Hundert Tage zwischen dem Einbruch und der Entscheidung

Am 30. Juli 2026 erreichten die ersten Briefe ihre Empfänger. Darin stand, dass Name, Anschrift, Geburtsdatum, Sozialversicherungsnummer, Führerschein, amtliche Ausweisdokumente, Bankverbindungen, Kartennummern und Krankenakten abgeflossen sein könnten. Bei manchen Betroffenen umfassten die gestohlenen Kartendaten auch die Prüfziffer auf der Rückseite. Absender war CareCloud, ein Software-Unternehmen im Gesundheitswesen, dessen Systeme Akten im Auftrag von Arztpraxen führen.

Der Einbruch fand im März statt. Angreifer waren zwischen dem 10. und dem 16. März 2026 in einer von sechs Umgebungen für elektronische Patientenakten, die bei Amazon Web Services betrieben werden. Am 16. März war die Umgebung gestört und noch am selben Abend wiederhergestellt. Ende des Monats machte das Unternehmen den Vorfall öffentlich und wies zugleich darauf hin, dass die Untersuchung des tatsächlichen Zugriffs noch laufe.

Diese Untersuchung kam am 24. Juni zum Ergebnis, dass persönliche, finanzielle und medizinische Daten betroffen waren. Vom 16. März bis zum 24. Juni sind es genau hundert Tage. Bis zu den ersten Briefen sind es hundertsechsunddreißig.

Die Frist beginnt nicht dort, wo Sie es annehmen

Die amerikanische Meldepflicht im Gesundheitswesen folgt einer Sechzig-Tage-Regel: Betroffene sind ohne unangemessene Verzögerung und spätestens sechzig Kalendertage nach Entdeckung einer Verletzung zu unterrichten. Wörtlich gelesen klingt Entdeckung nach dem Tag, an dem man vom Einbruch erfährt, hier also der 16. März. Nach dieser Lesart sind die Briefe mehr als zwei Monate zu spät.

Die Lesart, mit der dieser Ablauf aufgeht, ist eine andere. Sie versteht unter Entdeckung den Tag, an dem die Untersuchung feststellt, dass geschützte Daten tatsächlich betroffen waren, also den 24. Juni. Rechnet man von dort sechzig Tage, liegen Briefe vom 30. Juli bequem innerhalb der Frist. Auf diese Lesart stützt sich die Praxis weithin, und deshalb lässt sich dieser Ablauf in jedem Bundesstaat verteidigen, in dem CareCloud gemeldet hat, darunter Kalifornien, Massachusetts, New Hampshire, Texas und Maine.

Welche Lesart auch zutrifft, achten Sie darauf, was die zweite bewirkt. Sie macht den Fristbeginn zum Ergebnis der Untersuchung, und keine Regel setzt eine Frist für das Ende einer Untersuchung. Eine Pflicht, die beginnt, wenn Sie ihren Beginn feststellen, ist eine Pflicht, deren Zeitpunkt Sie selbst bestimmen.

Europa hat die Regel andersherum geschrieben

Artikel 33 der DSGVO verlangt vom Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden. Bekanntwerden meint nicht den Abschluss eines forensischen Berichts. Gemeint ist der Punkt, an dem hinreichende Gewissheit besteht, dass ein Sicherheitsvorfall personenbezogene Daten betroffen hat, und dieser Punkt liegt in aller Regel lange vor dem Wissen darüber, wessen Daten und wie viele.

Der Gesetzgeber hat genau die Lücke vorhergesehen, in der CareCloud hundert Tage verbracht hat. Artikel 33 Absatz 4 erlaubt, Informationen schrittweise ohne unangemessene weitere Verzögerung nachzureichen, wenn sie nicht auf einmal vorliegen. Die Bauannahme lautet, dass Sie melden, während Sie noch im Unklaren sind, und ergänzen, während Sie dazulernen. Das amerikanische Modell lässt Sie warten, bis Sie es wissen; das europäische verlangt, vor dem Wissen zu melden und weiter zu melden.

