Microsoft-Ausfall: Was das mit Datenschutz zu tun hat.

Das Wichtigste in 30 Sekunden

Ein Ausfall von Microsoft-Diensten wie Outlook oder Teams ist mehr als ein IT-Problem. Auch der Datenschutz ist betroffen, denn die DSGVO schützt personenbezogene Daten nicht nur vor Angriffen von außen. Sie verlangt auch, dass Daten verfügbar bleiben und nach einer Störung rasch wiederhergestellt werden können. 

Was heißt das konkret? Sinnvoll sind ein Notfallplan mit klaren Rollen, getestete Backups und geregelte Ausweichwege. Außerdem sollten Sie jeden Vorfall dokumentieren. Ob ein Ausfall meldepflichtig ist, hängt vom Einzelfall und vom Risiko ab.

Ein Dienstausfall wie der Microsoft- Ausfall und Datenschutz hängen enger zusammen als es auf den ersten Blick scheint. Der Ausfall von Outlook, Teams oder SharePoint trifft Unternehmen vor allem in ihrem operativen Alltag. Mails bleiben liegen. Kalender sind nicht abrufbar. Dateien lassen sich nicht öffnen. Teams-Meetings können nicht geführt werden. Das Geschäft kommt ins Stocken. Primär sind Umsatz und Produktivität betroffen. An Datenschutz denken dabei wenige, dabei ist auch dieser bei Ausfall von Systemen ein Thema.

In diesem Beitrag erfahren Sie, warum ein Systemausfall wie aktuell der Microsoft-Ausfall datenschutzrechtlich relevant ist. Sie lernen wichtige technische und organisatorische Maßnahmen kennen, kurz TOMs. Außerdem erhalten Sie vier klare nächste Schritte.

Warum ist ein Dienstausfall ein Datenschutzthema?

Beim Ausfall von Diensten oder eingeschränkter Nutzbarkeit wird Datenschutz oft mit Hackerangriffen gleichgesetzt. Doch auch der bloße Ausfall eines Dienstes, ohne dass Daten an Dritte abfließen oder beschädigt werden, ist datenschutzrelevant. Nach der Datenschutz-Grundverordnung (DSGVO) müssen personenbezogene Daten nicht nur vor dem Zugriff unberechtigter Dritter geschützt werden, sondern es muss auch deren Verfügbarkeit (und Vieles mehr) sichergestellt sein. Zur Einschränkung der Verfügbarkeit braucht es keinen Hackerangriff, es genügt ein internes technisches Problem.

Was verlangt die DSGVO?

Artikel 32 DSGVO regelt die Sicherheit der Verarbeitung. Danach müssen Sie unter anderem sicherstellen, dass Verfügbarkeit und Belastbarkeit von Systemen und Diensten auf Dauer gewährleistet sind. Außerdem müssen Sie personenbezogene Daten nach einem technischen Zwischenfall rasch wiederherstellen können. Diese Vorgaben nennt man technische und organisatorische Maßnahmen, kurz TOMs. Sie sind keine Formalie und sollten regelmäßig überprüft werden.

Außerdem müssen personenbezogene Daten so verarbeitet werden, dass ihre Sicherheit angemessen gewährleistet ist. Zudem tragen Sie die Rechenschaftspflicht, d.h., dass Sie müssen nachweisen können, dass Sie die Vorgaben einhalten. Ein Ausfall ohne Dokumentation kann deshalb zum Problem werden, selbst wenn er rasch behoben war. Die datenschutzrechtlichen Grundsätze gelten auch bei dem Ausfall von Diensten. So  dürfen personenbezogene Daten nicht verloren gehen und nicht unbefugt bekannt werden (Grundsatz der Integrität und Vertraulichkeit).

Warum ist das Verarbeitungsverzeichnis so wichtig?

Wenn Outlook und Teams ausfallen, stellt sich sofort die Frage: Welche personenbezogenen Daten stecken eigentlich in den betroffenen Diensten? Genau diese Frage beantwortet das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO – vor allem dann, wenn Sie es über die gesetzlichen Vorgaben hinaus um die eingesetzten Tools und Systeme ergänzt haben. Viele Unternehmen sehen die Erstellung und Pflege des Verarbeitungsverzeichnisses als lästige Pflicht. Im Ernstfall zeigt sich: Es ist ein wichtiges Arbeitsmittel und Gold wert. Ohne Verzeichnis müssen Sie sich unter Zeitdruck einen Überblick über die relevanten Verarbeitungen verschaffen; das gelingt selten und ist vor allem sehr fehleranfällig. Mit Verzeichnis lesen Sie einfach nach.

