Website gehackt: Datenpanne binnen 72 Stunden melden?

Wurde Ihre Website gehackt und speichert sie personenbezogene Daten (Bestellungen, Kundenkonten, Kontaktformular-Einträge, Newsletter-Listen), müssen Sie die Datenpanne möglicherweise innerhalb von 72 Stunden nach Bekanntwerden Ihrer Datenschutzbehörde melden. Eine Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die betroffenen Personen führt, dokumentieren müssen Sie aber jede Datenpanne, ob gemeldet oder nicht. Ist das Risiko hoch, müssen Sie auch die betroffenen Personen informieren. Die Uhr beginnt zu laufen, sobald Sie hinreichend sicher sind, dass personenbezogene Daten betroffen sind, nicht mit dem Angriff selbst. Die erste Aufgabe ist deshalb, schnell herauszufinden, worauf der Angreifer zugreifen konnte. Dieser Leitfaden erklärt, wie Sie entscheiden, welche Fakten Sie in den ersten Stunden sammeln und wo Sie in der EU, im Vereinigten Königreich und in Thailand melden. Er stammt von Entwicklern, die gehackte Websites bereinigen, nicht von Juristen: Im Zweifel fragen Sie noch am selben Tag Ihren Datenschutzbeauftragten oder Ihre Anwältin bzw. Ihren Anwalt.

Ist eine gehackte Website eine Datenpanne?

Nicht immer. Nach der DSGVO ist eine Verletzung des Schutzes personenbezogener Daten ein Sicherheitsvorfall, bei dem personenbezogene Daten vernichtet werden, verloren gehen, verändert werden, offengelegt werden oder unbefugt zugänglich sind. Ein Hack auf eine Website ohne personenbezogene Daten, etwa eine Visitenkarten-Seite ohne Formulare oder Konten, ist ein Sicherheitsvorfall, aber keine Datenpanne. Ein Hack auf einen Webshop, eine Buchungsseite oder ein Mitgliederportal ist es meist schon, weil der Angreifer an Kundendaten gelangen konnte, selbst wenn Sie nicht belegen können, dass er sie mitgenommen hat.

Der Europäische Datenschutzausschuss (EDSA) unterscheidet drei Arten von Verletzungen, und ein Hack kann alle drei zugleich sein:

• Vertraulichkeit: Jemand hat Daten gesehen oder kopiert, die er nicht sehen durfte, zum Beispiel eine heruntergeladene Kundentabelle oder ein Datenbank-Backup in einem öffentlichen Ordner.
• Integrität: Daten wurden verändert, zum Beispiel eingeschleuste Skripte auf Bestellseiten oder geänderte Bankverbindungen auf Rechnungen.
• Verfügbarkeit: Daten gingen verloren oder wurden gesperrt, zum Beispiel durch Ransomware oder eine gelöschte Datenbank ohne funktionierendes Backup.

Wann beginnt die 72-Stunden-Frist?

Art. 33 DSGVO verlangt, dass Sie unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, melden. Die Leitlinien des EDSA zur Meldung von Datenschutzverletzungen erläutern, dass Ihnen die Verletzung bekannt ist, sobald Sie mit hinreichender Sicherheit wissen, dass ein Sicherheitsvorfall zur Kompromittierung personenbezogener Daten geführt hat. Sie dürfen kurz prüfen, ob das der Fall ist, aber diese Prüfung muss sofort beginnen.

In der Praxis: Die Stunden, in denen Sie sich fragen, ob eine seltsame Weiterleitung ernst ist, sind nicht kostenlos. Sobald Sie bei einer Website mit Kundendaten Anzeichen eines Hacks sehen, beginnen Sie, Fakten zu sammeln. Schaffen Sie es nicht innerhalb von 72 Stunden, akzeptieren die Behörden in Belgien, den Niederlanden, Frankreich, Deutschland und dem Vereinigten Königreich eine Erstmeldung innerhalb der Frist, die Sie später vervollständigen. Eine verspätete Meldung muss die Verzögerung begründen.

Betreibt ein Entwickler oder Hosting-Anbieter die Website für Sie, ist er Ihr Auftragsverarbeiter. Er muss Sie unverzüglich informieren, sobald er eine Verletzung entdeckt. Die Pflicht, die Behörde zu informieren, bleibt bei Ihnen, dem Unternehmen, das über die Zwecke der Daten entscheidet.