Die Folge für einen Betreiber ist alles andere als abstrakt. Derselbe Vorfall auf derselben Infrastruktur erzeugt auf der einen Seite des Atlantiks eine Meldung binnen 72 Stunden und auf der anderen eine Feststellung nach hundert Tagen. Wenn die Reflexe Ihres Lieferanten am zweiten Zeitplan geschult sind, sitzen genau diese Reflexe nun zwischen Ihnen und Ihrer eigenen Frist.

Das Bild wuchs, während die Frist hinausgeschoben wurde

Den Fristbeginn hinauszuschieben wäre weniger gravierend, wenn die frühe Darstellung Bestand gehabt hätte. Sie hatte es nicht. CareClouds eigene Beschreibung im März bezifferte den unbefugten Zugriff auf rund acht Stunden am 16. März, begrenzt auf eine einzige Umgebung, ohne Beteiligung anderer Geschäftssysteme. Spätere Meldungen an die Bundesstaaten beschreiben Angreifer, die vom 10. bis zum 16. März in dieser Umgebung waren, also sechs Tage statt acht Stunden.

Auch die Zahl der Betroffenen wuchs. Die Meldungen nennen mindestens 345.000 Personen, inzwischen ist von mehr als 350.000 die Rede, und weitere Einreichungen dürften die Zahl erneut bewegen. Das Unternehmen hat erklärt, ein Angreifer habe behauptet, Daten aus seinen Datenbanken abgezogen zu haben, externe Fachleute hätten die Umgebung gesichert und bestätigt, dass kein dauerhafter unbefugter Zugriff verblieben sei, und es lägen keine Hinweise auf einen Missbrauch der gestohlenen Daten vor. Vorstandschef Stephen Snyder wollte sich auf Anfrage von Journalisten nicht äußern.

Jede dieser Korrekturen ging in dieselbe Richtung, und jede kam nach der ersten öffentlichen Darstellung. Eine Untersuchung, die ihre eigene Schätzung noch nach oben schraubt, ist kein Grund, die Betroffenen warten zu lassen. Sie ist der Grund, früh zu informieren und öffentlich nach oben zu korrigieren.

Die fehlende Zahl gehört in Ihren Vertrag

Verarbeitet ein Lieferant personenbezogene Daten in Ihrem Auftrag, sind Sie der Verantwortliche, und die 72 Stunden gehören Ihnen. Artikel 33 Absatz 2 verlangt vom Auftragsverarbeiter eine unverzügliche Meldung an den Verantwortlichen und hängt an dieses Wort keine Zahl. Artikel 28 verlangt, dass Ihr Vertrag den Auftragsverarbeiter zur Unterstützung bei Ihren Pflichten aus Artikel 33 verpflichtet. Zwischen diesen beiden Vorschriften klafft eine Lücke in Form einer Zahl, und wenn Sie sie nicht füllen, erben Sie den Zeitplan, den die Aufsicht Ihres Lieferanten gerade duldet.

Füllen Sie sie mit zwei Klauseln statt mit einer. Die erste setzt eine feste Frist in Stunden, gerechnet ab dem Moment, in dem der Lieferant einen Sicherheitsvorfall in einer Umgebung mit Ihren Daten erkennt - nicht ab dem Moment, in dem er feststellt, welche Daten betroffen waren, denn für dieses zweite Ereignis gibt es keine Frist. Die zweite gibt Ihnen Anspruch auf die Fakten, sobald sie entstehen, also auf betroffene Umgebungen, Zugriffszeitraum und gefährdete Datenkategorien, statt auf einen einzigen fertigen Bericht am Ende.

Prüfen Sie das anschließend so, wie Sie ein Backup prüfen würden. Fragen Sie Ihre drei größten Auftragsverarbeiter schriftlich, wann sie zuletzt einen Sicherheitsvorfall in einer Umgebung mit Ihren Daten hatten, an welchem Tag sie ihn erkannt und an welchem Tag sie einen Kunden informiert haben. Ein Lieferant, der Ihnen diese beiden Daten auf Nachfrage nicht trennen kann, wird sie auch unter Druck nicht trennen. In Deutschland geht die Meldung an die zuständige Datenschutzaufsicht, und diese Behörde wird Sie fragen, warum sie zu spät kam, nicht Ihren Anbieter.

Weiterlesen: Eine Cookie-Beschwerde von 2021 ist zurück  |  Vier US-Clouds unterstehen jetzt einer britischen Aufsicht