Wie sehen wirksame TOMs im Ausfall aus?

Es gibt zahlreiche TOMs, die bei einem Ausfall greifen können, und sie sind in jeden Unternehmen anders ausgestaltet. Die eine Lösung gibt es also nicht. Doch vier Bausteine, die sich im Vorfeld recht einfach umsetzen lassen, helfen Ihnen im Notfall konkret und recht niederschwellig weiter.

1. Backups, die Sie tatsächlich testen

Ein Backup ist nur so gut wie seine Wiederherstellung. Viele Unternehmen sichern zwar ihre Daten, ob sich diese im Ernstfall aber problemlos zurückholen lassen, prüfen sie nicht. Testen Sie daher regelmäßig nicht nur, ob Sie einzelne Postfächer, Dateien und Teams-Inhalte wiederherstellen können, sondern auch wie einfach und schnell dies geht. Halten Sie das Ergebnis zudem schriftlich fest. So wissen Sie im Ernstfall, worauf Sie wie zurückgreifen können. Verlassen Sie sich außerdem nicht ungeprüft auf die Standardfunktionen des Anbieters. Prüfen Sie, welche Wiederherstellung Ihr Vertrag und die Produktbeschreibung tatsächlich vorsehen. Stellen Sie zudem sicher, dass Sie auch ein Backup außerhalb des Kosmos des Anbieters haben. Denn ein Backup, dass in Sharepoint liegt, hilft wenig, wenn gerade dieser Dienst ausfällt.

2. Ein Notfallplan mit klaren Rollen

Systemausfälle sind oft zeitkritisch und Ziel ist es in der Regel, die Handlungsfähigkeit schnellstmöglich wieder herzustellen. Deshalb sollte vorab feststehen, wer entscheidet und was zu tun ist. Wer informiert die Belegschaft? Wer prüft, ob personenbezogene Daten betroffen sind? Was ist als erstes zu tun? Wie sind Informationsketten? Legen Sie wichtige Punkte fest und ergänzen Sie den Plan um eine Telefonliste.

Auch wenn Ihr Unternehmen weitgehend digital aufgestellt ist, stellen Sie den Notfallplan auch ausgedruckt zur Verfügung. Denn die bloß digitale Form hilft nicht, wenn gerade die digitalen Systeme ausfallen.

Bei umfassenden Krisen kann es sinnvoll sein,  einen erfahrenen Krisenmanager wie beispielsweise Rechtsanwalt Martin W. Schrenk einzusetzen, der die Lage koordiniert und organisiert.

3. Klare Regeln für Ausweichlösungen

Bei einem Ausfall greifen Mitarbeiter oft zu dem, was gerade funktioniert. Das kann ein privates Mailkonto sein, ein Messenger auf dem Privathandy oder ein USB-Stick aus der Schublade. Solche Lösungen können jedoch ein eigenes Datenschutzrisiko darstellen. So kann beispielsweise der Überblick darüber verloren gehen, wo Daten liegen und wer Zugriff hat. Legen Sie deshalb schriftlich fest, welche Ausweichwege erlaubt sind und schaffen Sie möglichst vor dem Ernstfall Lösungen,  beispielsweise ein Notfall-E-Mail-Postfach bei einem anderen Anbieter.

4. Verträge und Verfügbarkeitszusagen prüfen

Bei der Nutzung von Cloud-Diensten wie Microsoft 365 wird in der Regel ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO geschlossen. Ebenso wichtig sind Service Level Agreements (SLA). Sie beschreiben, welche Verfügbarkeit der Anbieter zusagt. Microsoft nennt in seinen Service Level Agreements für viele Dienste beispielsweise eine monatliche Verfügbarkeit von häufig 99,9 Prozent. Das klingt hoch. Doch auch 99,9 Prozent erlauben Ausfallzeiten. Rechnerisch sind das bei einem Monat mit 30 Tagen rund 43 Minuten. Die genauen Werte unterscheiden sich je nach Dienst und Vertrag. Deshalb prüfen Sie Ihren konkreten Vertrag und die jeweiligen Dienstbeschreibungen – je nach Tätigkeit kann auch ein Ausfall von „nur“ 43 Minuten/ Monat einen erheblichen Schaden verursachen. Bestehende Notfallpläne und -maßnahmen können dazu beitragen den Schaden gering zu halten.

