Ein technischer Vorfall kann mehrere Meldeentscheidungen auslösen. Welche Pflichten tatsächlich bestehen, hängt aber von der betroffenen Rechtsperson, ihrer Rolle und den jeweiligen Schwellen ab. Für ein deutsches Finanzunternehmen ist eine automatische Dreifachmeldung nach DORA, NIS2 und DSGVO gerade kein geeigneter Ausgangspunkt. Die Koordination beginnt mit einer Anwendungsprüfung und einer gemeinsamen, nachvollziehbaren Ereignischronologie.
Das Ergebnis dieses Leitfadens ist eine Meldeakte, die Zuständigkeiten, Kenntniszeitpunkte, Einstufungen und versandte Fassungen verbindet. Ein fiktiver Vorfall bei einer Bank und ihrem IT-Dienstleister zeigt, warum gemeinsame Fakten und unterschiedliche rechtliche Entscheidungen zusammengehören.
Zuerst die betroffene Rechtsperson bestimmen
Die Bank und ihr externer IT-Dienstleister sind zwei unterschiedliche Unternehmen. Eine Konzernzentrale, ein gemeinsames Sicherheitsteam oder derselbe Angriff verschmelzen ihre gesetzlichen Pflichten nicht. Die Bank prüft ihren DORA-Anwendungsbereich; der Dienstleister prüft seine eigene Einordnung. Datenschutzrechtlich kann er für Kundendaten Auftragsverarbeiter und für andere Vorgänge selbst Verantwortlicher sein.
DORA ist nach Artikel 1 Absatz 2 für entsprechend erfasste Finanzunternehmen ein sektorspezifischer Unionsrechtsakt im Verhältnis zu NIS2. In Deutschland nimmt § 28 Absatz 6 BSIG die dort genannten Finanzunternehmen unter anderem von § 32 BSIG aus. Weitere bereichsspezifische Ausnahmen sind gesondert zu beachten. Die Bank erhält daher nicht allein wegen eines erheblichen Angriffs zusätzlich die entsprechende BSIG-Meldepflicht.
Für den IT-Dienstleister folgt daraus keine allgemeine Befreiung. Seine eigene Tätigkeit kann eine BSIG-Prüfung erfordern. Ebenso wird er durch die Unterstützung einer Bank nicht selbst zum Finanzunternehmen mit sämtlichen DORA-Meldepflichten. Die Rollenklärung wird vorab in die Vereinbarungen zum IKT-Drittparteirisiko aufgenommen.
Drei Schwellen in getrennten Feldern prüfen
Die DSGVO betrifft Verletzungen des Schutzes personenbezogener Daten. Eine Meldung an die zuständige Datenschutzaufsicht ist nach Artikel 33 erforderlich, sofern die Verletzung voraussichtlich zu einem Risiko für Rechte und Freiheiten führt; die Ausnahme betrifft den voraussichtlich unwahrscheinlichen Risikoeintritt. Nicht jede technische Störung und nicht jeder Umgang mit personenbezogenen Daten ist automatisch meldepflichtig.
DORA verlangt die Meldung schwerwiegender IKT-bezogener Vorfälle. Das Finanzunternehmen prüft die einschlägigen Klassifizierungskriterien und Schwellen, statt nur die intern vergebene Farbe „rot“ zu übernehmen. Die DORA-Verordnung unterscheidet in ihren Artikeln 17 bis 20 Erfassung, Klassifizierung und Meldung. Kundenauswirkungen, Dauer, betroffene Dienste und weitere einschlägige Kriterien werden mit den zugrunde liegenden Tatsachen dokumentiert.
Die deutsche NIS2-Umsetzung knüpft in § 32 BSIG an die Kenntnis eines erheblichen Sicherheitsvorfalls an. Für eine erfasste Einrichtung muss also auch die Erheblichkeit geprüft werden. Ein unbestätigter Alarm wird umgehend untersucht; er wird nicht ohne weitere Einordnung mit sämtlichen gesetzlichen Kenntniszeitpunkten gleichgesetzt.
