Ein defekter Server, ein verschlüsseltes Netzwerk oder eine versehentlich gelöschte Kundenakte: Die unmittelbare Frage lautet oft: Wer haftet bei Datenverlust? Für Unternehmen ist die Antwort selten so einfach wie „der IT-Dienstleister“ oder „der Mitarbeitende“. Entscheidend sind Ursache, Verträge, technische Schutzmaßnahmen und die Art der betroffenen Daten. Wer diese Punkte erst im Schadensfall prüft, verliert wertvolle Zeit und riskiert zusätzliche Kosten.
Wer haftet bei Datenverlust? Die kurze Antwort
Grundsätzlich trägt zunächst das Unternehmen die Verantwortung für seine eigenen Geschäftsprozesse und Daten. Es muss seine IT so organisieren, dass Daten angemessen geschützt, gesichert und im Ernstfall wiederhergestellt werden können. Dazu gehören funktionierende Backups, klare Zuständigkeiten, Zugriffsrechte, Sicherheitsupdates und nachvollziehbare Notfallabläufe.
Hat ein externer Dienstleister den Schaden verursacht oder vertraglich zugesicherte Leistungen nicht erbracht, kann er haftbar sein. Hat ein Mitarbeitender gegen Vorgaben verstoßen, kann ebenfalls eine Haftung denkbar sein. In der Praxis kommt es jedoch auf den Einzelfall an. Ein Datenverlust durch einen gezielten Cyberangriff führt nicht automatisch zu einer Haftung des Dienstleisters. Ebenso haftet ein Mitarbeitender nicht zwangsläufig mit seinem Privatvermögen, wenn ihm ein Fehler unterläuft.
Die zentrale Frage lautet deshalb nicht nur, wer den letzten Klick gemacht hat. Sie lautet: Welche Schutzpflichten bestanden, wer war wofür verantwortlich und war der Schaden bei angemessener Organisation vermeidbar?
Die Verantwortung liegt zunächst beim Unternehmen
Geschäftsführung und Unternehmensleitung müssen die IT-Risiken ihres Betriebs angemessen steuern. Wie weit diese Pflicht reicht, hängt von Größe, Branche, Schutzbedarf und Abhängigkeit von digitalen Prozessen ab. Ein Handwerksbetrieb mit wenigen Arbeitsplätzen braucht andere Maßnahmen als ein Unternehmen, das sensible Kunden-, Personal- oder Gesundheitsdaten verarbeitet. Gar keine Vorsorge ist aber in keinem Fall eine wirtschaftlich tragfähige Option.
Werden Daten durch mangelhafte Datensicherung verloren, können direkte Folgekosten entstehen: Arbeitszeit für die Wiederherstellung, Produktionsausfälle, nicht abrechenbare Leistungen, Vertragsstrafen oder Reputationsschäden. Sind personenbezogene Daten betroffen, kommt zusätzlich das Datenschutzrecht ins Spiel. Das Unternehmen bleibt gegenüber Betroffenen und Aufsichtsbehörden regelmäßig in der Verantwortung, auch wenn externe Partner Teile der IT betreiben.
Bei einer GmbH kann eine unzureichende Organisation der IT unter Umständen auch die persönliche Verantwortung der Geschäftsführung berühren. Das bedeutet nicht, dass jede Störung sofort ein Pflichtverstoß ist. Erwartet wird aber, dass erkennbare Risiken ernst genommen und angemessene Maßnahmen veranlasst werden. Dazu zählen besonders regelmäßige Prüfungen der Datensicherung und ein realistischer Plan für den Wiederanlauf nach einem Ausfall.
Backup vorhanden ist nicht gleich Backup nutzbar
Ein Backup schützt nur, wenn es im Ernstfall vollständig und zeitnah wiederhergestellt werden kann. Viele Unternehmen sichern Daten zwar täglich, prüfen aber nie, ob die Sicherung lesbar ist, ob alle relevanten Systeme erfasst werden oder wie lange eine Wiederherstellung tatsächlich dauert.
