29. Juli 2026

Cyberangriff beim IT-Dienstleister: Wer ist verantwortlich und was müssen Auftraggeber tun?

Ein Unternehmen lagert seine IT an einen externen Dienstleister aus. Kundendaten, Personalinformationen oder Abrechnungsdaten werden in dessen Rechenzentrum verarbeitet. Dann kommt die Nachricht: Der Dienstleister wurde angegriffen. Daten wurden möglicherweise kopiert, verschlüsselt oder veröffentlicht.

In einer solchen Situation liegt der Gedanke nahe, der IT-Dienstleister müsse nun alles Weitere regeln. Datenschutzrechtlich ist es jedoch nicht so einfach. Wer personenbezogene Daten durch einen Dienstleister verarbeiten lässt, gibt die technische Durchführung ab – nicht aber automatisch die eigene Verantwortung.

Der Landesbeauftragte für den Datenschutz Niedersachsen hat im Juni 2026 ausdrücklich darauf hingewiesen. Im ersten Quartal 2026 wurden der Behörde 573 Datenschutzverletzungen gemeldet; im Vorjahreszeitraum waren es 435. Die Zahl umfasst neben Cyberangriffen allerdings auch andere Vorfälle, etwa Fehlversendungen oder technisches Versagen.

Lesezeit: ca. 8 Minuten
Zielgruppe: Kleine und mittelständische Unternehmen, Kommunen, kommunale Unternehmen und öffentliche Einrichtungen
Das Wichtigste:

• Die Auslagerung der IT beseitigt nicht die datenschutzrechtliche Verantwortung des Auftraggebers.
• Der Dienstleister muss den Auftraggeber unverzüglich informieren; die Meldung an die Datenschutzaufsicht obliegt grundsätzlich dem Verantwortlichen.
• Auswahl, Vertrag, Kontrollmechanismen und Notfallprozesse sollten vor einem Sicherheitsvorfall geregelt sein.

Warum Angriffe auf IT-Dienstleister besonders problematisch sind

IT-Dienstleister verarbeiten häufig Daten für zahlreiche Kunden gleichzeitig. Ein erfolgreicher Angriff kann deshalb nicht nur ein einzelnes Unternehmen, sondern viele Auftraggeber und eine große Zahl betroffener Personen treffen.

Das gilt beispielsweise für Anbieter von:

• Cloud- und Hostingdiensten,
• Personal- und Lohnabrechnung,
• Kunden- und Abrechnungssystemen,
• Dokumentenmanagement,
• E-Mail- und Kollaborationslösungen,
• kommunalen Fachverfahren,
• Fernwartung,
• Datensicherung,
• Druck- und Versanddienstleistungen.

Gerade kleinere Unternehmen und kommunale Einrichtungen sind auf solche Anbieter angewiesen. Sie können komplexe Systeme häufig nicht vollständig selbst betreiben. Die Auslagerung ist daher nicht grundsätzlich problematisch. Entscheidend ist, dass sie rechtlich, technisch und organisatorisch beherrscht wird.

Wer ist datenschutzrechtlich verantwortlich?

Verarbeitet ein Dienstleister personenbezogene Daten ausschließlich nach Weisung des Auftraggebers, liegt regelmäßig eine Auftragsverarbeitung vor.

Der Auftraggeber bleibt dann der datenschutzrechtlich Verantwortliche. Er entscheidet über Zweck und wesentliche Rahmenbedingungen der Verarbeitung. Der Dienstleister ist Auftragsverarbeiter und verarbeitet die Daten für ihn.

Das hat praktische Folgen:

Der Auftraggeber muss den Dienstleister sorgfältig auswählen, die Verarbeitung vertraglich regeln und sich davon überzeugen, dass ein angemessenes Schutzniveau besteht. Der Auftragsverarbeiter muss geeignete Sicherheitsmaßnahmen umsetzen und den Verantwortlichen unverzüglich informieren, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird. Der niedersächsische Landesdatenschutzbeauftragte hat diese Rollenverteilung in seiner aktuellen Mitteilung ausdrücklich hervorgehoben.

Nicht jede Zusammenarbeit ist jedoch automatisch eine Auftragsverarbeitung. Verfolgt der Dienstleister eigene Zwecke oder entscheidet er selbst über wesentliche Mittel der Verarbeitung, kann eine eigene oder gemeinsame Verantwortlichkeit vorliegen. Die Rollen sollten deshalb nicht allein anhand der Vertragsüberschrift, sondern anhand der tatsächlichen Tätigkeit bestimmt werden.

Wer muss die Datenschutzverletzung melden?

