Website gehackt: wer haftet? Die DSGVO-Meldepflicht in 72 Stunden

Hinweis: Dieser Artikel gibt eine praxisnahe Orientierung für Website-Betreiber. Er ersetzt keine Rechtsberatung. Im Zweifelsfall konsultier einen Fachanwalt für IT-Recht oder deinen Datenschutzbeauftragten.

Wann besteht eine DSGVO-Meldepflicht?

Nach Art. 33 DSGVO musst du eine Datenschutzverletzung innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde melden. Eine Meldepflicht besteht immer dann, wenn bei einem Sicherheitsvorfall personenbezogene Daten betroffen sein könnten. Entscheidend ist nicht, ob tatsächlich Daten abgeflossen sind, sondern ob ein Risiko besteht.

Für WordPress-Websites bedeutet das: Wenn ein Angreifer Zugriff auf deine Installation hatte und dort personenbezogene Daten gespeichert werden, musst du von einem Risiko ausgehen. Die Beweislast liegt bei dir. Du musst nachweisen können, dass keine Daten betroffen waren, nicht umgekehrt.

Ausnahme: Eine Meldung ist nicht erforderlich, wenn die Verletzung „voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt“. In der Praxis ist diese Ausnahme bei gehackten Websites selten anwendbar, da der Umfang des Zugriffs meist nicht sofort geklärt werden kann.

Welche Daten sind typischerweise betroffen?

WordPress-Websites speichern mehr personenbezogene Daten als viele Betreiber vermuten. Prüf, welche der folgenden Datenkategorien auf deiner Website vorhanden sind.

• Kontaktformulare: Name, E-Mail, Telefonnummer, Nachrichteninhalt (oft in der Datenbank oder per E-Mail gespeichert)
• WooCommerce-Bestelldaten: Name, Adresse, E-Mail, Telefon, Bestellhistorie, ggf. Zahlungsinformationen
• Newsletter-Abonnenten: E-Mail-Adressen und ggf. Namen
• Benutzer-Registrierungen: Benutzername, E-Mail, ggf. weitere Profilfelder
• Kommentare: Name, E-Mail-Adresse, IP-Adresse
• Bewerbungsformulare: Lebensläufe, Anschreiben, persönliche Daten
• Buchungssysteme: Termine, Namen, Kontaktdaten, ggf. Gesundheitsdaten

Besonders kritisch: Wenn deine Website Gesundheitsdaten (z.B. bei Ärzten oder Therapeuten), Finanzdaten oder Daten von Minderjährigen verarbeitet, gelten erhöhte Anforderungen.

Die 72-Stunden-Frist: Was genau bedeutet sie?

Die Frist von 72 Stunden beginnt nicht mit dem Zeitpunkt des Hacks, sondern mit dem Zeitpunkt, an dem du Kenntnis von der Datenschutzverletzung erlangst. „Kenntnis“ bedeutet: Du hast erfahren, dass deine Website gehackt wurde, z.B. durch eine Hoster-Benachrichtigung, eine Google-Warnung oder eigene Entdeckung.

Wichtig: Dokumentier den genauen Zeitpunkt, an dem du den Hack bemerkt hast. Notier Datum und Uhrzeit, wie du den Hack entdeckt hast und welche ersten Maßnahmen du ergriffen hast. Diese Dokumentation wird bei der Meldung benötigt.

Wenn du die Meldung nicht innerhalb von 72 Stunden abgeben kannst (z. B. weil die Analyse noch läuft), musst du eine vorläufige Meldung abgeben und diese später ergänzen. Eine verspätete Meldung mit Begründung ist besser als keine Meldung.

Was muss die Meldung an die Aufsichtsbehörde enthalten?

Art. 33 Abs. 3 DSGVO definiert den Mindestinhalt der Meldung. In der Praxis stellen die meisten Landesaufsichtsbehörden Online-Formulare bereit, die dich durch die Pflichtangaben führen.

