Was tun bei einem Datenleck? Datenschutzverletzungen richtig behandeln, melden und rechtlich bewerten | Taiwan, DSGVO, USA und Japan

Rechtlicher Hinweis: Die folgenden Inhalte wurden auf Grundlage der bis August 2026 verfügbaren Gesetze, behördlichen Leitlinien und öffentlich zugänglichen Informationen zusammengestellt. Sie dienen als allgemeine Information für einen Blog und ersetzen keine rechtliche Beratung in einem konkreten Einzelfall. Die Datenschutz- und Cybersicherheitsvorschriften in Taiwan, den USA, der EU und Japan können sich im Laufe der Zeit ändern. Darüber hinaus können in den einzelnen US-Bundesstaaten, bestimmten Branchen sowie in einzelnen EU-Mitgliedstaaten zusätzliche Vorschriften gelten. Bei einem konkreten Vorfall sind insbesondere der Aufenthaltsort der betroffenen Person, der Geschäftssitz des Unternehmens, die Branche, die Art der Datenverarbeitung sowie die zum Zeitpunkt des Vorfalls geltenden Rechtsvorschriften zu berücksichtigen.

Ein Verlust personenbezogener Daten ist längst mehr als nur „ein Hacker hat die Daten gestohlen“.

Eine versehentlich falsch adressierte E-Mail, ein falsch konfigurierter Cloud-Ordner, ein nicht deaktiviertes Benutzerkonto eines ausgeschiedenen Mitarbeiters, eine öffentlich zugängliche API, eine in einem gemeinsam genutzten Ordner abgelegte Kundenservice-Aufzeichnung oder sogar eine Datei mit personenbezogenen Daten, die von einem Mitarbeiter versehentlich an den falschen Empfänger gesendet wird – all dies kann zu einem Verlust oder einer Offenlegung personenbezogener Daten führen.

Für Privatpersonen besteht das eigentliche Problem häufig nicht einmal darin, dass „jemand die Daten gesehen hat“, sondern in den möglichen Folgerisiken, die nach einer Datenpanne entstehen können:

• Gezielte Betrugsversuche
• Übernahme von Benutzerkonten
• Missbrauch von Kreditkarten
• Identitätsmissbrauch
• Verlust der Privatsphäre und Rufschädigung
• Finanzielle Verluste
• Langfristige Belästigung

Für Unternehmen ist die Situation noch komplexer. Nach einem Verlust oder einer Offenlegung personenbezogener Daten geht es nicht nur darum, die Sicherheitslücke zu schließen. Es können auch folgende Maßnahmen und rechtliche Aspekte betroffen sein:

• Incident Response
• Digitale Forensik
• Datenschutzrecht
• Meldung an die zuständigen Aufsichtsbehörden
• Benachrichtigung der betroffenen Personen
• Zivilrechtliche Schadensersatzansprüche
• Verwaltungsrechtliche Sanktionen
• Strafrechtliche Verantwortung
• DSGVO (GDPR)
• Datenschutzverletzungsgesetze der einzelnen US-Bundesstaaten
• Japans APPI
• Branchenspezifische Vorschriften, beispielsweise für Finanzwesen, Gesundheitswesen oder börsennotierte Unternehmen

Die wirklich wichtige Frage lautet daher nicht: „Wird es zu einem Verlust personenbezogener Daten kommen?“, sondern:

Wenn es tatsächlich passiert – weiß ich dann, was ich tun muss?

Nach einer Datenpanne: Merken Sie sich diese 5 Dinge

Wenn Sie gerade erst eine Benachrichtigung erhalten haben, dass „Ihre personenbezogenen Daten möglicherweise offengelegt wurden“, müssen Sie nicht unbedingt zuerst den gesamten Artikel lesen.

Merken Sie sich zunächst diese 5 Punkte:

1. Prüfen Sie zunächst, welche Daten tatsächlich betroffen und offengelegt wurden.
2. Wenn Ihr Passwort möglicherweise kompromittiert wurde, ändern Sie es sofort und verwenden Sie es nicht weiterhin für mehrere Dienste.
3. Wenn Finanzdaten betroffen sind, kontaktieren Sie unverzüglich Ihre Bank oder Ihr Kreditkartenunternehmen über die offiziellen Kontaktwege.
4. Glauben Sie nicht allein deshalb, dass jemand ein echter Kundenservice-Mitarbeiter ist, weil die Person Ihren Namen, Ihre Adresse, Ihre Bestellung oder Ihren Zahlungsbetrag kennt.
5. Bewahren Sie die Benachrichtigung über die Datenpanne, Transaktionsaufzeichnungen, SMS, E-Mails, Kundenservice-Kommunikation und andere Beweismittel auf.

Danach sollten Sie abhängig von der Art der betroffenen Daten und den Umständen des Vorfalls entscheiden, ob eine Anzeige bei der Polizei, eine Beschwerde, die Geltendmachung von Schadensersatz oder andere rechtliche Schritte erforderlich sind.

I. Was sind „personenbezogene Daten“? Es geht nicht nur um die Personalausweisnummer

Nach dem taiwanischen Datenschutzgesetz sind personenbezogene Daten nicht auf die nationale Personalausweisnummer beschränkt.

Sobald Daten eine bestimmte natürliche Person direkt oder indirekt identifizieren können, können sie als personenbezogene Daten gelten. Dazu gehören beispielsweise Name, Geburtsdatum, nationale Personalausweisnummer, Passnummer, Kontaktdaten, finanzielle Verhältnisse, Bildungs- und Berufsdaten, Krankenakten, medizinische Daten, genetische Daten, Gesundheitsuntersuchungen, Vorstrafen sowie Informationen über soziale Aktivitäten.

Mit anderen Worten:

Personenbezogene Daten müssen eine Person nicht zwangsläufig bereits allein identifizieren können. Auch wenn mehrere Daten miteinander kombiniert werden und dadurch eine bestimmte Person direkt oder indirekt identifiziert werden kann, können diese Daten dem Schutz des Datenschutzrechts unterliegen.

Zum Beispiel:

• Name
• Telefonnummer
• E-Mail-Adresse
• Wohnadresse
• Bestelldaten
• Mitgliedsnummer
• Kauf- und Transaktionshistorie
• IP-Adresse
• Geräteinformationen

Ob diese Daten tatsächlich als personenbezogene Daten einzustufen sind, hängt weiterhin von den konkreten Umständen und davon ab, ob eine bestimmte Person direkt oder indirekt identifiziert werden kann.

Häufig vorkommende personenbezogene Daten lassen sich vereinfacht in folgende Kategorien einteilen:

1. Grundlegende Identifikationsdaten: Name, Geburtsdatum, Personalausweisnummer, Passnummer, Foto.
2. Kontaktdaten: Mobiltelefonnummer, Adresse, E-Mail-Adresse, LINE-ID.
3. Konto- und Netzwerkdaten: Benutzername, Passwort, Anmeldeprotokolle, IP-Adresse, Geräteinformationen.
4. Transaktionsdaten: Bestellungen, gekaufte Artikel, Zahlungsmethode, teilweise sichtbare Kreditkartennummer.
5. Finanzdaten: Bankkonto, Einkommen, Kredite, Bonitätsinformationen.
6. Beschäftigungs- oder Bildungsdaten: Unternehmen, Position, Schule, Lebenslauf, Mitarbeiter-ID.
7. Daten mit besonders hohem Sensibilitätsgrad: Krankenakten, medizinische Daten, genetische Daten, Gesundheitsuntersuchungen, Vorstrafen und ähnliche Informationen.

Nach dem taiwanischen Datenschutzgesetz gelten für Daten wie Krankenakten, medizinische Daten, genetische Daten, Informationen über das Sexualleben, Gesundheitsuntersuchungen und Vorstrafen strengere Vorschriften.

⚠️ Je vollständiger die Daten sind, desto höher ist nicht zwangsläufig der bereits eingetretene Schaden. In der Regel steigt jedoch das Risiko für gezielten Betrug, Identitätsmissbrauch und andere Formen des Missbrauchs.

Ob lediglich Name und E-Mail-Adresse oder gleichzeitig Name, Personalausweisnummer, Adresse, Mobiltelefonnummer, Bankkonto und Kaufhistorie offengelegt wurden, macht hinsichtlich des Risikos einen erheblichen Unterschied.

Im letzteren Fall können sich Kriminelle leichter als Bank, Onlinehändler, Krankenhaus oder Behörde ausgeben. Sie können sogar Ihre tatsächlichen Bestell- und Kaufinformationen nennen, um Ihr Misstrauen zu verringern.

II. Welche Probleme können nach einem Verlust personenbezogener Daten auftreten?

Ein Verlust personenbezogener Daten bedeutet nicht, dass „in der nächsten Sekunde garantiert Geld gestohlen wird“.

Häufiger ist es, dass Angreifer die offengelegten Daten zunächst dazu verwenden, Vertrauen aufzubauen, und das Opfer anschließend dazu bringen, eine gefährliche Handlung selbst auszuführen.

1. 📱 Gezielter Betrug und Phishing-Nachrichten

Das häufigste Folgerisiko besteht nicht unbedingt darin, dass ein Konto sofort übernommen wird. Viel häufiger erhält man einen betrügerischen Anruf von jemandem, der „erstaunlich viele persönliche Details“ kennt.

Die betreffende Person könnte beispielsweise Folgendes wissen:

• Ihren Namen
• Ihre Telefonnummer
• Ihre Bestellung
• Das von Ihnen gekaufte Produkt
• Ihre Hotelbuchungsdaten
• Den Namen Ihrer Bank
• Den Zahlungsbetrag

Anschließend wird beispielsweise mit folgenden Behauptungen gearbeitet:

• „Ihre Bestellung wurde doppelt belastet.“
• „Bei Ihrem Mitgliedschafts-Upgrade ist ein Fehler aufgetreten.“
• „Die Rückerstattung ist fehlgeschlagen.“
• „Ihre Kreditkarte muss erneut verifiziert werden.“

Unter solchen Vorwänden werden Sie aufgefordert, Ihr Online-Banking oder einen Geldautomaten zu bedienen oder auf eine gefälschte Website zu klicken und dort Kreditkarten- oder Kontodaten einzugeben.

Daher gilt:

„Dass jemand meine persönlichen Daten kennt“ bedeutet nicht, dass „diese Person tatsächlich von der offiziellen Stelle stammt“.