Besonders kritisch wird es bei Ransomware. Wenn Angreifer Produktivdaten und erreichbare Sicherungen verschlüsseln, hilft ein einfaches Backup auf einem dauerhaft verbundenen Netzlaufwerk oft nicht weiter. Sinnvoll ist ein Konzept mit getrennten, geschützten oder unveränderbaren Sicherungen sowie klar definierten Aufbewahrungszeiten. Ebenso müssen Cloud-Dienste, E-Mails, virtuelle Systeme und mobile Endgeräte in die Betrachtung einbezogen werden, sofern dort geschäftskritische Daten liegen.
Wann ein IT-Dienstleister haftet
Ein IT-Dienstleister haftet nicht pauschal für jede technische Störung. Seine Verantwortung richtet sich vor allem nach dem geschlossenen Vertrag. Wurde etwa ein Managed-Backup vereinbart, ist entscheidend, welche Systeme gesichert werden sollten, wie oft Sicherungen erfolgen, wie lange sie aufbewahrt werden und ob Wiederherstellungstests Bestandteil der Leistung sind.
Hat der Dienstleister vereinbarte Leistungen mangelhaft erbracht, notwendige Warnungen ignoriert oder grob von anerkannten Sicherheitsstandards abgewichen, können Schadensersatzansprüche entstehen. Beispiele können fehlende Updates trotz beauftragtem Patch-Management, falsch konfigurierte Sicherungen oder nicht umgesetzte, ausdrücklich vereinbarte Schutzmaßnahmen sein.
Anders liegt der Fall, wenn der Dienstleister auf Risiken hingewiesen hat, das Unternehmen aber eine erforderliche Maßnahme aus Kostengründen abgelehnt oder Entscheidungen lange aufgeschoben hat. Auch ein technisch sorgfältig betreutes System kann Opfer eines Cyberangriffs werden. Haftung setzt regelmäßig voraus, dass eine Pflicht verletzt wurde und diese Pflichtverletzung den Schaden verursacht hat.
Verträge und Dokumentation schaffen Klarheit
Für beide Seiten sind präzise Vereinbarungen entscheidend. Ein guter Vertrag beschreibt nicht nur monatliche Leistungen, sondern auch Verantwortlichkeiten: Wer pflegt Benutzerkonten? Wer gibt Änderungen frei? Welche Reaktionszeiten gelten? Welche Systeme sind vom Backup erfasst? Wie wird ein Notfall gemeldet und wer darf eine Wiederherstellung beauftragen?
Ebenso wertvoll ist eine nachvollziehbare Dokumentation. Sie zeigt, welche Risiken angesprochen, welche Maßnahmen empfohlen und welche Entscheidungen getroffen wurden. Das schafft keine absolute Sicherheit, verhindert aber viele Missverständnisse, wenn nach einem Vorfall Ursachen und Zuständigkeiten geprüft werden.
Haftung von Mitarbeitenden: Fehler sind nicht automatisch teuer
Ein Mitarbeitender löscht versehentlich einen Ordner, öffnet einen schädlichen Anhang oder speichert eine Datei am falschen Ort. Solche Vorfälle sind ärgerlich, führen im Arbeitsverhältnis aber nicht automatisch zu einer vollen persönlichen Haftung. Das deutsche Arbeitsrecht berücksichtigt, dass Fehler bei betrieblich veranlassten Tätigkeiten passieren können.
Bei leichter Fahrlässigkeit trägt den Schaden meist der Arbeitgeber. Bei mittlerer Fahrlässigkeit kann der Schaden zwischen Unternehmen und Mitarbeitendem aufgeteilt werden. Bei grober Fahrlässigkeit oder Vorsatz kann der Mitarbeitende stärker oder vollständig in Anspruch genommen werden. Die konkrete Bewertung hängt unter anderem von Tätigkeit, Erfahrung, Schulung, Arbeitsdruck und Höhe des Schadens ab.
Für Unternehmen folgt daraus eine klare Aufgabe: Mitarbeitende dürfen nicht allein durch Verbote verantwortlich gemacht werden. Sie brauchen verständliche Regeln, regelmäßige Sensibilisierung und technische Leitplanken. Mehrstufige Anmeldung, eingeschränkte Berechtigungen, Freigabeprozesse und sichere Standardablagen reduzieren das Risiko wirksamer als eine Richtlinie, die niemand im Alltag umsetzen kann.