Unterschiedliche Uhren korrekt führen
| Prüfspur | Erster relevanter Termin | Weiterer Verlauf |
|---|---|---|
| DSGVO, Verantwortlicher | Unverzüglich, möglichst innerhalb von 72 Stunden nach Bekanntwerden der Verletzung | Fehlende Informationen können schrittweise ohne unangemessene weitere Verzögerung folgen |
| DORA, erfasstes Finanzunternehmen | So früh wie möglich; grundsätzlich binnen vier Stunden nach Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntnis des IKT-Vorfalls | Zwischenbericht binnen 72 Stunden nach Erstmeldung; Abschluss grundsätzlich binnen eines Monats nach Zwischenbericht oder letzter Aktualisierung |
| BSIG, erfasste Einrichtung ohne einschlägige Ausnahme | Unverzüglich, spätestens 24 Stunden nach Kenntnis des erheblichen Sicherheitsvorfalls | Meldung unverzüglich, spätestens nach 72 Stunden; Abschluss grundsätzlich einen Monat nach dieser Meldung |
Die Tabelle ist eine Arbeitsübersicht. Bei DORA regelt Artikel 5 der Delegierten Verordnung 2025/301 ausdrücklich den Fall einer erst nach 24 Stunden vorgenommenen Einstufung als schwerwiegend: Dann gilt die Vierstundenfrist ab dieser Einstufung. Ein späterer Klassifizierungszeitpunkt darf nicht bloß erfunden werden, um eine versäumte Bearbeitung zu verdecken.
Die DORA-Regelung enthält zudem begrenzte Wochenend- und Feiertagserleichterungen. Für Erst- und Zwischenmeldungen unter anderem von Kreditinstituten, zentralen Gegenparteien und Handelsplatzbetreibern greifen sie nicht; weitere erfasste Kategorien und behördliche Entscheidungen sind zu prüfen. Die Bank des Beispiels plant deshalb keine allgemeine Verlängerung bis Montag ein.
Nach dem Zwischenbericht ist bei DORA insbesondere nach Wiederaufnahme des regulären Betriebs eine Aktualisierung ohne unangemessene Verzögerung erforderlich. Dauert ein BSIG-Vorfall zum vorgesehenen Abschluss noch an, sieht § 32 Absatz 2 eine Fortschrittsmeldung und anschließend den Abschluss nach abschließender Bearbeitung vor. Ein Monat wird in der Terminberechnung nicht pauschal durch dreißig Tage ersetzt.
Die Chronologie eines Beispiels ausfüllen
Die fiktive Bank erhält am Dienstag um 08:10 Uhr eine Meldung ihres Dienstleisters über gestörte Dokumentenabrufe. Um 08:25 Uhr steht fest, dass ein IKT-bezogener Vorfall vorliegt. Um 09:00 Uhr belegen Zugriffsprotokolle einen unbefugten Abruf personenbezogener Unterlagen. Um 10:00 Uhr ergibt die dokumentierte DORA-Klassifizierung einen schwerwiegenden Vorfall.
Die Akte hält diese vier Zeitpunkte getrennt fest. Sie nennt jeweils Beobachtung, Quelle und verantwortliche Rolle. Die Bank kann dadurch erklären, weshalb technische Kenntnis, datenschutzrechtliches Bekanntwerden und DORA-Einstufung nicht dieselbe Uhrzeit tragen. Sie verändert die ursprünglichen Einträge später nicht, sondern ergänzt neue Erkenntnisse mit Zeitstempel.