Wenn Sie einen verdächtigen Anruf, eine SMS oder eine E-Mail erhalten, sollten Sie die offizielle Website des betreffenden Unternehmens oder die offizielle Telefonnummer Ihrer Bank selbstständig suchen. Verwenden Sie nicht einfach die Kontaktdaten, die Ihnen die andere Person nennt.

2. 🔑 Übernahme von Benutzerkonten

Wenn die offengelegten Daten Benutzername und Passwort enthalten und Sie dasselbe Passwort auch auf anderen Websites verwenden, können Angreifer sogenannte „Credential-Stuffing-Angriffe“ durchführen.

Bei einem Credential-Stuffing-Angriff werden bereits bekannt gewordene Kombinationen aus Benutzername und Passwort verwendet, um sich bei anderen Websites und Diensten anzumelden.

Zum Beispiel:

E-Mail: [email protected]
Passwort: 12345678

Wenn dasselbe Passwort gleichzeitig für folgende Dienste verwendet wird:

• Gmail
• Facebook
• Online-Shopping-Websites
• Cloud-Speicher
• Unternehmenssysteme

dann kann eine Datenpanne bei einer einzigen Plattform möglicherweise auch andere Konten in Mitleidenschaft ziehen.

Die Wiederverwendung desselben Passworts kann man sich vorstellen wie:

Mit demselben Schlüssel die Haustür, das Büro und den Safe zu öffnen.

Sobald dieser eine Schlüssel gestohlen wird, können auch die anderen Orte gefährdet sein.

3. 💳 Kreditkartenmissbrauch oder finanzielle Verluste

Wenn Kreditkartennummer, Gültigkeitsdatum, Sicherheitscode, Zugangsdaten zum Online-Banking oder andere Authentifizierungsinformationen in die Hände Unbefugter gelangen, kann es zu Folgendem kommen:

• Kreditkartenmissbrauch
• Unbefugte Verknüpfung mit mobilen Bezahldiensten
• Versuche, sich in ein Bankkonto einzuloggen
• Missbrauch eines Kontos

Aber beachten Sie:

Die Offenlegung von Finanzdaten bedeutet nicht automatisch, dass es zu Kreditkartenmissbrauch oder einem Verlust auf dem Bankkonto kommt.

Das tatsächliche Risiko hängt unter anderem davon ab, welche Daten der Angreifer erlangt hat, welche Authentifizierungsmechanismen die Bank oder Zahlungsplattform verwendet und ob die Daten tatsächlich missbräuchlich eingesetzt werden.

Selbst wenn lediglich Name, Telefonnummer und Bestellinformationen offengelegt wurden, sollte man die Situation nicht auf die leichte Schulter nehmen.

Denn Betrüger können zunächst echte Informationen verwenden, um Vertrauen aufzubauen, und das Opfer anschließend dazu bringen, selbst folgende Informationen preiszugeben:

• OTP-Verifizierungscode
• Kreditkarten-Sicherheitscode
• Passwort für das Online-Banking
• Informationen zur Identitätsprüfung

4. 🪪 Identitätsmissbrauch

Nach dem Verlust oder der Offenlegung einer Kopie des Personalausweises, eines Reisepasses, der nationalen Krankenversicherungskarte, von Informationen im Zusammenhang mit dem Bürgerzertifikat oder anderer identitätsbezogener Daten können diese Informationen beispielsweise dazu verwendet werden, den Abschluss oder die Beantragung folgender Leistungen und Dienste zu versuchen:

• Benutzerkonten
• Mobilfunkanschlüsse
• Digitale bzw. virtuelle Dienste
• Finanzdienstleistungen
• Andere Dienste, die eine Identitätsprüfung erfordern

Ob ein solcher Identitätsmissbrauch tatsächlich erfolgreich ist, hängt weiterhin von den Identitätsprüfungs- und Authentifizierungsverfahren der jeweiligen Institution ab.

Daher ist die folgende Aussage nicht ganz präzise:

„Wenn meine Personalausweisdaten offengelegt wurden, werden sie garantiert missbraucht.“

Präziser ist vielmehr:

Je vollständiger die offengelegten Daten sind, desto höher ist in der Regel das potenzielle Risiko eines Identitätsmissbrauchs.

5. 🧠 Psychische Belastung und Rufschädigung

Wenn folgende Informationen offengelegt wurden:

• medizinische Unterlagen
• Gesundheitsinformationen
• private Kontaktdaten
• Arbeits- oder Leistungsbeurteilungen
• familiäre Informationen
• andere sensible Informationen

kann dies unter anderem zu Folgendem führen:

• Angst und Sorgen
• Belästigung
• Rufschädigung
• Beeinträchtigung zwischenmenschlicher Beziehungen
• Auswirkungen auf das Berufsleben
• Verletzung der Privatsphäre

Das Datenschutzrecht befasst sich nicht nur mit Fällen, in denen jemand „um Geld betrogen“ wurde.

Unter den gesetzlichen Voraussetzungen können auch immaterielle Schäden Bestandteil eines Schadensersatzanspruchs sein.

III. 8 Schritte, die Sie nach der Entdeckung eines Verlusts personenbezogener Daten sofort unternehmen sollten

Wenn Sie von einem Unternehmen oder einer Behörde eine Benachrichtigung erhalten:

„Ihre personenbezogenen Daten könnten betroffen sein.“

Löschen Sie die E-Mail nicht einfach.

Es empfiehlt sich, die folgenden 8 Schritte durchzugehen.

1. Zunächst feststellen, „was genau offengelegt wurde“

Bleiben Sie nicht einfach bei der Aussage:

„Meine personenbezogenen Daten wurden offengelegt.“

Versuchen Sie stattdessen, möglichst genau zu klären:

• Bei welcher Institution ist der Vorfall aufgetreten?
• Wann hat sich der Datenverlust ereignet?
• Wann wurde der Vorfall entdeckt?
• Welche Daten sind betroffen?
• Sind Passwörter betroffen?
• Wurden die Passwörter mit einem sicheren Hash-Verfahren verarbeitet?
• Sind Personalausweise, Reisepässe oder Kopien von Ausweisdokumenten betroffen?
• Sind Kreditkarten, Bankkonten oder Transaktionsaufzeichnungen betroffen?
• Sind medizinische oder andere sensible Daten betroffen?
• Wurden die Daten bereits öffentlich zugänglich gemacht?
• Besteht die Möglichkeit, dass die Daten heruntergeladen, verkauft oder missbräuchlich verwendet werden?

Wenn ein Unternehmen Sie über einen Datenverlust informiert, können Sie das Unternehmen auffordern, folgende Punkte zu erläutern:

• Welche Kategorien personenbezogener Daten betroffen sind
• Wann sich der Vorfall ereignet hat
• Welche Maßnahmen zur Behebung des Problems bereits ergriffen wurden
• Welche Schutzmaßnahmen Sie selbst ergreifen sollten
• Wer für die weitere Kontaktaufnahme zuständig ist

2. Passwörter sofort ändern – und nicht nur bei einer einzigen Website

Wenn die offengelegten Informationen möglicherweise Passwörter enthalten, sollten Sie zunächst folgende Konten absichern:

1. E-Mail-Konten
2. Online-Banking und Finanzkonten
3. Wichtige Konten wie Apple, Google und Microsoft
4. Soziale Netzwerke
5. Messenger- und Kommunikationsdienste
6. Online-Shopping-, Hotelbuchungs- und Lieferdienste
7. Arbeitskonten
8. Cloud-Speicher

Wenn dasselbe Passwort bereits auf mehreren Websites verwendet wurde:

Alle Konten, bei denen dieses Passwort wiederverwendet wurde, sollten geändert werden.

Bei einem neuen Passwort sollten Sie Folgendes vermeiden:

• Name
• Geburtsdatum
• Mobiltelefonnummer
• Personalausweisnummer
• Einfache Zahlenfolgen
• Firmenname

Am besten verwenden Sie einen Passwortmanager und erstellen für jede Website ein eigenes, starkes Passwort.

3. Mehrfaktor-Authentifizierung (MFA) aktivieren

Bei der Mehrfaktor-Authentifizierung (MFA) ist zusätzlich zum Passwort mindestens ein weiterer Authentifizierungsfaktor erforderlich, beispielsweise:

• Authenticator-App
• Bestätigung über ein vertrauenswürdiges Gerät
• Sicherheitsschlüssel
• Biometrische Authentifizierung

Selbst wenn das Passwort offengelegt wurde, kann eine zusätzliche Authentifizierungsebene weiterhin verhindern, dass sich Unbefugte anmelden.

Wenn eine Plattform gleichzeitig folgende Möglichkeiten anbietet:

• SMS-Verifizierung
• Authenticator-App
• Passkey
• Sicherheitsschlüssel

können Sie abhängig von den verfügbaren Funktionen der jeweiligen Plattform eine stärkere Authentifizierungsmethode auswählen. Bewahren Sie außerdem die Backup-Codes sicher auf.

4. Bei einem Verlust von Finanzdaten sofort die Bank kontaktieren

Wenn folgende Informationen betroffen sind:

• Kreditkarten
• Bankkonten
• Passwörter für das Online-Banking
• Authentifizierungsinformationen für Finanzdienstleistungen
• Mobile Bezahldienste

kontaktieren Sie die Bank direkt über die offizielle Website, die in Ihrem Sparbuch oder auf der Rückseite Ihrer Kreditkarte angegebene offizielle Telefonnummer.

Verwenden Sie keine Telefonnummern, die Ihnen in verdächtigen SMS oder von unbekannten Anrufern genannt werden.

Sie können die Bank beispielsweise um Unterstützung bei folgenden Maßnahmen bitten:

• Die Kreditkarte vorübergehend sperren oder ersetzen.
• Unnötige Auslands- oder Online-Transaktionen deaktivieren.
• Überweisungs- und Kartenlimits reduzieren.
• Die letzten Transaktionen auf ungewöhnliche Aktivitäten überprüfen.
• Das Passwort für das Online-Banking neu festlegen.
• Die Geräteverknüpfung neu einrichten.
• Benachrichtigungen für jede einzelne Transaktion aktivieren.

Wenn bereits ein Kreditkartenmissbrauch oder eine unbekannte Überweisung festgestellt wurde, sollten Sie unverzüglich bei der Bank einen Widerspruch bzw. eine Reklamation einreichen und folgende Informationen aufbewahren:

• Vorgangsnummer
• Zeitpunkte der Kommunikation
• Transaktionsaufzeichnungen
• Zugehörige Unterlagen

5. Vertraue nicht „Personen, die deine Daten kennen“

Nach einem Verlust personenbezogener Daten besteht der größte Vorteil für Betrüger darin:

Sie könnten tatsächlich echte Daten über dich kennen.

