Phishing-Angriffe im Unternehmen: Welche Pflichten gelten nach DSGVO und BSIG?

Das Wichtigste in Kürze

• Phishing kann Datenschutz-, Cybersicherheits- und Haftungsfragen auslösen. DSGVO und BSIG sind getrennt zu prüfen und können bei demselben Vorfall nebeneinander greifen. • Art. 32 DSGVO verlangt risikoadäquate Schutzmaßnahmen. Für nach dem BSIG erfasste Einrichtungen kommt mit § 30 BSIG ein gesetzlicher Mindestkatalog von Risikomanagementmaßnahmen hinzu. • Nach einem erfolgreichen Angriff können parallele Meldepflichten entstehen: nach der DSGVO grundsätzlich binnen 72 Stunden, nach dem BSIG bei einem erheblichen Sicherheitsvorfall in einem gestuften 24-/72-Stunden-Verfahren.

Welche Folgen kann ein Phishing-Angriff rechtlich haben?

Phishing bezeichnet Täuschungsversuche, mit denen Angreifer etwa Zugangsdaten erlangen oder Beschäftigte zu schädlichen Handlungen wie manipulierten Zahlungen veranlassen. Rechtlich relevant wird ein Angriff insbesondere dann, wenn personenbezogene Daten kompromittiert, IT-Systeme oder Dienste beeinträchtigt oder finanzielle Schäden verursacht werden.

Je nach Sachverhalt können aufsichtsbehördliche Maßnahmen, Melde- und Benachrichtigungspflichten, Bußgelder und Schadensersatzansprüche folgen. Für Unternehmen im Anwendungsbereich des BSIG kommen zusätzliche Cybersicherheitspflichten und mögliche Verantwortlichkeit der Geschäftsleitung hinzu. Entscheidend ist deshalb zunächst, welche gesetzlichen Anforderungen auf das Unternehmen und den konkreten Vorfall anwendbar sind.

Welche rechtlichen Vorgaben können bei einem Phishing-Angriff greifen?

Die DSGVO schützt personenbezogene Daten und ist relevant, soweit Unternehmen solche Daten verarbeiten. Das BSIG verfolgt demgegenüber Cybersicherheitsziele und gilt nur für gesetzlich erfasste Einrichtungen. Ein Phishing-Angriff kann daher Pflichten nach der DSGVO, dem BSIG oder beiden Regelwerken auslösen.

Frage	DSGVO	NIS-2 / BSIG
Für wen?	Verantwortliche und Auftragsverarbeiter, soweit personenbezogene Daten verarbeitet werden.	Nur Einrichtungen im gesetzlichen Anwendungsbereich des BSIG; gesetzliche Ausnahmen und Sonderregeln sind zu prüfen.
Schutzpflicht	Risikobasierte Maßnahmen nach Art. 32 DSGVO.	Zusätzliche Risikomanagementpflichten nach § 30 BSIG mit gesetzlichem Mindestkatalog.
Meldeschwelle	Verletzung des Schutzes personenbezogener Daten; Meldung grundsätzlich, es sei denn, sie führt voraussichtlich nicht zu einem Risiko.	Erheblicher Sicherheitsvorfall im Sinne des § 2 Nr. 11 BSIG.
Kernfristen	Unverzüglich, möglichst binnen 72 Stunden; bei hohem Risiko zusätzlich Benachrichtigung Betroffener.	Unverzüglich, spätestens binnen 24 Stunden: frühe Erstmeldung; unverzüglich, spätestens binnen 72 Stunden: aktualisierte Meldung; später Abschluss- bzw. Fortschrittsmeldung.
Adressat	Zuständige Datenschutzaufsichtsbehörde; gegebenenfalls zusätzlich die betroffenen Personen.	Gemeinsame Meldestelle von BSI und BBK; grundsätzlich BSI-Portal, für bestimmte KRITIS-Prozesse übergangsweise MIP.

Was verlangt die DSGVO beim Phishing-Schutz?

Art. 32 DSGVO verlangt ein Schutzniveau, das zu den konkreten Risiken der Verarbeitung passt. Maßgeblich sind insbesondere der Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen.