Für die DORA-Erstmeldung liegt die Vierstundengrenze in diesem Beispiel bei 14:00 Uhr am Dienstag und damit vor der 24-Stunden-Grenze am Mittwoch. Die Bank meldet, sobald die erforderlichen Angaben belastbar vorliegen; 14:00 Uhr ist kein gewünschter Wartezeitpunkt. Für Artikel 33 liegt die 72-Stunden-Marke ausgehend von Dienstag 09:00 Uhr am Freitag um 09:00 Uhr. Auch hier gilt die Pflicht zur unverzüglichen Bearbeitung.
Das Sicherheitsteam des Dienstleisters führt parallel seine eigene BSIG-Einstufung durch. Falls dessen erheblicher Sicherheitsvorfall um Dienstag 08:40 Uhr bekannt wurde und keine Ausnahme greift, berechnet es seine Fristen von diesem Zeitpunkt. Es übernimmt weder die spätere Klassifizierung der Bank noch deren datenschutzrechtliche Risikobewertung als Ersatz für seine Entscheidung.
Aus gemeinsamen Fakten passende Meldungen erstellen
Die Bank führt einen gemeinsamen Sachverhalt mit der Kennung V-17. Darin stehen betroffene Systeme, vorläufige Zeitspanne, gesicherte und ungesicherte Erkenntnisse, Dienstleisterkontakte und getroffene Schutzmaßnahmen. Einzelne Meldungen verweisen auf diese Kennung und erhalten zusätzlich eine eigene Versionsnummer.
Für DORA werden die Auswirkungen auf Finanzdienstleistungen und die Klassifizierung erläutert. Für die Datenschutzaufsicht stehen Kategorien und ungefähre Zahlen betroffener Personen und Datensätze, wahrscheinliche Folgen, Kontakt sowie ergriffene oder vorgeschlagene Maßnahmen im Vordergrund. In den technischen Anlagen werden keine vollständigen Kundenakten mitgeschickt, wenn die notwendigen Angaben ohne diese Inhalte dargestellt werden können.
Ein ausgefüllter Eintrag lautet beispielsweise: „Version 1: 240 potenziell betroffene Dokumente; Zahl betroffener Personen noch in Prüfung, weil mehrere Dokumente je Kunde möglich sind. Grundlage: Exportprotokoll des kompromittierten Kontos. Nächster Abgleich durch Datenverantwortlichen.“ Das ist nachvollziehbarer als eine vermeintlich präzise Personenzahl, die lediglich die Anzahl der Dateien wiederholt.
Die spätere Korrektur auf 187 Personen wird in allen betroffenen Meldespuren nachvollzogen. Unterschiede werden erklärt, statt frühere Fassungen spurlos zu ersetzen. Für die datenschutzrechtliche Dokumentation ergänzt das Team sein Verletzungsregister.
Zuständige Stellen und Zugänge vorbereiten
Datenschutzmeldungen gehen an die zuständige Aufsichtsbehörde. Für deutsche private Unternehmen ist nicht pauschal die BfDI zuständig; Land, Tätigkeit und gegebenenfalls grenzüberschreitende Verarbeitung beeinflussen die Zuständigkeitsprüfung. Eine bereits geprüfte Kontaktmatrix vermeidet eine solche Grundsatzsuche während des Vorfalls.
Für DORA-Meldungen erläutert die BaFin die Einreichung über ihre Melde- und Veröffentlichungsplattform in den Hinweisen zum Ausfüllen des Meldeformulars. Das BSI verweist für die NIS2-Registrierung und Vorfallmeldung auf das BSI-Portal. Der betroffene Rechtsträger und das konkrete Fachverfahren werden vor dem Ernstfall eingerichtet.
Im Beispiel besitzt eine Vertretung einen eigenen berechtigten Zugang. Das Team überprüft, ob Anmeldung und Freigabe ohne das möglicherweise ausgefallene Unternehmensnetz funktionieren. Für einen nicht verfügbaren Meldeweg werden die aktuellen behördlichen Hinweise herangezogen, erfolglose Versuche dokumentiert und zulässige Alternativen geprüft. Eine interne E-Mail an die Geschäftsleitung gilt nicht als Behördenmeldung.