Wenn die andere Person daher deine folgenden Daten nennen kann:

• Name
• Adresse
• Bestellnummer
• Kaufbetrag
• Mitgliedsdaten

bedeutet das keineswegs, dass diese Person tatsächlich vom Kundenservice, von der Bank oder von einer Behörde stammt.

Merke dir daher die folgenden Grundsätze:

• Gib niemals einen SMS-Verifizierungscode weiter.
• Bediene keinen Geldautomaten nach telefonischer Anweisung.
• Aktiviere keine Bildschirmfreigabe.
• Erlaube Fremden keinen Fernzugriff auf dein Gerät.
• Klicke nicht auf Links in unbekannten SMS oder E-Mails.
• Gib niemals dein Passwort für das Online-Banking weiter.
• Gib niemals den Sicherheitscode deiner Kreditkarte weiter.
• Lege auf und suche anschließend selbstständig die offizielle Telefonnummer heraus, um erneut Kontakt aufzunehmen.

Bei Fragen können Sie die taiwanische Anti-Betrugs-Beratungsnummer 165 anrufen. Wenn Sie bereits Opfer eines Betrugs geworden sind oder eine dringende Situation vorliegt, sollten Sie die Polizei kontaktieren und so schnell wie möglich Anzeige erstatten.

6. Alle Beweise aufbewahren

Bewahren Sie Folgendes auf:

• Die vom Unternehmen versandte Benachrichtigung über den Datenverlust.
• Den vollständigen Inhalt der E-Mail.
• Screenshots von SMS und Unterhaltungen in Messenger-Apps.
• Verdächtige URLs und Informationen zum Absender.
• Bank- und Transaktionsaufzeichnungen.
• Unterlagen zur Anzeige bei der Polizei (einschließlich der dreiteiligen Anzeigeunterlage).
• Datum und Uhrzeit der Gespräche mit dem Kundenservice des Unternehmens sowie die Vorgangsnummer.
• Belege über Kosten, die durch die Bearbeitung des Vorfalls entstanden sind.
• Benachrichtigungen über ungewöhnliche Anmeldeaktivitäten bei Konten.

Beweise werden nicht nur für eine Anzeige bei der Polizei benötigt.

Falls später beispielsweise folgende Angelegenheiten entstehen:

• Beschwerden
• Verbraucherstreitigkeiten
• Zivilrechtliche Schadensersatzforderungen
• Versicherungsansprüche
• Untersuchungen durch zuständige Aufsichtsbehörden

können diese Aufzeichnungen von erheblicher Bedeutung sein.

7. Eine formelle schriftliche Anfrage an die von dem Datenverlust betroffene Organisation richten

Nach dem taiwanischen Datenschutzgesetz stehen betroffenen Personen bestimmte Rechte in Bezug auf ihre personenbezogenen Daten zu. Dazu gehören unter anderem das Recht auf Auskunft, Einsichtnahme, Erhalt einer Kopie, Ergänzung und Berichtigung sowie – sofern die gesetzlichen Voraussetzungen erfüllt sind – das Recht, die Einstellung der Erhebung, Verarbeitung oder Nutzung oder die Löschung der Daten zu verlangen.

Sie können per E-Mail oder schriftlich beispielsweise folgende Anfrage stellen:

Ich habe kürzlich erfahren, dass es in Ihrem Unternehmen zu einem Sicherheitsvorfall im Zusammenhang mit personenbezogenen Daten gekommen ist. Bitte teilen Sie mir mit, ob meine personenbezogenen Daten betroffen sind, welche Kategorien personenbezogener Daten betroffen sind, wann sich der Vorfall ereignet und wann er entdeckt wurde, welche mögliche Ursache vorliegt, welche Abhilfemaßnahmen bereits ergriffen wurden und welche Schutzmaßnahmen ich selbst ergreifen sollte. Bitte teilen Sie mir außerdem die zuständige Kontaktperson für diesen Vorfall sowie die Art und Weise mit, wie ich über die Ergebnisse der weiteren Untersuchung informiert werde.

Der Vorteil einer schriftlichen Kommunikation besteht darin, dass im Falle eines späteren Streits nachgewiesen werden kann:

• Wann Sie die Anfrage gestellt haben
• Was Sie gefragt haben
• Wie die andere Seite geantwortet hat
• Ob die andere Seite den Vorfall aktiv bearbeitet hat

8. Kontinuierlich überwachen – nicht nur drei Tage lang

Personenbezogene Daten sind nicht mit einer Kreditkarte vergleichbar.

Eine Kreditkarte kann gesperrt und ersetzt werden. Bei folgenden Daten gilt jedoch:

Daten wie Name, Geburtsdatum, Personalausweisnummer und Adresse können langfristig bestehen bleiben und sogar kopiert oder erneut verwendet werden.

Daher sollte man nach einem Datenverlust nicht nur einige wenige Tage aufmerksam sein.

Wie lange eine Überwachung tatsächlich erforderlich ist, kann abhängig von der Sensibilität der offengelegten Daten und dem damit verbundenen Risiko entschieden werden.

Es empfiehlt sich, regelmäßig Folgendes zu überprüfen:

• Anmeldeprotokolle des E-Mail-Kontos
• Anmeldeprotokolle der Benutzerkonten.
• Kreditkartenabrechnungen und Banktransaktionen.
• Neu hinzugefügte Verknüpfungen mit mobilen Bezahldiensten.
• Benachrichtigungen über Mobilfunkanschlüsse oder unbekannte Dienste.
• Benachrichtigungen im Zusammenhang mit Krediten oder Darlehen.
• Ob auf Social-Media-Konten unbekannte Beiträge oder Nachrichten bzw. andere ungewöhnliche Aktivitäten aufgetreten sind.

IV. Was sollte ein Unternehmen tun, wenn es zu einem Verlust personenbezogener Daten gekommen ist?

Wenn ein Unternehmen Opfer eines Hackerangriffs wird, bedeutet dies nicht automatisch, dass das Unternehmen rechtswidrig gehandelt hat.

Umgekehrt gilt jedoch:

„Wir sind selbst Opfer“ bedeutet nicht automatisch, dass das Unternehmen keinerlei rechtliche Verantwortung trägt.

Aufsichtsbehörden und Gerichte können unter anderem prüfen, ob das Unternehmen:

• bereits vor dem Vorfall angemessene Sicherheitsmaßnahmen ergriffen hatte
• über eine angemessene Zugriffskontrolle verfügte
• eine Bestandsaufnahme der Daten durchgeführt hatte
• Protokollierungsmechanismen eingerichtet hatte
• Sicherheitslücken zeitnah behoben hatte
• eine angemessene Steuerung und Überwachung ausgelagerter Dienstleistungen vorgenommen hatte
• nach Bekanntwerden des Vorfalls unverzüglich Maßnahmen zur Eindämmung ergriffen hatte
• eine angemessene Untersuchung durchgeführt hatte
• die betroffenen Personen und zuständigen Stellen entsprechend den gesetzlichen Vorgaben benachrichtigt hatte
• geeignete Abhilfemaßnahmen ergriffen hatte

Daher darf sich die Reaktion eines Unternehmens auf einen Verlust personenbezogener Daten nicht darauf beschränken, „den Hacker aus dem System zu werfen“.

1. 🚨 Sofort die Incident Response aktivieren

In der ersten Phase sollte der Umfang des Vorfalls kontrolliert und eingedämmt werden, beispielsweise durch:

• Isolierung infizierter Geräte
• Deaktivierung kompromittierter Konten
• Widerruf offengelegter oder kompromittierter Schlüssel
• Behebung der Sicherheitslücke
• Verhinderung weiterer Downloads der Daten
• Deaktivierung oder Unterbindung ungewöhnlicher API-Aktivitäten
• Einschränkung des Zugriffs aus verdächtigen Quellen

Aber:

⚠️ Formatieren Sie Computer nicht vorschnell, löschen Sie keine Protokolle und installieren Sie Systeme nicht einfach neu.

Denn dadurch können Beweise zerstört werden, die für eine spätere Untersuchung benötigt werden.

Die Sicherung folgender Informationen sollte durch Fachkräfte aus den Bereichen Informationssicherheit, digitale Forensik oder professionelle Incident Response unterstützt werden:

• Systemprotokolle
• Anmeldeprotokolle
• Netzwerkverkehr
• EDR- / SIEM-Protokolle
• Zugriffs- und Aktivitätsspuren
• API-Logs
• Cloud-Audit-Logs
• Betroffene bzw. relevante Geräte

2. 🔎 Den Umfang des Vorfalls klären

Das Unternehmen sollte Folgendes feststellen:

• Zeitpunkt des Vorfalls
• Zeitpunkt, zu dem der Vorfall entdeckt wurde
• Angriffsweg
• Ursache des Angriffs
• Betroffene Systeme
• Betroffene Kategorien personenbezogener Daten
• Anzahl der betroffenen Datensätze
• Ob sensible Daten betroffen sind
• Ob Passwörter betroffen sind
• Ob Finanzdaten betroffen sind
• Ob die Daten öffentlich zugänglich gemacht wurden
• Ob Daten heruntergeladen wurden
• Welche Kunden betroffen sind
• Welche Mitarbeiter betroffen sind
• Ob Geschäftspartner betroffen sind
• Ob externe Dienstleister betroffen sind
• Ob Cloud-Dienstleister betroffen sind

Insbesondere muss zwischen folgenden beiden Situationen unterschieden werden:

„Das System wurde kompromittiert.“

und:

„Es steht fest, dass personenbezogene Daten unbefugt erlangt wurden.“

Diese beiden Situationen sind aus rechtlicher Sicht und bei der Bewertung des Sicherheitsvorfalls nicht zwangsläufig identisch.

3. 📣 Betroffene Personen benachrichtigen

Nach Artikel 12 des derzeit geltenden taiwanischen Datenschutzgesetzes müssen öffentliche und nichtöffentliche Stellen, wenn es bei den von ihnen gespeicherten personenbezogenen Daten zu Diebstahl, Offenlegung, Veränderung oder einer anderen Verletzung kommt, den Vorfall untersuchen und die betroffenen Personen anschließend in geeigneter Weise benachrichtigen.