Wann ist ein Dienstausfall wie der Microsoft-Ausfall meldepflichtig?

Wichtig ist hier zunächst, dass das eigene Unternehmen in der Regel der sogenannte Verantwortliche im Sinne der DSGVO ist und nicht etwa der Dienstanbieter. Dieser ist in der Regel „nur“ Auftragsverarbeiter. Das heißt in der Folge, dass Ihr Unternehmen auch für die Meldung einer Datenpanne in der Pflicht steht. Zurück zu der Frage, ob ein Ausfall meldepflichtig ist. Die Antwort lautet: Nicht jeder Ausfall ist meldepflichtig. Artikel 4 Nummer 12 DSGVO spricht von einer Verletzung des Schutzes personenbezogener Daten. Dazu zählt auch der unbeabsichtigte Verlust personenbezogener Daten. Ob Sie die Aufsichtsbehörde informieren müssen, regelt Artikel 33 DSGVO. Die Meldung entfällt nach Artikel 33 DSGVO, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt. Sonst muss die Meldung binnen 72 Stunden ab Kenntnis erfolgen.

Ein bloßer Ausfall führt in der Regel nicht automatisch zu einer Meldung, letztlich hängt es aber vom Einzelfall ab. Entscheidend ist die Risikobewertung. Dokumentieren Sie den Vorfall auch dann, wenn Sie diesen nicht melden müssen. Artikel 33 Absatz 5 DSGVO verlangt die Dokumentation aller Verletzungen samt Fakten, Auswirkungen und Abhilfemaßnahmen – die Aufsichtsbehörde muss anhand dieser Dokumentation überprüfen können, ob die Vorgaben des Artikels 33 DSGVO eingehalten wurden. Also gegebenenfalls auch, ob die Nicht-Meldung korrekt war.

Typische Fehler und wie Sie diese vermeiden

Fehler 1: Der Notfallplan liegt nur im Schrank

Ein Plan, den niemand kennt, hilft im Ernstfall nicht. Gerade bei einem Ausfall fehlt sonst die Orientierung. Besprechen Sie ihn im Team. Üben Sie den Ablauf einmal im Jahr, zum Beispiel in einer kurzen Übung am Schreibtisch.

Fehler 2: Der Notfallplan existiert nur digital

Ein Notfallplan, der nur digital existiert, hilft wenig, wenn gerade die digitalen Systeme ausfallen. Daher sollten Notfallpläne auch in einer analogen Version bereitliegen.

Fehler 2: Die Verfügbarkeit wird nicht bewertet

Häufig liegt der Fokus bei der Prüfung von TOMs und der Umsetzung von Datenschutzvorgaben auf Sicherheitsrisiken wie Datenzugriff durch Dritte. Die Verfügbarkeit wird dabei manchmal zu wenig berücksichtigt. Nehmen Sie den Ausfall eines Cloud-Dienstes und anderer Dienste deshalb ausdrücklich in Ihre Bewertung auf.

Fehler 3: Ausfälle werden nicht dokumentiert

Nach der Störung ist der Druck groß, den Alltag wieder aufzunehmen. Dann gehen Details leicht verloren. Halten Sie den Vorfall kurz und sachlich, am besten orientiert an den Vorgaben von Artikel 33 DSGVO, fest. Das hilft Ihnen später bei der Nachweisführung.

So sind Sie vorbreitet –  vier Schritte, die Sie direkt umsetzen sollten

1. Erfassen Sie, welche Dienste Ihr Unternehmen nutzt und welche personenbezogenen Daten dort liegen bzw. überprüfen Sie, ob das Verarbeitungsverzeichnis diese Informationen nicht nur enthält, sondern auch aktuell ist.

2. Erstellen Sie einen Notfallplan mit Rollen und einer Telefonliste fest. Stellen Sie diesen auch analog zur Verfügung.

3. Testen Sie regelmäßig die Wiederherstellung von Daten.

4. Regeln Sie erlaubte Ausweichwege schriftlich und informieren Sie alle Beschäftigten