1. Art der Verletzung: Was ist passiert? (z.B. „Unbefugter Zugriff auf WordPress-Installation durch ausgenutzte Plugin-Schwachstelle“)
2. Betroffene Datenkategorien: Welche Arten von Daten waren potenziell betroffen? (z.B. Kontaktformulardaten, Benutzer-Logins)
3. Ungefähre Zahl der Betroffenen: Wie viele Personen sind betroffen? (Schätzung reicht, z.B. „ca. 500 Kontaktformular-Einträge“)
4. Kontaktdaten des Datenschutzbeauftragten: Falls vorhanden, sonst des Verantwortlichen
5. Wahrscheinliche Folgen: Was könnte Betroffenen passieren? (z.B. Phishing-Mails, Identitätsdiebstahl)
6. Ergriffene Maßnahmen: Was hast du unternommen? (z.B. Website gesperrt, Passwörter geändert, Malware entfernt)

An wen meldest du?

Die Meldung geht an die Datenschutzaufsichtsbehörde deines Bundeslandes. Für Unternehmen ist das die Behörde am Sitz des Unternehmens. Jede Behörde bietet ein Online-Meldeformular an.

Beispiele:

• Bayern: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
• NRW: Landesbeauftragte für Datenschutz und Informationsfreiheit NRW
• Hessen: Hessischer Beauftragter für Datenschutz und Informationsfreiheit
• Niedersachsen: Landesbeauftragte für den Datenschutz Niedersachsen

Tipp: Such nach „Datenschutz Meldung Datenpanne [dein Bundesland]“. Die Online-Formulare sind in der Regel selbsterklärend und führen dich durch den Prozess.

Wann müssen auch die Betroffenen informiert werden?

Neben der Meldung an die Behörde kann eine Pflicht zur Benachrichtigung der betroffenen Personen bestehen. Art. 34 DSGVO verlangt das, wenn die Datenschutzverletzung „voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten“ der Betroffenen mit sich bringt.

Ein hohes Risiko liegt typischerweise vor, wenn:

• Login-Daten (Benutzername + Passwort) abgegriffen wurden
• Zahlungsdaten oder Bankverbindungen betroffen sind
• Gesundheitsdaten oder andere sensible Kategorien offengelegt wurden
• Die Daten für Identitätsdiebstahl missbraucht werden können

Die Benachrichtigung muss in „klarer und einfacher Sprache“ erfolgen und die gleichen Informationen enthalten wie die Behördenmeldung (Art der Verletzung, mögliche Folgen, ergriffene Maßnahmen, Empfehlungen zum Selbstschutz).

Praktische Checkliste: Was tun nach einem Hack?

Diese Checkliste verbindet die technischen Sofortmaßnahmen mit den rechtlichen Pflichten. Für die technische Bereinigung im Detail empfehle ich meinen Erste-Hilfe-Guide für gehackte WordPress-Websites.

1. Zeitpunkt dokumentieren: Wann hast du den Hack bemerkt? (72-Stunden-Frist beginnt)
2. Beweise sichern: Screenshots, Log-Dateien, aktuellen Zustand als Backup
3. Website in Wartungsmodus setzen: Weitere Datenabflüsse verhindern
4. Gespeicherte Daten prüfen: Welche personenbezogenen Daten liegen auf der Website?
5. Ausmaß einschätzen: Wie lange war der Angreifer im System? Welche Daten waren erreichbar?
6. Meldung an Aufsichtsbehörde: Online-Formular der zuständigen Behörde nutzen
7. Betroffene informieren: Falls hohes Risiko besteht (Art. 34 DSGVO)
8. Technische Bereinigung: Malware entfernen, Schwachstelle identifizieren, absichern
9. Dokumentation vervollständigen: Alle Maßnahmen mit Zeitstempel festhalten
10. Präventionsmaßnahmen umsetzen: Laufende Wartung für dauerhaften Schutz
11. Datenschutz-Grundlagen prüfen: Die DSGVO-Checkliste für Websites zeigt, welche Daten deine Seite überhaupt verarbeitet. Wer das vorher weiß, kann im Ernstfall binnen Stunden beantworten, was betroffen ist

Wer haftet, wenn die Website gehackt wird?

Datenschutzrechtlich haftet der Betreiber der Website. Er ist der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO, und diese Rolle lässt sich nicht an einen Dienstleister abgeben. Nach Art. 24 DSGVO muss er nachweisen können, dass er angemessene technische Maßnahmen getroffen hat, und nach Art. 5 Abs. 2 trägt er die Beweislast dafür. Wer nach einem Vorfall nicht zeigen kann, dass Updates liefen und Backups existierten, steht deshalb schlechter da als jemand mit einer dokumentierten Wartung.