Ob darüber hinaus eine Meldepflicht gegenüber einer Aufsichtsbehörde besteht, welcher zuständigen Behörde der Vorfall gemeldet werden muss und welche Frist dafür gilt, ist anhand der jeweiligen Branche, der zuständigen Fachaufsichtsbehörde sowie anderer einschlägiger Rechtsvorschriften zu beurteilen.

Die Benachrichtigung sollte sich nicht lediglich auf die Aussage beschränken:

„Bitte seien Sie besonders vorsichtig.“

Vielmehr sollten nach Möglichkeit folgende Informationen enthalten sein:

1. Was ist passiert?
2. Wann ist der Vorfall passiert?
3. Wann wurde der Vorfall entdeckt?
4. Welche Daten könnten betroffen sein?
5. Welche Maßnahmen hat das Unternehmen bereits ergriffen?
6. Welche Schutzmaßnahmen sollten die betroffenen Personen ergreifen?
7. Kontakt- und Beschwerdemöglichkeiten beim Kundenservice
8. Wie können weitere Informationen erhalten werden?

4. 🏛️ Meldepflichten der jeweiligen Branche prüfen

Unternehmen dürfen sich nicht ausschließlich auf das „Gesetz zum Schutz personenbezogener Daten“ (Personal Data Protection Act) konzentrieren.

In verschiedenen Branchen können zusätzliche Vorschriften zur Informationssicherheit und zur Meldung von Sicherheitsvorfällen gelten, beispielsweise für:

• Finanzwesen
• Telekommunikation
• Gesundheitswesen
• Versicherungen
• Wertpapierwesen
• E-Commerce
• Verkehr und Transport
• Staatliche Behörden
• Organisationen, die dem taiwanischen „Cyber Security Management Act“ unterliegen

Daher sollte ein Unternehmen stets prüfen:

Datenschutzgesetz + Vorschriften der zuständigen Fachaufsichtsbehörde + sonstige anwendbare Rechtsvorschriften

und nicht nur eines dieser Gesetze isoliert betrachten.

Besondere Vorsicht: Die „72-Stunden-Frist“ in Taiwan kann nicht pauschal angewendet werden

Die am 11. November 2025 verkündete Änderung des taiwanischen Datenschutzgesetzes hat unter anderem die Vorschriften über die Meldung, Reaktion und Dokumentation von Sicherheitsvorfällen im Zusammenhang mit personenbezogenen Daten ergänzt und angepasst sowie die damit verbundenen verwaltungsrechtlichen Verantwortlichkeiten geändert. Derzeit weist die offizielle Rechtslage jedoch weiterhin darauf hin, dass das Inkrafttreten dieser Änderungen noch nicht festgelegt wurde.

Daher gilt mit Stand August 2026:

Bestimmungen wie die „72-Stunden-Frist“ aus den noch nicht in Kraft getretenen Gesetzesänderungen dürfen nicht unmittelbar als einheitliche, bereits geltende Meldefrist für alle Unternehmen in Taiwan angesehen werden.

Die tatsächlich geltende Meldefrist ist vielmehr anhand der zum Zeitpunkt des Vorfalls geltenden Rechtsvorschriften, der jeweiligen Branchenregelungen und der Anforderungen der zuständigen Aufsichtsbehörden zu bestimmen.

5. 🧾 Vollständige Dokumentation des Vorfalls aufbewahren

Das Unternehmen sollte Folgendes dokumentieren und aufbewahren:

• Zeitleiste des Vorfalls
• Zeitpunkt der Entdeckung
• Zeitpunkt der rechtlichen Kenntniserlangung
• Risikobewertung
• Betroffene Daten
• Anzahl der betroffenen Personen
• Rechtliche Bewertung
• Entscheidungsträger
• Zeitpunkt der Meldung
• Inhalt der Benachrichtigung
• Maßnahmen zur Behebung von Sicherheitslücken
• Abhilfemaßnahmen
• Gründe für Verzögerungen

Diese Aufzeichnungen erleichtern nicht nur eine Untersuchung durch die zuständigen Aufsichtsbehörden, sondern helfen dem Unternehmen auch dabei nachzuweisen, ob es angemessene Maßnahmen zur Bearbeitung und Bewältigung des Sicherheitsvorfalls ergriffen hat.

V. Welche rechtlichen Verantwortlichkeiten können nach einem Verlust personenbezogener Daten entstehen?

Ein Verlust personenbezogener Daten kann insbesondere folgende Formen rechtlicher Verantwortung nach sich ziehen:

1. Verwaltungsrechtliche Verantwortung
2. Zivilrechtliche Verantwortung
3. Strafrechtliche Verantwortung

Diese drei Formen der Verantwortung können gleichzeitig bestehen.

Zum Beispiel:

Ein Unternehmen kann von einer Verwaltungsbehörde mit einer Geldbuße belegt werden und gleichzeitig von betroffenen Personen auf zivilrechtlichen Schadensersatz in Anspruch genommen werden. Liegt darüber hinaus eine vorsätzliche rechtswidrige Handlung vor, die die Voraussetzungen eines Straftatbestands erfüllt, kann auch eine strafrechtliche Verantwortung entstehen.

1. Verwaltungsrechtliche Verantwortung: Aufsichtsbehörden können Geldbußen verhängen und Abhilfemaßnahmen anordnen

Hier muss unbedingt zwischen Folgendem unterschieden werden:

den derzeit geltenden Rechtsvorschriften

und

den im November 2025 verkündeten, aber noch nicht in Kraft getretenen Änderungen des Datenschutzgesetzes.

Nach der derzeit geltenden Struktur des taiwanischen Datenschutzgesetzes sind nichtöffentliche Stellen verpflichtet, angemessene Sicherheitsmaßnahmen für Dateien mit personenbezogenen Daten zu treffen. Der derzeit geltende Artikel 27 verlangt die Ergreifung geeigneter Sicherheitsmaßnahmen, um personenbezogene Daten vor Diebstahl, Offenlegung, Veränderung oder anderen Verletzungen zu schützen.

Artikel 48 des derzeit geltenden Gesetzes sieht bei Verstößen gegen die in Artikel 27 Absatz 1 festgelegten Sicherheits- und Schutzpflichten unter anderem Folgendes vor:

• eine Geldbuße von 20.000 bis 2.000.000 New Taiwan Dollar (NT$)
• die Anordnung, den Verstoß innerhalb einer bestimmten Frist zu beheben
• wird der Verstoß nach Ablauf der Frist nicht behoben, kann für jeden weiteren Verstoß eine Geldbuße von 150.000 bis 15.000.000 New Taiwan Dollar (NT$) verhängt werden
• bei besonders schwerwiegenden Umständen können zudem höhere Geldbußen vorgesehen sein

Diese Bestimmungen beruhen auf den derzeit geltenden Pflichten zur Gewährleistung der Datensicherheit sowie auf Artikel 48 in der Fassung der Änderung aus dem Jahr 2023.

Daher gilt:

⚠️ Es ist nicht so, dass ein Unternehmen allein aufgrund eines Hackerangriffs automatisch mit einer Geldbuße von 15 Millionen NT$ belegt wird.

Ob tatsächlich ein Rechtsverstoß vorliegt und wie hoch eine mögliche Geldbuße ausfällt, hängt vielmehr unter anderem davon ab:

• ob die Pflichten zur Gewährleistung der Datensicherheit verletzt wurden
• ob angemessene technische Maßnahmen vorhanden waren
• ob angemessene organisatorische Maßnahmen vorhanden waren
• ob die Zugriffskontrolle angemessen war
• ob eine Bestandsaufnahme der gespeicherten Daten durchgeführt wurde
• ob Prüfungs- und Auditaufzeichnungen vorhanden waren
• ob Sicherheitslücken behoben wurden
• ob ausgelagerte Dienstleistungen angemessen verwaltet und überwacht wurden
• ob der Vorfall anschließend aktiv und angemessen bearbeitet wurde
• zu welchem Ergebnis die Untersuchung der zuständigen Aufsichtsbehörde gelangt

Darüber hinaus wurde Artikel 48 im Rahmen der im November 2025 verkündeten Änderung neu gestaltet und enthält weitergehende Regelungen zu bestimmten Sanktionen im Zusammenhang mit Sicherheitsmaßnahmen und Meldepflichten. Diese Änderungen sind derzeit jedoch noch nicht in Kraft getreten.

2. Zivilrechtliche Haftung: Betroffene können Schadensersatz verlangen

Nach dem taiwanischen Datenschutzgesetz gilt:

• Verletzt eine staatliche Behörde das Datenschutzgesetz und werden dadurch die Rechte einer betroffenen Person beeinträchtigt, kann sie zum Schadensersatz verpflichtet sein.
• Auch ein nichtstaatliches Unternehmen oder eine andere nichtstaatliche Organisation kann zum Schadensersatz verpflichtet sein, wenn sie gegen das Datenschutzgesetz verstößt und dadurch die Rechte einer betroffenen Person verletzt. Kann die nichtstaatliche Stelle jedoch nachweisen, dass sie weder vorsätzlich noch fahrlässig gehandelt hat, kann eine Schadensersatzpflicht entfallen.

Zu den möglichen Schäden gehören unter anderem:

• Tatsächlich entstandene Vermögensschäden
• Notwendige Kosten, die durch die Bewältigung des Vorfalls entstanden sind
• Verletzung der Privatsphäre
• Schädigung des Rufs
• Sonstige immaterielle Schäden

Wie viel Schadensersatz kann man bei einem Datenleck erhalten?

Das ist eine der Fragen, die viele Menschen besonders beschäftigt.

Nach Artikel 28 des taiwanischen Datenschutzgesetzes kann eine betroffene Person, wenn es schwierig oder unmöglich ist, die konkrete Höhe des tatsächlich entstandenen Schadens nachzuweisen, vom Gericht verlangen, den Schadensersatz unter Berücksichtigung der Umstände der Rechtsverletzung wie folgt festzusetzen:

mindestens 500 und höchstens 20.000 Neue Taiwan-Dollar pro Person und Vorfall

Diese Beträge dienen als Grundlage für die Berechnung.

Wenn aufgrund desselben Sachverhalts die Rechte mehrerer Personen verletzt wurden, beträgt der grundsätzlich geltende maximale Gesamtbetrag:

200 Millionen Neue Taiwan-Dollar

Das Gesetz sieht jedoch Ausnahmen vor.

