Die Meldungen von Datenschutzverletzungen haben zur Jahresmitte bereits die Gesamtzahl des Jahres 2025 überschritten. Für das erste Halbjahr 2026 werden 1.803 gemeldete Kompromittierungen gezählt.
Ein einziger Vorfall wiegt schwerer als alle übrigen zusammen
Die Verletzung der von Instructure betriebenen Bildungsplattform Canvas erzeugte allein rund 275 Millionen Benachrichtigungen an betroffene Personen: 58 % der Halbjahressumme.
Das ist die Zahl, die Datenschutzbeauftragte beim Lesen solcher Statistiken im Blick behalten sollten. Die Zahl der Betroffenen misst nicht, wie häufig sich ein Risiko verwirklicht, sondern wie stark es konzentriert ist. Wenige stark genutzte Plattformen verschieben die gesamte Summe, und die meisten Organisationen ähneln dem Durchschnitt in keiner Weise.
KI taucht in jeder vierten Verletzung auf
Zwischen März 2025 und Februar 2026 war bei jeder vierten Verletzung künstliche Intelligenz im Spiel — ein Anstieg um 56 % gegenüber dem Vorjahr.
Hier ist Vorsicht geboten: „mit KI" umfasst sehr Unterschiedliches — besser formuliertes Phishing, automatisierte Ausspähung, Einsatz generativer Werkzeuge durch Angreifer. Es ist keine Rechtskategorie, sondern eine Beobachtung zur Technik.
Was daraus für die Risikobewertung folgt
Art. 32 verlangt geeignete Maßnahmen „unter Berücksichtigung des Stands der Technik". Ändert sich der Stand der Technik auf Angreiferseite, ändert sich auch der Maßstab, an dem die Angemessenheit der Abwehr gemessen wird. Eine vor zwei Jahren verfasste und nie überarbeitete Risikobewertung beschreibt heute eine andere Welt.
Und der Fall Canvas erinnert an etwas, das gern vergessen wird: Die größte Verletzung, die Ihr Mandant erlebt, geschieht fast nie in seinen eigenen Systemen, sondern bei einem Dienstleister. Deshalb sind das Verzeichnis der Auftragsverarbeiter und die Garantien des Art. 28 kein Papierkram.
Es lohnt sich, bei den Mandanten nur zwei Dinge zu prüfen: welche Drittplattformen ihre Daten verarbeiten, und ob es ein Verfahren gibt, um von einer anderswo eingetretenen Verletzung überhaupt zu erfahren. Meist lautet die Antwort auf die zweite Frage: Man erfährt es aus der Presse.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
