DSGVO-Folgen?
Normgebundene Reichweite: Die Folgen gelten nur im sachlichen und territorialen Anwendungsbereich der Artikel 2 und 3 DSGVO; die Ausnahmen des Artikels 2 Absatz 2 bleiben bestehen. Adressat der Meldung und Benachrichtigung ist der Verantwortliche. Ein Auftragsverarbeiter muss den Verantwortlichen nach Artikel 33 Absatz 2 unverzüglich unterrichten, nachdem ihm eine Verletzung bekannt wurde. Technische Exfiltration kann dagegen jede Datenart und jeden Sektor betreffen.
Welche Fristen und Schwellen gelten?
Normgebundene Antwort: Für Datenexfiltration als technischen Vorgang gibt es weder eine allgemeine Frist noch eine feste Mengenschwelle. Bei einer meldepflichtigen DSGVO-Verletzung meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden; bei einer späteren Meldung muss er die Verzögerung begründen. Die Aufsichtsmeldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Für die unverzügliche Betroffenenbenachrichtigung gilt die höhere Schwelle eines voraussichtlich hohen Risikos. Maßgeblich ist somit die einzelfallbezogene Risikobewertung, nicht die Zahl der Datensätze.
Wann entfällt die Betroffenenbenachrichtigung?
Normgebundene Antwort: Trotz eines voraussichtlich hohen Risikos ist die individuelle Benachrichtigung nicht erforderlich, wenn eine der drei Bedingungen des Artikels 34 Absatz 3 erfüllt ist: wirksame Schutzmaßnahmen haben die Daten für Unbefugte unzugänglich gemacht, nachfolgende Maßnahmen lassen das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr bestehen oder die individuelle Benachrichtigung wäre unverhältnismäßig aufwendig. Im letzten Fall muss stattdessen öffentlich oder durch eine ähnlich wirksame Maßnahme informiert werden. Diese Ausnahmen betreffen ausschließlich die Betroffenenbenachrichtigung und beseitigen nicht automatisch die Aufsichtsmeldung.
Häufige Fehlannahmen
Die folgenden Gleichsetzungen lassen technische und rechtliche Voraussetzungen außer Acht:
- „Datenexfiltration ist immer eine DSGVO-Datenpanne.“ Nein. Die technische Definition umfasst auch Informationen ohne Personenbezug; für die DSGVO-Einordnung müssen deren Anwendungsbereich und Artikel 4 Nummer 12 erfüllt sein.
- „Jede Exfiltration muss der Aufsicht gemeldet werden.“ Nein. Eine Aufsichtsmeldung setzt eine Verletzung personenbezogener Daten voraus und entfällt bei voraussichtlich fehlendem Risiko.
- „Die 72-Stunden-Regel gilt für jeden Datenabfluss.“ Nein. Sie betrifft die Aufsichtsmeldung einer meldepflichtigen DSGVO-Verletzung ab deren Bekanntwerden.
- „Eine geringe Datenmenge schließt die Meldung aus.“ Nein. Die DSGVO nennt hierfür keine feste Mengenschwelle; entscheidend ist das voraussichtliche Risiko.
- „Verschlüsselung beseitigt sämtliche Pflichten.“ Nein. Wirksamer Schutz kann unter den Bedingungen des Artikels 34 Absatz 3 die individuelle Benachrichtigung entfallen lassen, nicht aber automatisch Dokumentation oder Aufsichtsmeldung.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind risikobasierte Empfehlungen; sie werden nicht als zusätzliche gesetzliche Pflichten ausgegeben.
- Einen dokumentierten und regelmäßig geübten Prozess für Erkennung, Eindämmung, Beweissicherung, Bewertung und Eskalation möglicher Datenabflüsse veranlassen.
- Zuständigkeiten und interne Meldewege so festlegen, dass der Zeitpunkt des Bekanntwerdens, betroffene Daten, Auswirkungen und Abhilfemaßnahmen nachvollziehbar dokumentiert werden.
- Bei möglichem Personenbezug unverzüglich prüfen lassen, ob Artikel 4 Nummer 12 erfüllt ist und welche Risikoschwelle nach Artikel 33 beziehungsweise 34 erreicht wird.
- Risikogerechte technische und organisatorische Maßnahmen unter Berücksichtigung von Risiko, Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung etablieren und überprüfen.
- Aufsichtsmeldung und Betroffeneninformation nur nach der jeweiligen Prüfung auslösen, dabei Fristen, Begründung einer Verzögerung und sämtliche Ausnahmen vollständig dokumentieren.
Für die Geschäftsleitung
Datenexfiltration ist zunächst ein technischer Vorgang mit potenziell jeder Datenart. Die zentrale Entscheidung lautet, ob personenbezogene Daten und eine DSGVO-Verletzung vorliegen und welches voraussichtliche Risiko besteht. Nachweisbar sein sollten der Incident-Response-Ablauf, der Zeitpunkt des Bekanntwerdens, die Einzelfallbewertung, getroffene Schutz- und Abhilfemaßnahmen, die Dokumentation jeder Verletzung des Schutzes personenbezogener Daten sowie die begründeten Entscheidungen über Aufsichtsmeldung und Betroffenenbenachrichtigung.
Quellen
- DSGVO – amtlicher Text bei EUR-Lex, insbesondere Artikel 2 bis 4, 24 und 32 bis 34.
- NIST SP 800-53 Rev. 5 Update 1 – Security and Privacy Controls for Information Systems and Organizations, Glossar „Exfiltration“.
- NIST SP 800-61 Rev. 3 – Incident Response Recommendations and Considerations.
