Phishing

Meldepflichtig wird er, sobald personenbezogene Daten tatsächlich abgeflossen sind und daraus ein Risiko für die Betroffenen entsteht – dann gilt Artikel 33 Absatz 1 DSGVO mit der Frist unverzüglich und möglichst binnen 72 Stunden, gerechnet ab Kenntnis der Verletzung, nicht ab Eingang der Nachricht. Eine abgefangene Nachricht, auf die niemand reagiert hat, ist keine Datenschutzverletzung. Ein fremd gelesenes Postfach mit Kundendaten ist eine. Dokumentiert werden muss nach Absatz 5 jede Verletzung, auch die nicht gemeldete.

Zum Bundesamt für Sicherheit in der Informationstechnik geht sie nur, wenn das Unternehmen als besonders wichtige oder wichtige Einrichtung unter § 32 BSIG fällt oder eine kritische Anlage betreibt. Dann verlangt Absatz 1 drei Stufen: Erstmeldung binnen 24 Stunden, Meldung des Sicherheitsvorfalls binnen 72 Stunden, Abschlussmeldung binnen eines Monats nach dieser Meldung. Unterhalb der Schwellenwerte besteht gegenüber dem BSI keine Meldepflicht – die datenschutzrechtliche entsteht unabhängig von Größe und Branche.

Der Kopf trägt die Zeile Authentication-Results nach RFC 8601, in der das empfangende System seine Prüfergebnisse zu DKIM und SPF ablegt – ein Fehlschlag dort ist ein harter Befund, den die frei beschreibbare Absenderzeile nie verrät. Umgekehrt gilt die Grenze: Ein bestandener Test belegt nur, dass die Domain im Absender echt ist. RFC 7489 führt ähnlich aussehende Domains ausdrücklich als ungelösten Fall.

Es landet in fremder Hand, und ein neues Passwort allein beendet den Zugriff nicht. Die Herstellerdokumentation nennt für ein übernommenes Postfach sechs Schritte, weil mehrere Wege die Übernahme überdauern: aktive Anmeldesitzungen samt Aktualisierungstoken müssen widerrufen, die Postfachregeln auf stille Weiterleitungen geprüft werden. Anwendungskennwörter verfallen beim Zurücksetzen des Kennworts ausdrücklich nicht. Und das neue Kennwort darf nicht per Mail an genau das betroffene Postfach gehen.

In der Regel das Unternehmen selbst. Gibt ein Mitarbeiter die Zahlung frei, ist der Vorgang autorisiert – die Erstattungspflicht der Bank aus § 675u BGB greift nur bei nicht autorisierten Zahlungen. Die Haftungsgrenze von 50 Euro aus § 675v Absatz 1 BGB hilft ebenfalls nicht: Bei grober Fahrlässigkeit entfällt sie nach Absatz 3, und gegenüber Nicht-Verbrauchern darf sie nach § 675e Absatz 4 BGB vertraglich abbedungen werden.