- Aktenzeichen
- BEO-2026-034
- Eingang
- Rubrik
- Offene Fragen – Experten schlagen vor
- Einstufung
- offen
- Verfasser
- M.V.R.H.S.Rufname
- Bearbeiter
Folgeartikel zu: Ein Mini-Protokoll nach einem Passwortleck – Offene Fragen an John Doe
.-. .-.
/ \ / \
| / \ | | / \ |
|| || || ||
|| || || ||
.-' ' - ' '-.
,' .--. .--. '.
.-. | _ | ___ | _ | ,.-.
( \ .(_).' \ / .(_).' / )
>- '--------\_|_/--------' -<
(_ .-------------------------. _)
`--- ---'-,
/ .-'''-. ';
; / ', \ Rabbit of
) / - y=, Caerbannog
_/ / /\ ' ; c
((((_/(((_______/_;,v=" ldb
ehrung an monty python. ascii-zeichnung von laura brown (ldb), via asciiart.website.
201825Z oct 26 · 51.7275 N, 11.5148 E
Folgeartikel zum Artikel Ein Mini-Protokoll nach einem Passwortleck (BEO-2026-018) und seinem Nachtrag zu: Ein Mini-Protokoll nach einem Passwortleck (BEO-2026-026).
Neue Rubrik: Offene Fragen – Experten schlagen vor. Hier lege ich die Fragen auf den Tisch, die in meinen Beiträgen offen geblieben sind, und frage hart nach. Die Fragen sind von mir. Antworten gibt John Doe, mein KI-Assistent, in der Rolle eines Fachexperten für die Behandlung von Sicherheitsvorfällen. Wichtig: John Doe ist kein Mensch und kein echter Experte. Er hält sich an die belegten Fakten aus dem Artikel und seinem Nachtrag und kennzeichnet alles andere als Einschätzung.
Ich: Ein Protokoll nach einem Passwortleck: Ist das nicht Zeitverschwendung, wenn man das Passwort einfach ändert?
John Doe: Der Artikel schlägt vor, auch festzuhalten, wo das Passwort sonst noch verwendet wurde und was man danach ändert. Meine Einschätzung ist, dass genau diese beiden Punkte beim schnellen Ändern oft vergessen werden. Das Protokoll ist nach meiner Einschätzung weniger Dokumentation als eine Checkliste.
Ich: Die DSGVO nimmt rein persönliche Tätigkeiten aus. Ist damit nicht jede Pflicht vom Tisch und das Protokoll überflüssig?
John Doe: Laut Nachtrag nimmt Artikel 2 Absatz 2 Buchstabe c die Verarbeitung durch natürliche Personen für ausschließlich persönliche oder familiäre Tätigkeiten aus. Das betrifft rechtliche Pflichten, nicht den praktischen Nutzen einer Notiz. Meine Einschätzung ist, dass das Protokoll freiwillig bleibt und gerade deshalb schlank sein darf.
Ich: Die 72-Stunden-Meldepflicht trifft den Dienst, nicht mich. Kann ich mich dann zurücklehnen und warten?
John Doe: Laut Artikel 33 meldet der Verantwortliche eine Verletzung unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde, außer es besteht voraussichtlich kein Risiko für die Betroffenen. Der Nachtrag liest daraus, dass die Pflicht beim Dienst liegt und nicht beim Kunden. Meine Einschätzung ist, dass man trotzdem sofort selbst handeln sollte, weil die Meldung an eine Behörde das eigene Konto nicht schützt.
Ich: Private und berufliche Konten sind oft gemischt. Bricht die schöne Ausnahme dann nicht sofort zusammen?
John Doe: Der Nachtrag sagt ausdrücklich, dass er diesen Fall nicht geprüft hat und ihn als rechtliche Frage nicht beantwortet. Ich erfinde hier keine Rechtslage. Meine Einschätzung ist, dass man berufliche Konten im Zweifel nach den Regeln des Arbeitgebers behandelt und nicht nach dem privaten Protokoll.
Ich: Die Zitate stammen aus einer Textwiedergabe, nicht vom amtlichen EUR-Lex. Wie belastbar ist das?
John Doe: Der Nachtrag nennt das offen: Der amtliche Text auf EUR-Lex ließ sich nicht abrufen. Meine Einschätzung ist, dass die Lesart dadurch nicht falsch wird, aber vor einer verbindlichen Aussage mit dem amtlichen Text abgeglichen werden sollte. Der Nachtrag sagt außerdem selbst, dass es keine Rechtsberatung ist.
Ich: Passwort ändern, Sitzungen beenden, Zwei-Faktor an. Ist das nicht so selbstverständlich, dass man es nicht aufschreiben muss?
John Doe: Der Entwurf zählt diese Schritte als Sofortmaßnahmen auf. Meine Einschätzung ist, dass das Aufschreiben hilft, nichts zu vergessen und später nachzuweisen, was man getan hat. Selbstverständlich ist es nach meiner Einschätzung erst, wenn man es einmal gemacht hat.
Ich: Der Autor hat das nie ausprobiert, auch nach dem Nachtrag nicht. Warum soll ich einem ungetesteten Plan folgen?
John Doe: Artikel und Nachtrag sagen beide, dass nicht bekannt ist, ob das Protokoll in der Praxis hilft. Meine Einschätzung ist, dass ein Plan vor dem Ernstfall gerade dann sinnvoll ist, wenn noch nichts passiert ist. Testen ließe er sich, als meine Einschätzung, mit einem gespielten Fall.
Quellen
- Both Eyes Open, BEO-2026-018: Ein Mini-Protokoll nach einem Passwortleck
- Both Eyes Open, BEO-2026-026: Nachtrag zu: Ein Mini-Protokoll nach einem Passwortleck
- Proton, 16.10.2026 (Kate Menzies): Security incident logs: How to create logs that satisfy GDPR and regulators
- dsgvo-gesetz.de, o. D. (Textwiedergabe): Art. 2 DSGVO – Sachlicher Anwendungsbereich
- dsgvo-gesetz.de, o. D. (Textwiedergabe): Erwägungsgrund 18 DSGVO
- dsgvo-gesetz.de, o. D. (Textwiedergabe): Art. 33 DSGVO – Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
Horidor