Für die Phishing-Abwehr sollten Unternehmen insbesondere prüfen:

• welche personenbezogenen Daten über ein kompromittiertes Benutzerkonto erreichbar wären und wie sensibel sie sind;
• welche Berechtigungen bestehen und ob das Konto Zugriff auf weitere Systeme oder Cloud-Dienste eröffnet;
• welche Funktionen besonders exponiert sind, etwa Geschäftsleitung, Personal, Finanzbuchhaltung oder Administration;
• welche technischen und organisatorischen Maßnahmen das konkrete Risiko begrenzen und wie ihre Wirksamkeit überprüft wird.

Multi-Faktor-Authentifizierung ist nach der DSGVO nicht pauschal für jedes Benutzerkonto vorgeschrieben. Bei sensiblen Daten, privilegierten Zugängen oder erhöhter Gefährdung kann sie aber zu den erforderlichen Maßnahmen gehören.

Beweist ein erfolgreicher Angriff einen DSGVO-Verstoß?

Nein. Der EuGH hat in der Rechtssache C-340/21 klargestellt, dass ein unbefugter Zugriff durch Dritte für sich genommen nicht beweist, dass Sicherheitsmaßnahmen ungeeignet waren. Umgekehrt entlastet ein Angriff durch Dritte den Verantwortlichen nicht automatisch. Entscheidend bleibt, ob die Maßnahmen angesichts der konkreten Risiken geeignet waren.

Für Schadensersatz nach Art. 82 DSGVO genügt ein Verstoß allein nicht; erforderlich sind Verstoß, Schaden und Kausalität. Eine zusätzliche Erheblichkeitsschwelle gibt es nach EuGH C-300/21 nicht. Eine begründete Missbrauchsbefürchtung kann einen immateriellen Schaden darstellen. Nach BGH, Urteil vom 18. November 2024 – VI ZR 10/24, kann auch ein nachgewiesener kurzzeitiger Kontrollverlust über personenbezogene Daten einen immateriellen Schaden begründen.

Nach EuGH C-340/21 trägt der Verantwortliche im Rahmen einer auf Art. 82 DSGVO gestützten Schadensersatzklage die Beweislast dafür, dass die von ihm getroffenen Sicherheitsmaßnahmen im Sinne von Art. 32 DSGVO geeignet waren. Für Unternehmen folgt daraus ein konkreter Nachweisbedarf: Risikobewertung, Auswahlentscheidung, Umsetzung und Wirksamkeitskontrolle sollten bereits vor einem Vorfall nachvollziehbar festgehalten werden. So lässt sich im Streitfall belegen, warum die getroffenen Maßnahmen angesichts der damaligen Risiken als angemessen bewertet wurden.

Wann muss ein Phishing-Vorfall nach der DSGVO gemeldet werden?

Eine Meldepflicht setzt eine Verletzung des Schutzes personenbezogener Daten voraus, etwa wenn ein kompromittiertes E-Mail-Konto Zugriff auf personenbezogene Nachrichten oder Anhänge eröffnet.

• Verantwortlicher: Eine Datenschutzverletzung ist nach Art. 33 Abs. 1 DSGVO nach Bekanntwerden unverzüglich und möglichst innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Bei späterer Meldung sind die Verzögerungsgründe beizufügen. Die Datenschutzkonferenz (DSK) versteht „nicht zu einem Risiko“ in ihrer Risikosystematik als „nur zu einem geringen Risiko“; mehrere Landesaufsichtsbehörden, etwa Niedersachsen, wenden dieses Verständnis ausdrücklich auf Art. 33 DSGVO an. Andere Aufsichtsbehörden, etwa Berlin, formulieren ihre veröffentlichten Hinweise enger am Gesetzeswortlaut. Die Bewertung eines nur geringen Risikos sollte deshalb im Einzelfall besonders sorgfältig begründet und nach Art. 33 Abs. 5 DSGVO dokumentiert werden.
• Auftragsverarbeiter: Eine bekannt gewordene Datenschutzverletzung muss unverzüglich dem Verantwortlichen gemeldet werden.
• Betroffene Personen: Bei einem voraussichtlich hohen Risiko müssen die Betroffenen nach Art. 34 DSGVO unverzüglich benachrichtigt werden, sofern keine Ausnahme greift.
• Dokumentation: Datenschutzverletzungen und die ergriffenen Maßnahmen sind nach Art. 33 Abs. 5 DSGVO zu dokumentieren, auch wenn im konkreten Fall keine Meldung an die Aufsichtsbehörde erforderlich ist.