Agentur, Entwickler und Hoster sind in der Regel Auftragsverarbeiter nach Art. 28 DSGVO. Dafür braucht es einen Vertrag zur Auftragsverarbeitung, und in dem steht, wer welche Sicherheitsmaßnahmen schuldet. Hält ein Auftragsverarbeiter seine Zusagen nicht ein, kann er im Innenverhältnis in Anspruch genommen werden. Nach außen, gegenüber der Aufsichtsbehörde und den Betroffenen, bleibt trotzdem der Betreiber der Ansprechpartner.

Dazu kommt der Schadensersatz: Art. 82 DSGVO gibt Betroffenen einen Anspruch bei materiellem und immateriellem Schaden. Praktisch relevant wird das, wenn Kundendaten abgeflossen sind, nicht bei einer defacten Startseite ohne Datenbezug.

Drei Dinge entscheiden also über die Haftung: ob Sicherheitsmaßnahmen belegbar eingerichtet waren, ob es einen Auftragsverarbeitungsvertrag gibt, und ob fristgerecht gemeldet wurde. Das erste ist eine technische Frage, die zweite und dritte eine rechtliche. Für die rechtliche Bewertung eines konkreten Vorfalls ist ein Anwalt für IT-Recht zuständig, nicht dieser Artikel.

Bußgelder und Konsequenzen bei Nicht-Meldung

Die DSGVO sieht für Verstöße gegen die Meldepflicht empfindliche Strafen vor. Nach Art. 83 Abs. 4 DSGVO drohen Geldbußen von bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist.

In der Praxis fallen die Bußgelder für KMU deutlich geringer aus. Die Aufsichtsbehörden berücksichtigen Unternehmensgröße, Schwere des Verstoßes und ob der Verantwortliche kooperiert. Aber selbst einige tausend Euro sind vermeidbar, wenn du die Meldepflicht einhältst.

Schwerer als das Bußgeld wiegt oft der Reputationsschaden. Kunden und Geschäftspartner, die erfahren, dass ein Hack nicht gemeldet wurde, verlieren das Vertrauen. Eine transparente, fristgerechte Meldung signalisiert dagegen, dass du den Vorfall ernst nimmst und verantwortungsvoll handelst.

Prävention: So minimierst du das Risiko

Die beste Strategie gegen DSGVO-Meldepflichten ist, Hacks gar nicht erst zuzulassen. Die wichtigsten Maßnahmen:

• Regelmäßige Updates: WordPress, Plugins und Themes aktuell halten
• Starke Passwörter + 2FA: Auf allen Admin-Konten
• Datenminimierung: Nur die Daten speichern, die du wirklich brauchst. Kontaktformular-Einträge nicht länger als nötig aufbewahren
• Verschlüsselung: SSL/TLS für alle Datenübertragungen
• Monitoring: Datei-Integritätsprüfung und Malware-Scans erkennen Angriffe früh
• Notfallplan: Vorab definieren, wer im Hack-Fall was tut und wo die Meldung erfolgt

Mit einem professionellen Wartungspaket sind Updates, Sicherheitsscans und Backups abgedeckt. Im Ernstfall übernehme ich die technische Bereinigung und liefere die Dokumentation, die du für die Behördenmeldung brauchst.

Für die Meldung selbst zählt, was du über den Vorfall belegen kannst. Ein WordPress-Sicherheitscheck liefert genau diese Grundlage: einen schriftlichen Befund dazu, welche Dateien verändert wurden, welche Konten existieren und ob ein Zugriff auf personenbezogene Daten technisch möglich war. Das ist der Unterschied zwischen einer Meldung mit Substanz und einer Vermutung.

Nochmals der Hinweis: Dieser Artikel dient der Orientierung und ersetzt keine Rechtsberatung. Bei einem konkreten Sicherheitsvorfall mit personenbezogenen Daten konsultier deinen Datenschutzbeauftragten oder einen Fachanwalt für IT-Recht.

---

Quellen

• Art. 33 DSGVO: Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
• Art. 34 DSGVO: Benachrichtigung der betroffenen Person
• Art. 83 Abs. 4 DSGVO: Bußgeldrahmen bis 10 Mio. Euro oder 2% des weltweiten Jahresumsatzes
• EDSA-Leitlinien 01/2021: Beispiele für die Meldung von Datenschutzverletzungen
• BfDI: Anschriften der Landesdatenschutzbehörden, dort geht die Meldung hin