Besonders wichtig ist:

⚠️ Der Erhalt einer Benachrichtigung über ein Datenleck bedeutet nicht automatisch, dass man eine Entschädigung von 20.000 Neue Taiwan-Dollar erhält.

Ob tatsächlich ein Anspruch auf Schadensersatz besteht, hängt in der Regel unter anderem von folgenden Faktoren ab:

1. Ob der Beklagte gegen das Datenschutzgesetz verstoßen hat.
2. Ob die personenbezogenen Daten tatsächlich verletzt oder beeinträchtigt wurden.
3. Ob das Unternehmen vorsätzlich oder fahrlässig gehandelt hat.
4. Ob ein ursächlicher Zusammenhang zwischen dem Datenleck und dem entstandenen Schaden besteht.
5. Ob die betroffene Person tatsächlich einen materiellen oder immateriellen Schaden erlitten hat.
6. Wie das Gericht die Schwere und die konkreten Umstände der Rechtsverletzung beurteilt.

3. Strafrechtliche Haftung: Vorsätzliche rechtswidrige Nutzung personenbezogener Daten kann zu einer Freiheitsstrafe führen

Auch hier sollte ein häufiges Missverständnis unbedingt vermieden werden:

„Ein Datenleck“ bedeutet nicht automatisch, dass eine Straftat nach dem Datenschutzgesetz vorliegt.

Ein Datenleck, das allein aufgrund eines Fehlers oder einer Fahrlässigkeit entstanden ist, erfüllt nicht automatisch den Straftatbestand nach Artikel 41 des Datenschutzgesetzes.

Der derzeit geltende Artikel 41 sieht eine strafrechtliche Verantwortlichkeit für Handlungen vor, bei denen eine bestimmte subjektive Absicht vorliegt, gegen einschlägige Bestimmungen des Datenschutzgesetzes verstoßen wird und dadurch eine andere Person geschädigt werden kann. Dafür kann eine Freiheitsstrafe von bis zu 5 Jahren sowie eine Geldstrafe von bis zu 1 Million Neue Taiwan-Dollar verhängt werden.

Zum Beispiel:

Ein Mitarbeiter stiehlt vorsätzlich die Kundenliste seines Unternehmens, um daraus finanziellen Gewinn zu erzielen, und verkauft sie anschließend an eine Betrugsgruppe.

Im Gegensatz dazu:

Ein Unternehmen veröffentlicht aufgrund einer fehlerhaften Konfiguration versehentlich personenbezogene Daten.

Diese beiden Situationen können im Hinblick auf die strafrechtliche Verantwortlichkeit völlig unterschiedlich bewertet werden.

Daher gilt:

Wenn ein Unternehmen Opfer eines Hackerangriffs wird, sollte zunächst geprüft werden, ob die Pflichten zur Gewährleistung der Datensicherheit erfüllt und der Sicherheitsvorfall angemessen behandelt wurden. Für eine strafrechtliche Verantwortlichkeit müssen dagegen zusätzlich die subjektive Absicht des Handelnden sowie weitere gesetzlich vorgeschriebene Tatbestandsmerkmale geprüft werden.

Darüber hinaus ist zu beachten, dass Artikel 41, der im November 2025 geändert wurde, inzwischen einen angepassten Wortlaut enthält. Nach den derzeitigen offiziellen Angaben ist diese Änderung jedoch noch nicht in Kraft getreten.

VI. Wie geht man mit grenzüberschreitenden Datenlecks um? Regelungen in der EU, den USA und Japan

Wenn ein Unternehmen in Taiwan tätig ist, seine Kunden, Mitarbeiter oder Nutzer sich jedoch in folgenden Regionen befinden:

• Europäische Union
• USA
• Japan

kann ein Datenleck möglicherweise nicht nur dem taiwanischen Recht unterliegen.

Besonders relevant ist dies beispielsweise für:

• grenzüberschreitenden E-Commerce
• SaaS-Dienste
• Apps
• Cloud-Dienste
• Buchungsplattformen
• Fluggesellschaften
• Finanzdienstleistungen
• globale Mitglieder- und Kundenplattformen

Hier ist besondere Vorsicht geboten.

Bei der Beurteilung eines grenzüberschreitenden Vorfalls reicht es nicht aus, nur die Frage zu stellen:

„Wo ist das Unternehmen registriert?“

Darüber hinaus können unter anderem folgende Faktoren relevant sein:

• Der Aufenthaltsort der betroffenen Personen
• Ob das Unternehmen dort Waren oder Dienstleistungen anbietet
• Die Art der Datenverarbeitung
• Die jeweilige Branche
• Die lokalen Datenschutzgesetze
• Regelungen zur grenzüberschreitenden Übermittlung personenbezogener Daten

1. Europäische Union: Die DSGVO legt Wert auf eine risikobasierte Bewertung und eine Meldung innerhalb von 72 Stunden

Die DSGVO bezeichnet eine Verletzung des Schutzes personenbezogener Daten als:

Personal Data Breach

Der Begriff umfasst jedoch weit mehr als nur den Fall, dass „Daten von Hackern gestohlen werden“.

Dazu können beispielsweise auch gehören:

• Unbefugter Zugriff
• Unbefugte Offenlegung
• Verlust von Daten
• Zerstörung von Daten
• Manipulation oder Veränderung von Daten
• Unzugänglichkeit von Daten aufgrund eines Ransomware-Angriffs
• Versehentliches Versenden personenbezogener Daten per E-Mail
• Fehlerhafte Berechtigungs- oder Zugriffskonfigurationen in der Cloud

Der zentrale Prozess zur Behandlung eines Datenlecks nach der DSGVO

1. Zunächst prüfen, ob ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht

Wenn ein Vorfall:

voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt

muss er grundsätzlich nicht der zuständigen Aufsichtsbehörde gemeldet werden.

Dennoch sollten folgende Informationen dokumentiert werden:

• Beschreibung des Vorfalls
• Auswirkungen
• Begründung für die Risikobewertung
• Ergriffene Abhilfemaßnahmen

Diese Dokumentation ist ein wichtiger Bestandteil des in der DSGVO verankerten Grundsatzes der „Rechenschaftspflicht“.

2. Besteht eine Meldepflicht, muss die Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden informiert werden

Die zentrale Anforderung von Artikel 33 der DSGVO lautet:

Wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, muss sie grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde gemeldet werden.

Wichtig ist dabei:

Die 72-Stunden-Frist beginnt nicht automatisch bereits in dem Moment, in dem man zum ersten Mal feststellt, dass „mit dem Computer etwas nicht stimmt“.

Entscheidend ist vielmehr, wann der Verantwortliche nach vernünftiger Einschätzung Kenntnis davon erlangt hat, dass:

ein Ereignis eingetreten ist, das eine Verletzung des Schutzes personenbezogener Daten (Personal Data Breach) darstellt.

Unternehmen sollten daher im Rahmen ihres Incident-Response-Prozesses folgende Zeitpunkte eindeutig dokumentieren:

• Zeitpunkt der Entdeckung der Anomalie
• Zeitpunkt der Bestätigung des Eindringens bzw. des Cyberangriffs
• Zeitpunkt, zu dem bestätigt wurde, dass personenbezogene Daten betroffen sind
• Zeitpunkt, zu dem der Vorfall im rechtlichen Sinne bekannt wurde

Wenn innerhalb der 72 Stunden noch nicht alle Informationen vorliegen, kann zunächst eine vorläufige Meldung abgegeben und anschließend um weitere Informationen ergänzt werden.

Auch der Europäische Datenschutzausschuss (EDPB) betont, dass Unternehmen eine Risikobewertung unter Berücksichtigung verschiedener Faktoren durchführen sollten, darunter die Art der Daten, deren Sensibilität, die Anzahl der betroffenen Datensätze, mögliche Schäden, die betroffenen Personen sowie weitere relevante Umstände.

3. Bei hohem Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen erforderlich sein

Wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein:

hohes Risiko

für die Rechte und Freiheiten natürlicher Personen zur Folge hat, müssen neben der Meldung an die zuständige Aufsichtsbehörde in der Regel auch die betroffenen Personen ohne unangemessene Verzögerung informiert werden.

Die Benachrichtigung sollte möglichst klar erläutern:

• Was ist passiert?
• Welche Daten sind betroffen?
• Welche Risiken können daraus entstehen?
• Welche Maßnahmen können die betroffenen Personen selbst ergreifen?
• Welche Abhilfemaßnahmen hat das Unternehmen bereits ergriffen?
• Welche Kontaktstelle steht für Rückfragen zur Verfügung?

4. Auch Auftragsverarbeiter haben eine Benachrichtigungspflicht

Wenn sich der Sicherheitsvorfall bei einem der folgenden Dienstleister ereignet:

• Cloud-Service-Provider
• externen Kundenservice-Dienstleistern
• Systembetreibern bzw. IT-Betriebsdienstleistern
• SaaS-Anbietern
• anderen Auftragsverarbeitern

muss der Auftragsverarbeiter den Verantwortlichen ohne unangemessene Verzögerung über den Vorfall informieren.

Aus diesem Grund wird in Verträgen mit externen Dienstleistern häufig vereinbart:

eine interne Meldefrist für Sicherheitsvorfälle, die kürzer ist als die gesetzlich vorgeschriebene Frist.

Beispielsweise kann vertraglich verlangt werden, dass ein Dienstleister das Unternehmen innerhalb weniger Stunden nach der Entdeckung eines vermuteten Sicherheitsvorfalls informiert, anstatt bis kurz vor Ablauf der gesetzlichen Frist zu warten.

Die 72 Stunden nach der DSGVO bedeuten nicht, dass innerhalb von 72 Stunden die gesamte Untersuchung abgeschlossen sein muss

Dieser Punkt ist besonders wichtig.

Unternehmen sollten nicht davon ausgehen, dass die DSGVO verlangt:

„Innerhalb von 72 Stunden muss die gesamte digitale Forensik abgeschlossen sein.“

Das ist nicht die eigentliche Anforderung der DSGVO.

Entscheidend ist:

Ein Unternehmen darf nicht darauf verzichten, eine Meldung einzuleiten, nur weil die Untersuchung noch nicht vollständig abgeschlossen ist.

Die derzeit verfügbaren Informationen können zunächst gemeldet und später durch weitere Erkenntnisse ergänzt werden.

Wie hoch ist die maximale Geldbuße nach der DSGVO?