Für die Risikobewertung zählen insbesondere Sensibilität und Umfang der Daten, Dauer und Reichweite eines möglichen Zugriffs, Hinweise auf Einsichtnahme oder Abfluss, Zahl der Betroffenen und mögliche Folgen. So kann etwa die Übernahme eines Personalpostfachs anders zu bewerten sein als ein kompromittiertes Konto ohne Zugriff auf personenbezogene Inhalte.

Praktische Hilfestellung bieten die EDPB-Leitlinien 9/2022 und die Leitlinien 01/2021 mit Fallbeispielen. Ergänzend erläutert unser Beitrag „Datenschutzverstoß durch Mitarbeiter: Welche Folgen drohen?“ typische Konstellationen.

Verstöße gegen die Pflichten aus Art. 32 bis 34 DSGVO können nach Art. 83 Abs. 4 Buchst. a DSGVO mit bis zu 10 Millionen Euro oder bei Unternehmen mit bis zu 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist.

Ausblick: Im laufenden EU-Gesetzgebungsverfahren zum Digital Omnibus werden unter anderem Änderungen an Meldeschwelle und Meldefrist diskutiert; zum Rechtsstand dieses Beitrags gelten weiterhin die bestehenden 72-Stunden-Regeln.

Für welche Unternehmen gelten die zusätzlichen Pflichten des BSIG?

Die NIS-2-Vorgaben sind in Deutschland insbesondere durch das reformierte BSIG umgesetzt worden. Für Unternehmen sind daher die konkreten BSIG-Pflichten maßgeblich. Die Einordnung richtet sich vor allem nach § 28 BSIG, der Tätigkeit, den Anlagen 1 und 2 und teilweise der Unternehmensgröße.

• Wichtige Einrichtungen: Bei vielen Einrichtungsarten der Anlagen 1 und 2 greift die Einordnung ab 50 Beschäftigten oder wenn Jahresumsatz und Jahresbilanzsumme jeweils mehr als 10 Millionen Euro betragen.
• Besonders wichtige Einrichtungen: Bei zahlreichen Einrichtungsarten der Anlage 1 werden große Unternehmen erfasst, insbesondere ab 250 Beschäftigten oder bei mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme.
• Sonderfälle: Für Betreiber kritischer Anlagen, Telekommunikationsunternehmen, Vertrauensdiensteanbieter, DNS-Diensteanbieter sowie bestimmte Energie- und Finanzunternehmen gelten abweichende oder sektorspezifische Regeln.

Die Schwellenwerte sind keine allgemeine NIS-2-Faustformel. § 28 Abs. 3 und 4 BSIG enthält unter anderem Regeln zu vernachlässigbaren Geschäftstätigkeiten und zur Zurechnung von Partner- oder verbundenen Unternehmen; Abs. 5 bis 7 sieht sektorspezifische Ausnahmen vor. Die Betroffenheit sollte deshalb anhand der konkreten Tätigkeit und Unternehmensstruktur geprüft werden.

Erfasste Einrichtungen müssen sich nach § 33 Abs. 1 BSIG grundsätzlich spätestens drei Monate nach erstmaliger oder erneuter Betroffenheit beim BSI registrieren.

Welche zusätzlichen Schutzpflichten gelten nach § 30 BSIG?

Unternehmen im Anwendungsbereich des § 30 BSIG müssen geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen für die IT-Systeme, Komponenten und Prozesse treffen, die sie für ihre Dienste nutzen. Die Maßnahmen sollen den Stand der Technik einhalten und müssen mindestens die in § 30 Abs. 2 BSIG genannten Bereiche abdecken. Für die Phishing-Abwehr sind insbesondere relevant:

• Risikoanalyse, Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen und Aufrechterhaltung des Betriebs;
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen;
• Schulungen, Sensibilisierung, Personalsicherheit und Zugriffskontrolle;
• Multi-Faktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation.