Auftragsverarbeiter und Kundenkommunikation einbeziehen
Ein Auftragsverarbeiter unterrichtet den Verantwortlichen nach Artikel 33 Absatz 2 DSGVO unverzüglich nach Bekanntwerden einer Verletzung. Die 72 Stunden des Verantwortlichen sind keine gesetzliche Wartefrist für den Dienstleister. Verträge sollten deshalb schnelle, verwendbare Informationen ermöglichen: betroffene Leistung, Zeitpunkt, Datenarten, bekannte Folgen und Ansprechpartner.
Das Finanzunternehmen kann Aufgaben der DORA-Meldung unter den gesetzlichen Bedingungen auslagern, bleibt jedoch für seine Pflichten verantwortlich. Es prüft, wer die Meldung freigibt, unter welcher Kennung sie eingeht und wie es die Eingangsbestätigung erhält. Die Zusammenarbeit wird mit dem Verfahren zum Abstimmen von DORA und DSGVO verbunden.
Für betroffene Personen gilt eine weitere Entscheidung: Artikel 34 DSGVO knüpft an ein voraussichtlich hohes Risiko an und verlangt grundsätzlich unverzügliche Benachrichtigung. Dafür existiert keine pauschale 72-Stunden-Frist. Der Benachrichtigungsleitfaden hilft, konkrete Schutzhandlungen verständlich darzustellen. Auch einschlägige DORA-Informationen an betroffene Kunden werden separat geprüft; sie verschwinden nicht, weil die Bank bereits eine Behörde informiert hat.
Die Übergabe zwischen zwei Schichten prüfen
Um 18:00 Uhr übernimmt im Beispiel die Abendvertretung. Sie erhält die letzte freigegebene Sachverhaltsfassung, die tatsächlichen Versandzeitpunkte, Eingangsbestätigungen und die noch offenen Aufgaben. Der Zwischenbericht wird vom Zeitpunkt der versandten DORA-Erstmeldung berechnet, nicht vom Schichtwechsel. Die Vertretung bestätigt die Übernahme und prüft ihre Zugänge. Eine unversandte Entwurfsdatei wird ausdrücklich als Entwurf markiert. So kann die nächste Schicht unterscheiden, ob eine Meldung vorbereitet, freigegeben, technisch übermittelt oder von der Stelle bestätigt wurde. Diese vier Zustände verhindern, dass ein intern erledigtes Ticket irrtümlich als erfüllte Meldepflicht erscheint.
Mit offenen Punkten arbeitsfähig bleiben
Nicht jede Frage wird innerhalb der ersten Stunden abschließend beantwortet. Die Akte unterscheidet deshalb bestätigte Fakten, begründete Annahmen und offene Untersuchungen. Für jede offene Frage gibt es einen Verantwortlichen, einen nächsten Prüfzeitpunkt und die Meldespuren, die eine Antwort benötigen.
Kann eine DORA-Meldung nicht rechtzeitig erfolgen, verlangt die einschlägige Regelung eine Information der zuständigen Behörde mit Gründen innerhalb der dort beschriebenen Grenzen. Eine verspätete DSGVO-Meldung enthält ebenfalls Gründe für die Verzögerung. Das Team verschiebt eine gesetzliche Frist nicht durch einen internen Freigabestatus und wartet nicht auf einen vollständigen forensischen Abschlussbericht.
Die spätere Übung prüft genau diese Übergänge: Dienstleisteralarm, Klassifizierung, Vertretung, Behördenzugang, korrigierte Personenzahl und fachliche Wiederherstellung. Erkenntnisse fließen in den IKT-Risikomanagementrahmen zurück. Eine belastbare Meldekoordination besteht aus begründeten einzelnen Entscheidungen auf einer konsistenten Tatsachengrundlage.