Der IT-Dienstleister muss seinen Auftraggeber unverzüglich über den Vorfall informieren. Die Prüfung, ob eine Meldung an die zuständige Datenschutzaufsichtsbehörde erforderlich ist, liegt grundsätzlich beim Verantwortlichen.

Eine meldepflichtige Datenschutzverletzung ist grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden zu melden. Maßgeblich ist dabei nicht zwingend der Zeitpunkt des Angriffs, sondern der Zeitpunkt, zu dem der Verantwortliche hinreichende Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt.

Für Auftraggeber entsteht dadurch ein praktisches Problem: Sie sind bei ihrer Bewertung auf Informationen des Dienstleisters angewiesen.

Sie müssen beispielsweise wissen:

• Welche Systeme sind betroffen?
• Welche Daten wurden verarbeitet?
• Wurden Daten nur verschlüsselt oder auch kopiert?
• Welche Personengruppen sind betroffen?
• Wie viele Datensätze könnten betroffen sein?
• Waren die Daten zusätzlich verschlüsselt?
• Welche Zugänge wurden kompromittiert?
• Ist der Angriff beendet oder dauert er an?
• Welche Schutzmaßnahmen wurden bereits getroffen?

Der Vertrag sollte deshalb festlegen, welche Informationen der Dienstleister wann und in welcher Form bereitstellen muss.

Wann müssen die betroffenen Personen informiert werden?

Nicht jede Datenschutzverletzung führt automatisch zu einer Information aller Betroffenen.

Eine Benachrichtigung ist erforderlich, wenn voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Personen besteht. Das kann insbesondere bei besonders sensiblen, umfangreichen oder missbrauchsanfälligen Daten der Fall sein.

Beispiele sind:

• Gesundheitsdaten,
• Bank- und Zahlungsdaten,
• Ausweisdaten,
• Zugangsdaten und Passwörter,
• Sozialdaten,
• umfangreiche Beschäftigtendaten,
• Daten von Kindern,
• detaillierte Kunden- oder Verbrauchsprofile.

Der Verantwortliche muss das Risiko selbst bewerten. Der Dienstleister liefert die technischen Informationen, die rechtliche und organisatorische Entscheidung verbleibt aber grundsätzlich beim Auftraggeber.

Die Meldung ist kein Schuldeingeständnis

Unternehmen zögern mitunter, einen Vorfall zu melden. Sie fürchten, dass bereits die Meldung als Eingeständnis unzureichender Sicherheitsmaßnahmen verstanden werden könnte.

Der Landesdatenschutzbeauftragte betont dagegen ausdrücklich, dass eine Meldung kein Schuldeingeständnis ist. Wer einen Vorfall offen und fristgerecht anzeigt, erfüllt zunächst eine gesetzliche Pflicht. Ob zusätzlich organisatorische oder technische Versäumnisse bestanden, ist eine andere Frage.

Gefährlicher ist es regelmäßig, einen meldepflichtigen Vorfall nicht oder verspätet anzuzeigen.

Welche Pflichten hat der IT-Dienstleister?

Ein Dienstleister darf nicht erst dann tätig werden, wenn ein Angriff erfolgt ist.

Er muss bereits zuvor geeignete technische und organisatorische Maßnahmen treffen. Der niedersächsische Landesdatenschutzbeauftragte nennt hierzu unter anderem:

• abgesicherte Schnittstellen,
• Zugriffs- und Berechtigungskonzepte,
• Mehr-Faktor-Authentifizierung,
• Verschlüsselung gespeicherter Daten,
• Datensparsamkeit,
• regelmäßige Datensicherungen.

Backups bleiben wichtig, lösen aber nur einen Teil des Problems. Sie können bei der Wiederherstellung verschlüsselter oder gelöschter Systeme helfen. Sie verhindern jedoch nicht, dass Angreifer zuvor Daten kopieren und später veröffentlichen.

Worauf Auftraggeber schon bei der Auswahl achten sollten

Ein günstiger Preis und ein ansprechender Funktionsumfang reichen für die Auswahl eines Dienstleisters nicht aus.

Vor der Beauftragung sollten Unternehmen und öffentliche Einrichtungen unter anderem klären:

• Welche Daten soll der Anbieter verarbeiten?
• Wie sensibel und umfangreich sind diese Daten?
• Wo werden sie gespeichert?
• Welche Unterauftragnehmer werden eingesetzt?
• Wie werden Zugriffe abgesichert?
• Gibt es eine Mehr-Faktor-Authentifizierung?
• Wie werden Sicherheitsvorfälle erkannt?
• Welche Meldewege bestehen?
• Wie oft werden Schutzmaßnahmen überprüft?
• Liegen nachvollziehbare Zertifizierungen oder Prüfberichte vor?
• Wie werden Daten nach Vertragsende zurückgegeben und gelöscht?
• Wie kann der Betrieb bei einem Ausfall fortgeführt werden?