Melden oder nicht: So entscheiden Sie

Situation	An die Behörde melden?	Betroffene informieren?
Hack auf eine Website ohne personenbezogene Daten (keine Formulare, Konten oder Bestellungen)	Nein, es ist keine Datenpanne	Nein
Spam-Seiten oder eine Weiterleitung eingeschleust, kein Zugriff auf die Datenbank oder Formular-Einträge	Meist nein, wenn Sie belegen können, dass die Daten nicht erreichbar waren; dokumentieren Sie, warum	Nein
Angreifer hatte Admin- oder Datenbankzugriff auf Namen und E-Mail-Adressen von Kunden	Meist ja: Ein Risiko lässt sich nicht ausschließen	Hängt vom Risiko ab; oft ja, wenn Phishing wahrscheinlich ist
Passwörter, Ausweisdokumente, Zahlungsdaten oder Gesundheitsdaten offengelegt	Ja	Meist ja: hohes Risiko
Ransomware oder gelöschte Datenbank, mit einem aktuellen, sauberen Backup wiederhergestellt	Hängt davon ab, ob die Daten auch kopiert wurden und wie lange sie nicht verfügbar waren	Nur bei hohem Risiko
Daten waren mit einem Schlüssel verschlüsselt, den der Angreifer nicht erhalten hat	Oft trotzdem ja, aber das Risiko ist geringer	Meist nein: Die DSGVO nimmt Daten aus, die für den Angreifer unverständlich sind

Die Frage ist immer das Risiko für die Menschen, deren Daten betroffen sind, nicht der Schaden für Ihr Unternehmen. Berücksichtigen Sie die Art der Daten, die Zahl der Personen, ob sie identifizierbar sind und was jemand damit anfangen kann: Phishing, Identitätsbetrug, Bloßstellung, finanzieller Schaden. Bei Zweifeln lautet der Rat der französischen Behörde CNIL, zu melden; die Behörde kann Ihnen dann sagen, ob Sie auch die Betroffenen informieren müssen.

Was Sie in den ersten Stunden sammeln

Eine Meldung verlangt Fakten. Bei diesen kann Ihnen ein Entwickler helfen, und sie steuern zugleich die Bereinigung:

1. Was wann passiert ist: das erste Anzeichen, das Sie bemerkt haben, wann Sie es bemerkt haben und wann der Angriff vermutlich begann. Server-Logs, Änderungsdaten von Dateien und neue Admin-Konten zeigen meist den Anfang.
2. Welche Systeme erreicht wurden: nur die Website-Dateien oder auch die Datenbank, der Admin-Bereich, E-Mail-Konten oder ein angebundenes System wie das Back-Office Ihres Shops.
3. Welche personenbezogenen Daten vorhanden waren: Kunden, Bestellungen, Formular-Einträge, Newsletter-Abonnenten, Mitarbeitende, Verkäufer oder Mitglieder. Listen Sie die Tabellen oder Exporte und die enthaltenen Felder auf.
4. Wie viele Personen: Für eine Erstmeldung genügt eine Schätzung. Eine Zählung in der Datenbank liefert in Minuten eine Zahl.
5. Ob Daten den Server verlassen haben: Suchen Sie nach ungewöhnlichen Downloads, großen Antworten in den Zugriffs-Logs, Datenbank-Dumps oder Exporten in öffentlichen Ordnern. Saubere Logs sind kein Beweis, dass nichts entwendet wurde.
6. Was Sie getan haben: Passwörter zurückgesetzt, Lücke geschlossen, Website wiederhergestellt, Backups geprüft, Kunden gewarnt.
7. Wer Ihre Ansprechperson ist: Die Behörde möchte jemanden, der Rückfragen beantworten kann.

Bewahren Sie diese Notizen auch auf, wenn Sie sich gegen eine Meldung entscheiden. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation jeder Verletzung: die Fakten, die Auswirkungen und die ergriffenen Maßnahmen. Die niederländische und die französische Behörde verlangen beide dieses interne Verzeichnis der Datenpannen.

Wohin melden

Land	Behörde	Wie
Deutschland	Die Datenschutzbehörde Ihres Bundeslandes (Landesdatenschutzbehörde); Telekommunikationsanbieter melden an den BfDI	Jedes Bundesland betreibt ein eigenes Online-Formular, zum Beispiel Berlin und Baden-Württemberg. Für die meisten privaten Unternehmen ist die Behörde des Landes zuständig, in dem das Unternehmen seinen Sitz hat.
Belgien	Datenschutzbehörde (GBA/APD)	Online-Portal mit Unternehmenskonto; auf Niederländisch, Französisch oder Deutsch. Meldungen per E-Mail werden nicht bearbeitet.
Niederlande	Autoriteit Persoonsgegevens	Das Online-Meldeportal für Datenpannen (meldloket datalekken); nicht per Telefon, Post oder E-Mail.
Frankreich	CNIL	Online-Meldedienst; eine Erstmeldung kann später vervollständigt werden.
Vereinigtes Königreich	Information Commissioner's Office (ICO)	Online-Meldung binnen 72 Stunden; eine Meldung in Phasen ist möglich.
Thailand	PDPC Office	E-Service für Datenpannen-Meldungen auf der Website der PDPC, möglichst binnen 72 Stunden nach Bekanntwerden (PDPA, Section 37(4)).