Anders als Art. 32 DSGVO nennt § 30 Abs. 2 Nr. 10 BSIG Multi-Faktor- oder kontinuierliche Authentifizierung ausdrücklich. Die konkrete Ausgestaltung bleibt jedoch verhältnismäßigkeitsabhängig; die Einhaltung der Risikomanagementpflichten ist zu dokumentieren.

Für bestimmte digitale Dienste konkretisiert die Durchführungsverordnung (EU) 2024/2690 sowohl Risikomanagementanforderungen als auch Kriterien für erhebliche Sicherheitsvorfälle.

Verstöße gegen zentrale Risikomanagement-, Dokumentations- und Meldepflichten können nach § 65 Abs. 2 Nr. 2 bis 5 i. V. m. Abs. 5 Satz 1 Nr. 1 BSIG mit folgenden Höchstbeträgen geahndet werden:

• Besonders wichtige Einrichtungen: bis zu 10 Millionen Euro;
• Wichtige Einrichtungen: bis zu 7 Millionen Euro.

Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz können unter den Voraussetzungen des § 65 Abs. 6 bis 8 BSIG stattdessen umsatzbezogene Obergrenzen gelten: bei besonders wichtigen Einrichtungen bis zu 2 Prozent, bei wichtigen Einrichtungen bis zu 1,4 Prozent. Maßgeblich ist der weltweite Gesamtumsatz des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung.

Wann muss ein Phishing-Vorfall nach dem BSIG gemeldet werden?

Nicht jeder Phishing-Versuch ist nach § 32 BSIG meldepflichtig. Erforderlich ist ein erheblicher Sicherheitsvorfall. Nach § 2 Nr. 11 BSIG liegt ein solcher vor, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die gesetzliche Definition gilt vorbehaltlich einer konkretisierenden Rechtsverordnung; für bestimmte Dienste können zusätzlich unionsrechtlich konkretisierte Kriterien gelten.

Eine bloße Phishing-Mail genügt daher nicht. Wird dagegen ein Benutzerkonto übernommen und führt dies etwa zu schwerwiegenden Betriebsstörungen oder finanziellen Verlusten, kann die Meldeschwelle erreicht sein.

§ 32 BSIG sieht grundsätzlich folgende Meldestufen vor:

• unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung: frühe Erstmeldung;
• unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung: aktualisierte Meldung mit erster Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren;
• auf Anforderung des BSI: Zwischenmeldung mit relevanten Statusaktualisierungen;
• spätestens einen Monat nach der 72-Stunden-Meldung: Abschlussmeldung; dauert der Vorfall an, zunächst eine Fortschrittsmeldung.

Registrierte Einrichtungen sollen Sicherheitsvorfälle grundsätzlich über das BSI-Portal melden. Für Meldungen vor abgeschlossener Registrierung stellt das MIP eine Funktion „Meldung ohne Registrierung“ bereit. Betreiber kritischer Anlagen und Bundesbehörden nutzen nach aktueller BSI-Information übergangsweise weiterhin prioritär das MIP; eine zusätzliche Meldung desselben Vorfalls über das BSI-Portal ist nicht erforderlich.

Was gilt, wenn DSGVO und BSIG gleichzeitig greifen?

Ein erfolgreicher Phishing-Angriff kann Pflichten nach beiden Regelwerken auslösen. Werden bei einer Kontoübernahme personenbezogene Daten zugänglich und entstehen zugleich erhebliche betriebliche oder finanzielle Auswirkungen bei einer nach dem BSIG erfassten Einrichtung, sind beide Prüfungen parallel vorzunehmen. Für den Incident-Response-Prozess bedeutet das insbesondere:

• frühzeitig klären, ob eine Datenschutzverletzung und/oder ein erheblicher Sicherheitsvorfall vorliegt;
• unterschiedliche Fristen und Adressaten parallel steuern;
• technische Erkenntnisse und rechtliche Bewertungen so festhalten, dass beide Prüfungen nachvollziehbar bleiben.