Die Höhe der Verwaltungsstrafen nach der DSGVO hängt davon ab, gegen welche Vorschriften verstoßen wurde.

Bei bestimmten schwerwiegenden Verstößen kann der gesetzlich vorgesehene Höchstbetrag bis zu:

20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens aus dem vorangegangenen Geschäftsjahr – je nachdem, welcher Betrag höher ist.

Dies ist jedoch:

die gesetzlich festgelegte Höchstgrenze.

Das bedeutet nicht:

„Sobald ein Datenleck auftritt, wird automatisch eine Geldbuße von 20 Millionen Euro verhängt.“

Bei der tatsächlichen Höhe einer Geldbuße werden unter anderem folgende Faktoren berücksichtigt:

• Art und Charakter des Vorfalls
• Dauer des Verstoßes
• Vorsatz oder Fahrlässigkeit
• Art der betroffenen Daten
• Anzahl der betroffenen Personen
• Ausmaß des entstandenen Schadens
• Grad der Kooperation des Unternehmens
• Ergriffene Verbesserungs- und Abhilfemaßnahmen

2. USA: Keine einheitliche allgemeine Regelung – Bundesstaatenrecht und branchenspezifische Vorschriften müssen gleichzeitig geprüft werden

Das System zur Behandlung von Datenlecks in den USA unterscheidet sich deutlich von der DSGVO.

Das wichtigste Merkmal ist:

Es gibt kein einziges umfassendes Bundesgesetz, das für alle allgemeinen Unternehmen, alle Arten personenbezogener Daten und alle Fälle von Datenlecks gilt.

In der Praxis müssen möglicherweise gleichzeitig folgende Regelungen geprüft werden:

• Gesetze der einzelnen Bundesstaaten
• Bundesgesetze
• Branchenspezifische Vorschriften
• Vertragliche Verpflichtungen
• Regeln für Zahlungskarten
• Anforderungen zuständiger Aufsichtsbehörden

Alle 50 US-Bundesstaaten, der District of Columbia sowie bestimmte US-Territorien verfügen über gesetzliche Regelungen zur Benachrichtigung bei Datenlecks. Die jeweiligen Vorschriften unterscheiden sich jedoch unter anderem hinsichtlich der Definition personenbezogener Informationen, der Definition eines meldepflichtigen Vorfalls, der zu benachrichtigenden Personen oder Behörden, der Fristen sowie der Ausnahmen für verschlüsselte Daten.

Daher gilt:

Unternehmen dürfen sich nicht ausschließlich am Bundesstaat orientieren, in dem sich ihr Hauptsitz befindet.

Wenn sich die betroffenen Personen beispielsweise in folgenden Bundesstaaten befinden:

• California
• New York
• Texas
• Florida

müssen möglicherweise die jeweiligen Datenschutz- und Meldevorschriften der einzelnen Bundesstaaten separat geprüft werden.

Wie können US-Unternehmen nach der Entdeckung eines Datenlecks vorgehen?

Ein Incident-Response-Prozess kann beispielsweise anhand der folgenden Schritte aufgebaut werden:

1. Sofort ein Incident-Response-Team einrichten.
2. Vertreter aus Informationssicherheit, Forensik, Rechtsabteilung, Betrieb, Personalwesen, Kommunikation und Management einbeziehen.
3. Betroffene Systeme isolieren.
4. Eine weitere Exfiltration oder ein weiteres Abfließen von Daten verhindern.
5. Digitale Beweismittel sichern.
6. Den ursprünglichen Angriffsvektor identifizieren.
7. Die Art der betroffenen Daten feststellen.
8. Die Anzahl der betroffenen Personen ermitteln.
9. Die Bundesstaaten ermitteln, in denen die betroffenen Personen ihren Wohnsitz haben.
10. Die jeweiligen Meldepflichten nach Bundesstaat prüfen.
11. Branchenspezifische Anforderungen auf Bundesebene prüfen.
12. Die betroffenen Personen benachrichtigen.
13. Sicherheitslücken beheben.
14. Das Risiko eines anschließenden Identitätsdiebstahls oder Betrugs überwachen.

US-Gesundheitswesen: HIPAA

Wenn ein Unternehmen den Vorschriften des HIPAA unterliegt und es zu einem Datenleck mit ungeschützten geschützten Gesundheitsinformationen (Protected Health Information, PHI) kommt, kann eine Benachrichtigung erforderlich sein an:

• die betroffenen Personen
• das HHS (U.S. Department of Health and Human Services)
• in bestimmten Fällen die Medien

Wenn 500 oder mehr Personen betroffen sind, muss die Benachrichtigung an das HHS grundsätzlich ohne unangemessene Verzögerung erfolgen und darf nicht später als 60 Kalendertage nach der Entdeckung des Vorfalls erfolgen.

Wenn weniger als 500 Personen betroffen sind, gelten für die Meldung an das HHS andere Anforderungen; die Meldung kann in der Regel auf jährlicher Basis erfolgen.

Daher gilt:

Die „60 Tage“ in den USA stellen ebenfalls keine einheitliche Frist für alle Unternehmen dar.

US-börsennotierte Unternehmen: Die 4 Werktage der SEC

US-börsennotierte Unternehmen müssen außerdem die Offenlegungspflichten der SEC für Cybersicherheitsvorfälle beachten.

Wenn ein Unternehmen zu dem Schluss kommt, dass ein Cybersicherheitsvorfall wesentlich („material“) ist, muss die Offenlegung grundsätzlich innerhalb von:

4 Werktagen nach der Feststellung der Wesentlichkeit

über Form 8-K, Item 1.05 erfolgen.

Hier kann es leicht zu einem Missverständnis kommen:

Die 4 Werktage der SEC beginnen nicht mit der „ersten Entdeckung eines Hackers“.

Entscheidend ist vielmehr der Zeitpunkt, zu dem:

das Unternehmen feststellt, dass der Vorfall wesentlich („material“) ist.

Auf diesen Zeitpunkt bezieht sich die entsprechende Frist.

Daher kann ein US-börsennotiertes Unternehmen gleichzeitig mit mehreren Verpflichtungen konfrontiert sein:

Benachrichtigungspflichten nach den Datenschutz- und Datenleckgesetzen der Bundesstaaten + branchenspezifische Vorschriften + Offenlegungspflichten der SEC

Es geht also nicht unbedingt darum, nur eine dieser Verpflichtungen zu erfüllen.

3. Japan: Das APPI verlangt bei bestimmten schwerwiegenden Fällen eine verpflichtende Meldung und Benachrichtigung der betroffenen Personen

In Japan richtet sich der Datenschutz hauptsächlich nach:

„個人情報の保護に関する法律“

Die englische Bezeichnung lautet üblicherweise:

Act on the Protection of Personal Information (APPI)

Die wichtigste zuständige Aufsichtsbehörde ist:

Personal Information Protection Commission (PPC)

Welche Datenlecks müssen möglicherweise gemeldet werden?

Ein wesentlicher Bestandteil des japanischen APPI-Systems besteht darin, dass für bestimmte Arten von Vorfällen, die möglicherweise zu einer schwerwiegenden Beeinträchtigung der Rechte und Interessen natürlicher Personen führen, eine Meldung und Benachrichtigung vorgeschrieben ist.

Dazu gehören insbesondere:

1. Vorfälle, die „besondere personenbezogene Informationen“ („要配慮個人情報“) wie Krankenakten, Gesundheitsinformationen oder Strafregister betreffen.
2. Vorfälle, bei denen durch eine missbräuchliche Nutzung der Daten ein finanzieller Schaden entstehen könnte, beispielsweise bei Kreditkartendaten oder Konten und Passwörtern mit Zahlungsfunktion.
3. Vorfälle, bei denen eine unrechtmäßige Nutzung beabsichtigt sein könnte, beispielsweise externe Angriffe, der böswillige Diebstahl von Daten durch Mitarbeiter, Ransomware-Angriffe oder Datendiebstahl.
4. Vorfälle mit personenbezogenen Daten von mehr als 1.000 betroffenen Personen.

Die aktuellen offiziellen Informationen der japanischen PPC unterscheiden außerdem ausdrücklich zwischen einer vorläufigen Meldung und einer abschließenden Meldung und legen hierfür unterschiedliche Fristen fest.

Wie sind die Fristen von 3–5 Tagen, 30 Tagen und 60 Tagen in Japan zu verstehen?

Wenn ein Vorfall die Voraussetzungen für eine Meldung erfüllt, gelten nach den aktuellen offiziellen Angaben der PPC folgende Fristen:

Vorläufige Meldung

Grundsätzlich:

innerhalb von 3–5 Tagen ab dem Zeitpunkt der Entdeckung

soll zunächst eine vorläufige Meldung erfolgen.

Abschließende Meldung

Im Allgemeinen:

innerhalb von 30 Tagen ab dem Zeitpunkt der Entdeckung

soll die abschließende Meldung eingereicht werden.

Wenn es sich um einen Fall handelt, bei dem:

die Gefahr einer unrechtmäßigen Nutzung besteht

kann die Frist für die abschließende Meldung bis zu:

60 Tage ab dem Zeitpunkt der Entdeckung

betragen.

Hier ist jedoch unbedingt zu beachten:

⚠️ Die 60 Tage stellen eine Frist für die abschließende Meldung in bestimmten Fällen dar. Sie sind keine Karenzzeit, während der ein Unternehmen bis zum 60. Tag warten darf, bevor es mit der Bearbeitung des Vorfalls beginnt.

Nach der Entdeckung eines Vorfalls sollte das Unternehmen weiterhin unverzüglich:

• den Vorfall eindämmen und kontrollieren
• Untersuchungen durchführen
• eine Risikobewertung durchführen
• Beweismittel sichern
• die bestehende Meldepflicht prüfen
• betroffene Personen benachrichtigen

Auch in Japan besteht eine Pflicht zur Benachrichtigung der betroffenen Personen

Bei Vorfällen, die die entsprechenden Voraussetzungen erfüllen, muss das Unternehmen die betroffenen Personen grundsätzlich so schnell wie möglich benachrichtigen.

Die Benachrichtigung kann unter anderem folgende Informationen enthalten:

• Zusammenfassung des Vorfalls
• Welche personenbezogenen Daten betroffen sind
• Ursache des Vorfalls
• Mögliche Risiken
• Bereits ergriffene Maßnahmen
• Kontaktstelle für Rückfragen

Wenn eine direkte Benachrichtigung der betroffenen Person tatsächlich schwierig ist, können gemäß den gesetzlichen Bestimmungen auch andere Maßnahmen ergriffen werden, die geeignet sind, die Rechte und Interessen der betroffenen Person zu schützen.