Sitzt Ihr Unternehmen in einem EU-Land und Ihre Kunden in mehreren, melden Sie meist an die Behörde Ihrer Hauptniederlassung. Einige Branchen, etwa die Telekommunikation, haben eigene zusätzliche Regeln.

Ein echter Fall: ein Verkäuferportal auf einer ungepflegten Website

Im September 2026 meldete sich eine belgische Second-Hand-Ladenkette nach vier Jahren ohne Kontakt wieder bei uns. Ein schwerer Cyberangriff hatte fast alles auf ihren WordPress-Websites zerstört, auch das Portal, in dem sich ihre Verkäufer einloggen, um ihre Artikel und Auszahlungen zu verfolgen. Die Reparatur der Websites und das Schließen der Lücken, die die Angreifer genutzt hatten, kostete 2 Arbeitstage.

Ein solches Portal enthält genau die Art von Daten, um die es in diesem Artikel geht: Namen, Kontaktdaten und Auszahlungsdaten der Verkäufer. Deshalb sind die technischen Fragen oben (was war erreichbar, seit wann und hat etwas den Server verlassen) genauso wichtig, wie die Website wieder online zu bringen. Die Entscheidung zur Meldung bleibt beim Unternehmen; unsere Aufgabe ist es, ihm die Fakten schnell genug zu liefern, damit es innerhalb der Frist entscheiden kann.

Nach der Meldung: die Lücke schließen

Eine Meldung repariert nichts. Es gelten weiterhin dieselben Schritte wie bei jeder gehackten Website: alle Passwörter zurücksetzen, den Einstiegsweg finden und schließen, infizierte Dateien ersetzen, alles aktualisieren und prüfen, dass die Backups sauber sind. Unsere Schritt-für-Schritt-Anleitung WordPress-Website gehackt? Was in der ersten Stunde zu tun ist behandelt diesen Teil. Behörden achten auch darauf, was Sie getan haben, damit es nicht wieder passiert. Halten Sie daher die ergriffenen Maßnahmen fest: Zwei-Faktor-Login, Entfernen ungenutzter Plugins, Monitoring und eine für Updates zuständige Person. Wurde die Website länger nicht gepflegt, hilft Ihnen was Website-Wartung wirklich kostet bei der Entscheidung, wie Sie sie künftig sicher halten.

Was es kostet, die Fakten zu klären

Option	Preis zzgl. MwSt.	Gut zu wissen
Ihr eigenes Team oder Ihr Hosting-Anbieter	Ihre Zeit oder der Tarif des Hosters	In Ordnung, wenn sie Server-Logs und die Datenbank lesen können. Viele Hoster spielen nur ein Backup ein.
WDDW Soforthilfe	€75/Stunde, kein Minimum	Ein Senior-Entwickler beginnt am selben Tag: findet heraus, was erreichbar war, sammelt die Fakten für Ihre Meldung und schließt die Lücke.
WDDW Soforthilfe am Wochenende	€112,50/Stunde	Angriffe warten nicht bis Montag, und die 72-Stunden-Frist auch nicht.
WDDW Stundenkontingent	€910 für 14 Stunden	Vorausbezahlte Stunden für die Folgearbeiten: Updates, Zwei-Faktor-Login, Monitoring.

Bei einer typischen Website eines kleinen Unternehmens dauert es einige Stunden, nicht Tage, festzustellen, was erreichbar war. Eine vollständige Wiederherstellung dauert länger, wenn die Website jahrelang nicht gepflegt wurde, wie im Fall oben. Auf unserer Preisseite finden Sie alle Optionen.

Gehackt und die Uhr läuft? Wir beginnen heute

Buchen Sie die Soforthilfe, und ein Senior-Entwickler beginnt noch am selben Tag an Ihrer Website, für €75/Stunde zzgl. MwSt., ohne Minimum und ohne Vorgespräch. Wir unterschreiben auf Wunsch eine NDA, finden heraus, worauf der Angreifer zugreifen konnte, halten die Fakten für Ihre Meldung fest und schließen die Lücke. Wir geben keine Rechtsberatung und können nicht für Sie entscheiden, ob Sie melden müssen, aber wir sorgen dafür, dass Sie die Fakten rechtzeitig haben. Möchten Sie lieber zuerst sprechen? Kontaktieren Sie uns auf Deutsch, Niederländisch, Französisch, Englisch oder Thai.