Eine Sanktionsgrenze enthält § 65 Abs. 11 BSIG: Hat die Datenschutzaufsicht für dasselbe Verhalten bereits eine DSGVO-Geldbuße verhängt, darf für den daraus resultierenden BSIG-Verstoß keine weitere Geldbuße verhängt werden.

Welche Verantwortung trägt die Geschäftsleitung?

Soweit § 38 BSIG anwendbar ist, muss die Geschäftsleitung die nach § 30 BSIG erforderlichen Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen zur Informationssicherheit teilnehmen.

Bei schuldhafter Pflichtverletzung und einem Schaden der Einrichtung richtet sich die Haftung grundsätzlich nach den gesellschaftsrechtlichen Regeln, etwa § 43 GmbHG oder § 93 AktG; die eigene Haftungsregelung des BSIG greift subsidiär. Zuständigkeiten, Eskalationswege, wesentliche Freigaben und Kontrollen sollten deshalb auf Leitungsebene klar verankert sein. Phishing-Abwehr darf nicht ausschließlich als operative IT-Aufgabe behandelt werden.

Praxis-Check: Ist das Schutzkonzept rechtlich belastbar?

Prüffeld	Leitfrage
Phishing-Risiko	Welche konkreten Phishing- und Social-Engineering-Szenarien wurden bewertet?
DSGVO	Welche personenbezogenen Daten und Berechtigungen wären bei einer Kontoübernahme betroffen?
BSIG-Betroffenheit	Ist geprüft, ob § 28 BSIG einschließlich Ausnahmen und Sonderregeln greift?
Schutzkonzept	Welche Maßnahmen wurden gewählt, welche bewusst nicht umgesetzt und warum?
Stand der Technik / Wirksamkeit	Wann wurde das Schutzkonzept zuletzt aktualisiert und wie wird seine Wirksamkeit überprüft?
Meldeprozess	Wer entscheidet über DSGVO- und BSIG-Meldepflichten und überwacht die jeweiligen Fristen?
Geschäftsleitung	Welche Pflichten, Freigaben und Kontrollen sind auf Leitungsebene verankert?
Rechtsprüfung	Bei welchen Zweifelsfällen oder Sicherheitsvorfällen wird Legal/Compliance oder externe Beratung eingebunden?

Wann ist anwaltliche Prüfung sinnvoll?

Rechtlicher Prüfungsbedarf besteht insbesondere bei unklarer BSIG-Betroffenheit, bei der Bewertung von Schutzmaßnahmen oder wenn nach einem Phishing-Vorfall Melde-, Benachrichtigungs- oder Haftungsfragen zu klären sind.

Wir unterstützen Unternehmen insbesondere bei:

• der rechtlichen BSIG-Betroffenheitsprüfung;
• der Bewertung und Dokumentation technischer und organisatorischer Schutzmaßnahmen;
• der Prüfung von Melde- und Benachrichtigungspflichten;
• der Kommunikation mit Datenschutzaufsichtsbehörden und dem BSI;
• der rechtlichen Aufarbeitung von Sicherheitsvorfällen; sowie
• der Gestaltung von Verantwortlichkeiten und der Beratung zu Haftungsrisiken auf Geschäftsleitungsebene.

Über den Autor

Vadim Friedinger · Rechtsanwalt · Partner | gunnercooke Germany

Vadim Friedinger berät Unternehmen zu Datenschutz-, IT- und Outsourcing-Fragestellungen sowie an der Schnittstelle von Datenschutz, Datensicherheit und Compliance. Er verfügt über langjährige Erfahrung in der Rechtsberatung als Rechtsanwalt und Inhouse Counsel, betreut Unternehmen als externer Datenschutzbeauftragter und begleitet Datenschutz- und Datensicherheitsaudits. Zudem ist er als ISO/IEC 27001 Auditor (TÜV) zertifiziert.

Spezialisierungen: Datenschutzrecht, IT-Recht, Outsourcing, Datenschutz-Compliance, Informationssicherheits-Compliance, Cybersecurity, KI-Compliance