Ein wichtiges Merkmal des japanischen Systems ist:

Es muss nicht erst sicher festgestellt worden sein, dass Daten tatsächlich heruntergeladen wurden, bevor eine Bewertung erforderlich ist.

Vorfälle wie Datenlecks, der Verlust oder die Beschädigung von Daten sowie Ereignisse, bei denen eine missbräuchliche Nutzung zu befürchten ist, sollten gemäß den Vorgaben des APPI bewertet werden.

Auch die offiziellen Informationen der japanischen PPC beziehen Szenarien wie Ransomware-Angriffe in den Anwendungsbereich der Behandlung von Datenlecks und ähnlichen Vorfällen ein.

VII. Welche Unterschiede gibt es zwischen Taiwan, der EU, den USA und Japan?

Quellen: [eur-lex.europa.eu], [edpb.europa.eu], [ncsl.org], [hhs.gov], [sec.gov], [ppc.go.jp], [ppc.go.jp]

Die vier wichtigsten Unterschiede

Erstens: Die Fristen sind unterschiedlich.
Die GDPR enthält eine relativ klare Regelung, nach der Datenschutzverletzungen grundsätzlich innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden müssen. Japan sieht eine möglichst schnelle vorläufige Meldung sowie spätere Ergänzungen vor. In den USA muss je nach Bundesstaat und Branche geprüft werden, welche Anforderungen gelten. In Taiwan müssen Unternehmen derzeit anhand der zum Zeitpunkt des Vorfalls geltenden Datenschutzgesetze, branchenspezifischen Vorschriften und Anforderungen der zuständigen Behörden beurteilen, welche Pflichten bestehen. Die ausländische 72-Stunden-Frist darf daher nicht unmittelbar als gesetzliche Frist für alle Unternehmen in Taiwan übernommen werden.

Zweitens: Die Schwellenwerte für eine Meldung sind unterschiedlich.
In der EU steht das Risiko für die Rechte und Freiheiten natürlicher Personen im Mittelpunkt. Japan nennt bestimmte konkrete Kategorien, darunter besonders schützenswerte personenbezogene Daten, mögliche finanzielle Schäden, die Gefahr einer unrechtmäßigen Nutzung sowie Vorfälle, die mehr als 1.000 Personen betreffen. In den USA unterscheiden sich die Definitionen von personenbezogenen Informationen, tatsächlichem Datenzugriff und Schadensrisiken je nach Bundesstaat.

Drittens: Die Struktur der zuständigen Behörden ist unterschiedlich.
In der EU wird die GDPR von den Datenschutzaufsichtsbehörden der einzelnen Mitgliedstaaten durchgesetzt. In Japan steht die PPC im Mittelpunkt. In den USA können gleichzeitig die Generalstaatsanwälte der Bundesstaaten, die FTC, das HHS, die SEC oder andere branchenspezifische Aufsichtsbehörden zuständig sein. Bei einem grenzüberschreitenden Vorfall kann es daher erforderlich sein, mehrere Behörden jeweils gesondert zu benachrichtigen. Eine einzige Meldung erfüllt nicht automatisch sämtliche gesetzlichen Pflichten.

Viertens: Auch die Dokumentationspflicht ist von großer Bedeutung.
Unabhängig davon, ob letztlich eine externe Meldung erforderlich ist, sollte das Unternehmen den Zeitpunkt der Entdeckung, den Zeitpunkt der Kenntniserlangung, die Risikobewertung, die betroffenen Daten, die rechtliche Beurteilung, die an der Entscheidung beteiligten Personen, die ergriffenen Abhilfemaßnahmen sowie die Gründe für eine mögliche Verzögerung dokumentieren. Insbesondere unter der GDPR sollte auch die Entscheidung, „keine Meldung abzugeben“, nachvollziehbar begründet und prüfbar dokumentiert werden.

VIII. Gibt es in Taiwan tatsächlich Fälle von Datenlecks?

Die Antwort lautet: Ja – und solche Vorfälle betreffen nicht nur Internetunternehmen.

In Taiwan gibt es derzeit keine einzelne, für alle Branchen unmittelbar anwendbare „Datenleckquote“.

Die Gründe dafür sind unter anderem, dass die Meldepflichten auf verschiedene zuständige Behörden der jeweiligen Branchen verteilt sind, dass sich die Definitionen von Vorfällen unterscheiden und dass manche Unternehmen einen Vorfall möglicherweise erst feststellen, nachdem Betrugsfälle aufgetreten sind, Daten im Dark Web zum Verkauf angeboten wurden oder eine Untersuchung durch eine zuständige Behörde eingeleitet wurde. Statt eine möglicherweise irreführende einzelne Prozentzahl zu nennen, ist es daher sinnvoller, die Risiken anhand tatsächlicher Sanktionen und öffentlich bekannt gewordener Fälle zu verstehen.

Fall 1: Datenleck bei Kunden der Shanghai Commercial & Savings Bank

Im Jahr 2023 verhängte die Financial Supervisory Commission (FSC) gegen die Shanghai Commercial & Savings Bank aufgrund von Mängeln im Zusammenhang mit einem Datenleck bei Kundendaten eine Geldstrafe in Höhe von 10 Millionen Taiwan-Dollar auf Grundlage des Banking Act. Zu den von der FSC festgestellten Problemen gehörten unzureichende Kontrollen der Administratorrechte auf PCs und von Wechseldatenträgern, die fehlende Aufbewahrung von Protokollen über die Nutzung personenbezogener Daten gemäß den internen Vorschriften sowie unvollständige Tests und Kontrollen bei der Implementierung von Software zur Überwachung der Informationssicherheit. Dieser Fall zeigt, dass das Problem nicht unbedingt nur darin besteht, dass die „Firewall nicht stark genug“ ist. Auch Berechtigungsmanagement, USB- und andere Wechseldatenträger sowie die Aufbewahrung von Protokollen sind von großer Bedeutung. Siehe hierzu die von der FSC veröffentlichte Sanktionsentscheidung: „Mängel im Zusammenhang mit dem Datenleck bei Kundendaten der Shanghai Commercial & Savings Bank“.

Fall 2: Offenlegung von Aufzeichnungen aus Telefonmarketing-Gesprächen bei First Financial Life Insurance

Im Jahr 2025 wurde First Financial Life Insurance mit einer Gesamtstrafe von 600.000 Taiwan-Dollar belegt und zur fristgerechten Behebung der Mängel verpflichtet, weil nicht anonymisierte Aufzeichnungen aus Telefonmarketing-Gesprächen für Schulungszwecke verwendet wurden, die Dateien in einem öffentlichen bzw. gemeinsam genutzten Ordner gespeichert waren, sie nicht vollständig in die Bestandsaufnahme personenbezogener Daten aufgenommen worden waren und keine vollständigen Protokolle über Zugriffe und Löschvorgänge geführt wurden. Dieser Fall zeigt, dass personenbezogene Daten nicht nur in Datenbanken gespeichert sind. Auch Kundenservice-Aufzeichnungen, Papierdokumente, gemeinsam genutzte Ordner und Schulungsmaterialien können personenbezogene Daten enthalten. Weitere Informationen: „Sanktionsfall betreffend Telefonmarketing und den Schutz personenbezogener Daten bei First Financial Life Insurance“.

Fall 3: Vorfälle bei China Airlines, CarPlus und iRent

Als die National Development Council (NDC) im Jahr 2023 über die Änderung des Datenschutzgesetzes informierte, führte sie unter anderem Datenleck-Vorfälle bei China Airlines, CarPlus und iRent als Beispiele an. Die zuständigen Verkehrsbehörden forderten die betroffenen Unternehmen auf, die Mängel innerhalb einer bestimmten Frist zu beheben, und verhängten entsprechende Sanktionen. Diese Fälle zeigen, dass Branchen wie Luftfahrt, Autovermietung, E-Commerce, Hotellerie, Finanzdienstleistungen und Versicherungen potenzielle Ziele für Angriffe oder unbefugten Zugriff sein können, sobald sie große Mengen an Verbraucherdaten speichern.

IX. Die 5 häufigsten Fehlvorstellungen

Fehlvorstellung 1: „Nur ein geleakter Personalausweisnummer ist wirklich gefährlich.“

Eine Kombination aus Name, Telefonnummer, E-Mail-Adresse und Bestellinformationen kann bereits ausreichen, um äußerst glaubwürdige und gezielte Betrugsversuche durchzuführen.

Fehlvorstellung 2: „Wenn ich das Passwort ändere, ist das Problem erledigt.“

Wenn beispielsweise die Personalausweisnummer, die Adresse, Transaktionsdaten oder medizinische Informationen bereits offengelegt wurden, kann eine Änderung des Passworts lediglich das Risiko für das betreffende Konto reduzieren. Andere Risiken wie Identitätsmissbrauch oder Eingriffe in die Privatsphäre werden dadurch nicht beseitigt.

Fehlvorstellung 3: „Das Unternehmen wurde von Hackern angegriffen und trägt deshalb keinerlei Verantwortung.“

Ob ein Unternehmen Opfer eines Angriffs geworden ist und ob es seine Schutzpflichten angemessen erfüllt hat, sind zwei unterschiedliche Fragen. Wenn ein Unternehmen keine grundlegenden Sicherheitsmaßnahmen, keine angemessene Berechtigungsverwaltung oder keine nachvollziehbaren Prüf- und Protokollierungsspuren eingerichtet hat, kann es dennoch verwaltungsrechtliche und zivilrechtliche Verantwortung tragen.

Fehlvorstellung 4: „Wenn kein Geld gestohlen wurde, kann man keinen Schadensersatz verlangen.“

Das Datenschutzrecht erkennt auch immaterielle Schäden an. Die betroffene Person muss jedoch weiterhin darlegen können, wie ihre Rechte verletzt wurden. Auch das Gericht beurteilt den jeweiligen Fall anhand der konkreten Umstände. Eine Benachrichtigung über ein Datenleck bedeutet daher nicht automatisch, dass ein Anspruch auf Entschädigung besteht.