Je kritischer die Verarbeitung, desto intensiver muss die Prüfung ausfallen.

Was in den Vertrag gehört

Ein Vertrag zur Auftragsverarbeitung darf nicht nur die gesetzlichen Mindestbegriffe wiederholen. Er sollte die tatsächliche Dienstleistung möglichst konkret abbilden.

Besonders wichtig sind:

Schnelle Information bei Vorfällen

Der Dienstleister sollte verpflichtet sein, den Auftraggeber unverzüglich über jeden relevanten Sicherheitsvorfall zu informieren. Interne Meldefristen können deutlich kürzer sein als die 72-Stunden-Frist des Verantwortlichen.

Konkreter Informationsumfang

Die Erstmeldung sollte zumindest Art des Vorfalls, betroffene Systeme, mögliche Datenkategorien, eingeleitete Maßnahmen und Ansprechpartner enthalten.

Laufende Aktualisierung

Bei einem Cyberangriff sind zu Beginn selten alle Einzelheiten bekannt. Der Dienstleister sollte deshalb verpflichtet sein, neue Erkenntnisse laufend mitzuteilen.

Unterstützungspflichten

Der Auftraggeber benötigt Unterstützung bei Risikobewertung, Behördenmeldung, Betroffeneninformation und Dokumentation.

Unterauftragnehmer

Es muss klar sein, welche weiteren Anbieter eingesetzt werden und wie der Auftraggeber über Änderungen informiert wird.

Prüfungs- und Nachweisrechte

Der Auftraggeber braucht realistisch nutzbare Möglichkeiten, sich von der Sicherheit der Verarbeitung zu überzeugen.

Haftung und Kostentragung

Zu regeln ist, wer Kosten für Untersuchungen, Wiederherstellung, Benachrichtigung oder externe Beratung trägt, soweit der Vorfall aus dem Verantwortungsbereich des Dienstleisters stammt.

Was nach einer Vorfallsmeldung sofort geschehen sollte

Erhält ein Unternehmen eine Angriffsmeldung seines Dienstleisters, sollte es strukturiert vorgehen:

1. Eingang und Zeitpunkt der Meldung dokumentieren.
2. Internes Krisen- oder Datenschutzteam aktivieren.
3. Datenschutzbeauftragten und Informationssicherheit einbinden.
4. Betroffene Systeme, Daten und Personengruppen ermitteln.
5. Fehlende Informationen unverzüglich beim Dienstleister anfordern.
6. Risiko für die Betroffenen bewerten.
7. Meldepflicht gegenüber der Datenschutzaufsicht prüfen.
8. Erforderlichkeit einer Betroffeneninformation prüfen.
9. Zugänge, Passwörter und Schnittstellen absichern.
10. Alle Entscheidungen und Maßnahmen dokumentieren.
11. Bei einem Cyberangriff zusätzlich eine Strafanzeige und die Einbindung zuständiger Cybercrime-Stellen prüfen.

Die datenschutzrechtliche Meldung ersetzt nach Hinweis des LfD Niedersachsen nicht die mögliche Einschaltung der Strafverfolgungsbehörden.

Fazit

Wer seine IT auslagert, kann Fachwissen und technische Infrastruktur einkaufen. Die eigene datenschutzrechtliche Verantwortung verschwindet dadurch jedoch nicht.

Unternehmen, Kommunen und kommunale Betriebe müssen ihre Dienstleister sorgfältig auswählen, klare Verträge schließen und einen belastbaren Notfallprozess vorhalten. Kommt es zu einem Angriff, sind schnelle Informationen und geklärte Zuständigkeiten entscheidend.

Benötigen Sie Unterstützung?

Ich unterstütze Unternehmen und öffentliche Einrichtungen bei der Gestaltung von Auftragsverarbeitungsverträgen, der Prüfung von IT-Dienstleistern und der rechtlichen Begleitung von Datenschutzvorfällen – pragmatisch, verständlich und digital.

Quellenhinweis:
Grundlage des aktuellen Aufhängers ist die Pressemitteilung Nr. 10/2026 des Landesbeauftragten für den Datenschutz Niedersachsen vom 2. Juni 2026. (https://www.lfd.niedersachsen.de/startseite/infothek/presseinformationen/cyberangriffe-lfd-niedersachsen-fordert-verantwortliche-und-it-dienstleister-zum-handeln-auf-251308.html)