Fehlvorstellung 5: „Wenn wir die Daten löschen, bleiben keine Beweise zurück.“

Das wahllose Löschen von Dateien, eine Neuinstallation von Systemen oder das Entfernen von Protokollen nach einem Vorfall kann die Untersuchung erheblich erschweren. Außerdem kann das Unternehmen dadurch möglicherweise nicht mehr nachweisen, welche Schutz- und Reaktionsmaßnahmen tatsächlich ergriffen wurden. Der richtige Ansatz besteht darin, zunächst die betroffenen Systeme zu isolieren und Beweise zu sichern und anschließend die Analyse und Wiederherstellung durch qualifizierte Fachleute durchführen zu lassen.

X. Checkliste zur Selbsthilfe bei einem Datenleck

👤 Für Privatpersonen

• ☐ Prüfen, welche Arten von Daten offengelegt wurden
• ☐ Prüfen, ob Passwörter betroffen sind
• ☐ Alle wiederverwendeten Passwörter ändern
• ☐ Mehrfaktor-Authentifizierung aktivieren
• ☐ Anmeldeaktivitäten des E-Mail-Kontos überprüfen
• ☐ Social-Media-Konten überprüfen
• ☐ Bei einem Datenleck mit Finanzinformationen die Bank kontaktieren
• ☐ Kreditkarten- und Banktransaktionen überprüfen
• ☐ Mobile bzw. digitale Zahlungsdienste überprüfen
• ☐ Die Benachrichtigung über das Datenleck aufbewahren
• ☐ SMS und E-Mails aufbewahren
• ☐ Aufzeichnungen der Kommunikation mit dem Kundenservice aufbewahren
• ☐ Keine verdächtigen Links anklicken
• ☐ Keine OTP-Codes weitergeben
• ☐ Keine Sicherheitscodes von Kreditkarten weitergeben
• ☐ Bei Verdacht auf Betrug die taiwanische Anti-Fraud-Hotline 165 kontaktieren
• ☐ Bei bereits eingetretenem finanziellen Schaden so schnell wie möglich Anzeige erstatten
• ☐ Konten und finanzielle Aktivitäten weiterhin überwachen

🏢 Für Unternehmen

• ☐ Ein Incident-Response-Team für Datenschutz- und Informationssicherheitsvorfälle aktivieren
• ☐ Ein Incident Command Center bzw. eine zentrale Einsatzleitung einrichten
• ☐ Betroffene Systeme isolieren
• ☐ Eine weitere Ausweitung des Schadens verhindern
• ☐ Systemprotokolle sichern
• ☐ Digitale Beweismittel sichern
• ☐ Den Angriffseinstieg bzw. den initialen Angriffsvektor klären
• ☐ Die zeitliche Abfolge des Vorfalls klären
• ☐ Die betroffenen Daten identifizieren
• ☐ Die Anzahl der betroffenen Datensätze feststellen
• ☐ Die Anzahl der betroffenen Personen feststellen
• ☐ Prüfen, ob sensible Daten betroffen sind
• ☐ Prüfen, ob Finanzdaten betroffen sind
• ☐ Prüfen, ob Daten heruntergeladen oder öffentlich zugänglich gemacht wurden
• ☐ Prüfen, ob und in welchem Umfang das taiwanische Datenschutzgesetz anwendbar ist
• ☐ Die Vorschriften der zuständigen Behörde der jeweiligen Branche prüfen
• ☐ Feststellen, welche Länder von einer grenzüberschreitenden Datenverarbeitung betroffen sind
• ☐ Prüfen, ob die GDPR anwendbar ist
• ☐ Prüfen, ob der APPI anwendbar ist
• ☐ Die Datenschutzgesetze der relevanten US-Bundesstaaten prüfen
• ☐ Prüfen, ob branchenspezifische Vorschriften wie HIPAA oder SEC-Anforderungen betroffen sind
• ☐ Den Zeitpunkt der rechtlichen Kenntniserlangung dokumentieren
• ☐ Eine Übersicht über die geltenden Meldefristen erstellen
• ☐ Die Benachrichtigungspflichten von beauftragten Dienstleistern und Auftragsverarbeitern prüfen
• ☐ Entscheiden, ob die betroffenen Personen benachrichtigt werden müssen
• ☐ Kundenservice- und Abhilfemöglichkeiten bereitstellen
• ☐ Sicherheitslücken beheben
• ☐ Berechtigungen zurücksetzen bzw. neu vergeben
• ☐ Zertifikate und Tokens widerrufen
• ☐ Die Zusammenarbeit mit externen Dienstleistern überprüfen
• ☐ Den abschließenden Incident Report erstellen
• ☐ Maßnahmen zur nachträglichen Verbesserung durchführen
• ☐ Incident-Response-Übungen durchführen

XI. Wie können Unternehmen Datenlecks im Alltag verhindern?

Eine wirklich ausgereifte Informationssicherheit bedeutet nicht, erst nach einem Datenleck zu reagieren.

Unternehmen sollten bereits vor dem Eintritt eines Vorfalls ein umfassendes System zum Schutz personenbezogener Daten etablieren.

1. Eine vollständige Dateninventarisierung durchführen

Ein Unternehmen muss mindestens wissen:

Welche personenbezogenen Daten besitze ich?

Und:

Wo werden diese Daten gespeichert?

Zum Beispiel:

• Database
• NAS
• File Server
• Cloud Storage
• CRM
• ERP
• E-Mail
• SaaS
• Kundenservice-Systeme
• Backups
• Papierdokumente

2. 建立資料分類

將資料依敏感程度分類，例如：

• 公開
• 內部
• 機密
• 個人資料
• 敏感個人資料

再依分類建立不同的：

• 存取權限
• 加密要求
• 保存期限
• 備份方式
• 刪除方式

3. 落實最小權限

員工不應該：

「因為工作方便，所以全部都能看。」

而應該採：

Need to Know

以及：

Least Privilege

原則。

4. 離職帳號立即停用

很多資料外洩並不一定來自高級駭客。

也可能是：

離職員工帳號還能登入。

因此應建立：

人資離職流程 → IT 通知 → 帳號停用 → Token 撤銷 → VPN 撤銷 → Cloud 權限撤銷

的流程。

5. 重要資料加密

至少應考慮：

• 傳輸加密
• 儲存加密
• 備份加密
• 金鑰管理

尤其是：

• 身分證
• 金融資料
• 醫療資料
• 密碼
• 敏感個資

6. 建立日誌與監控

企業應確保關鍵系統可以回答：

• 誰登入？
• 誰查看？
• 誰下載？
• 誰修改？
• 什麼時間？
• 從哪個 IP？

沒有 Log，發生事件後往往只能：

「猜。」

XII. 結語：個資外洩後，速度與紀錄同樣重要

個資外洩很難「完全復原」，但可以透過正確處理大幅降低損失。

對一般民眾而言，最重要的是儘快更換密碼、開啟多因素驗證、聯絡金融機構、提防精準詐騙並保留證據。

對企業而言，則不能只處理技術漏洞，還要同步完成事故調查、法律判斷、主管機關通報、當事人通知與後續改善。

如果事件涉及不同國家的客戶或員工，企業不應只依公司登記所在地的法律處理。

同一件事故可能同時觸發歐盟 GDPR 的 72 小時通報、日本 APPI 的重大事件報告、美國各州居民通知，以及金融、醫療或上市公司的產業規範。

跨國事件最重要的不是選擇其中一套法律，而是先確認資料當事人分布、資料種類與最短通報期限，再由法務、資安、營運與公關共同管理通知內容，避免漏報、遲報或各地說法不一致。

個資保護不是資訊部門一個人的工作。

客服錄音、紙本履歷、共享資料夾、行銷名單、委外系統與離職員工權限，都可能成為破口。

真正成熟的做法，是在事故發生前就完成資料盤點、權限分級、事件通報流程與定期演練，而不是等到客戶接到詐騙電話後才開始找原因。

最後，請記住一句最實用的原則：

個資一旦外洩，先控制風險、再確認範圍、同步保留證據，最後才是追究責任。

真正成熟的企業，不是：

「發生事故後處理得多快。」

而是：

在事故發生之前，就已經知道資料在哪裡、誰可以存取、如何監控、如何通報，以及發生事故後誰負責決策。

個資保護，本質上也是資訊安全。

如果你正在處理實際事件，可聯絡 165 全民防騙網查證可疑詐騙；個資法規與政府處理資訊則可參考個人資料保護委員會籌備處「個人資訊外洩處理流程」及《個人資料保護法》現行條文。

XIII. 參考資料

法律及政府資源

• 個人資料保護法完整條文
• 個人資訊外洩處理流程
• 個資外洩糾紛解決流程
• 個人資料保護法第28條：公務機關損害賠償責任
• 個人資料保護法第29條：非公務機關損害賠償責任
• 個人資料保護法第41條：刑事責任
• 個人資料保護法第48條：行政罰則
• 個人資料保護法修法問答集
• 165全民防騙網
• 國發會：個資法修正與企業個資外洩罰責
• 個資外洩72小時通報配套草案相關報導

台灣個資外洩及裁罰案例

• 華航會員個資外洩案，交通部擬開罰
• 格上租車個資外洩事件，公路總局開罰10萬元
• iRent個資外洩事件，公路總局裁罰20萬元
• 上海商業儲蓄銀行客戶資料外洩裁罰案
• 第一金人壽個資保護作業裁罰案

司法實務

• 司法院：刑事大法庭就個資法第41條「利益」作成裁定

歐盟 GDPR 與個資外洩指引

• 歐盟《一般資料保護規則》General Data Protection Regulation, Regulation (EU) 2016/679
• European Data Protection Board：Guidelines 9/2022 on Personal Data Breach Notification under GDPR
• European Data Protection Board：Guidelines 01/2021 on Examples regarding Personal Data Breach Notification

美國個資外洩與產業規範

• Federal Trade Commission：Data Breach Response, A Guide for Business
• National Conference of State Legislatures：Security Breach Notification Laws
• U.S. Department of Health and Human Services：HIPAA Breach Notification Rule
• U.S. Department of Health and Human Services：Submitting Notice of a Breach to the Secretary
• U.S. Securities and Exchange Commission：Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure

日本 APPI 與個資外洩指引

• Personal Information Protection Commission, Japan：Act on the Protection of Personal Information
• 日本個人情報保護委員會：漏えい等の対応とお役立ち資料
• 日本個人情報保護委員會：漏えい等報告・本人への通知の義務化について
• 日本個人情報保護委員會：個人データの漏えい等事案報告系統