Personenbezogene Daten: Datenschutzpflichten kommen hinzu
Sind Kundendaten, Personalakten oder andere personenbezogene Daten vom Verlust betroffen, kann eine Datenschutzverletzung vorliegen. Dann muss das Unternehmen bewerten, ob ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Je nach Ergebnis kann eine Meldung an die zuständige Datenschutzaufsicht erforderlich sein, grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden.
Wurden externe IT-Partner mit der Verarbeitung personenbezogener Daten beauftragt, braucht es in vielen Fällen einen Vertrag zur Auftragsverarbeitung. Dieser regelt unter anderem Weisungen, technische und organisatorische Maßnahmen sowie Unterstützungspflichten bei Sicherheitsvorfällen. Der Vertrag verlagert die Gesamtverantwortung jedoch nicht vollständig. Das Unternehmen als Verantwortlicher muss seinen Dienstleister sorgfältig auswählen und kontrollieren.
Bei Schäden durch Datenschutzverstöße können betroffene Personen unter bestimmten Voraussetzungen Ersatz verlangen. Zusätzlich drohen behördliche Maßnahmen oder Bußgelder. Gerade deshalb sollte ein Datenverlust nicht nur als technisches Problem behandelt werden. Er betrifft Prozesse, Kommunikation, rechtliche Pflichten und Vertrauen.
So senken Unternehmen ihr Haftungsrisiko praktisch
Haftung lässt sich nicht wegorganisieren. Sie lässt sich aber durch nachvollziehbare Vorsorge deutlich besser beherrschen. Der erste Schritt ist eine ehrliche Bestandsaufnahme: Welche Daten sind für den Betrieb unverzichtbar, wo liegen sie und wie lange darf ihr Ausfall maximal dauern? Daraus ergeben sich Anforderungen an Sicherung, Wiederanlauf und Budget.
Für einen belastbaren Umgang mit Datenverlust sollten Unternehmen mindestens diese Bereiche verbindlich regeln:
- eine automatisierte, überwachte Datensicherung mit regelmäßigen Wiederherstellungstests,
- klare Rollen für IT, Fachbereiche und externe Dienstleister,
- aktuelle Sicherheitsupdates, Schutz vor Schadsoftware und abgesicherte Zugänge,
- dokumentierte Notfall- und Meldewege für Cyberangriffe und technische Ausfälle,
- passende Verträge, Leistungsbeschreibungen und Datenschutzvereinbarungen.
Dabei geht es nicht darum, jede denkbare Gefahr mit möglichst viel Technik zu bekämpfen. Ein zu komplexes Sicherheitskonzept wird häufig umgangen oder schlecht gepflegt. Entscheidend ist, dass die Maßnahmen zum Unternehmen passen, regelmäßig überprüft werden und im Ernstfall funktionieren. Eine Infrastrukturprüfung kann hier sichtbar machen, welche Risiken real bestehen und welche Investitionen tatsächlich Priorität haben.
Im Ernstfall: Erst Schaden begrenzen, dann Verantwortlichkeiten prüfen
Wenn Daten fehlen oder Systeme verschlüsselt sind, sollte zunächst die Ausbreitung gestoppt werden. Betroffene Geräte oder Zugänge müssen je nach Lage isoliert, Beweise gesichert und der Vorfall dokumentiert werden. Anschließend folgen Wiederherstellung, Datenschutzbewertung und die Kommunikation mit Kunden, Versicherern oder Behörden, soweit erforderlich.
Die Haftungsfrage sollte nicht unter Zeitdruck und nicht allein auf Basis von Vermutungen beantwortet werden. Verträge, Protokolle, Backup-Berichte, Sicherheitswarnungen und interne Entscheidungen liefern die Grundlage für eine sachliche Bewertung. Bei größeren Schäden oder personenbezogenen Daten ist rechtliche Beratung sinnvoll.
Ein verlässlicher IT-Partner wie WSV Systemhaus hilft nicht erst bei der Wiederherstellung, sondern dabei, Verantwortlichkeiten und Schutzmaßnahmen vorher klar zu organisieren. So wird aus der unangenehmen Frage nach Schuld eine konkrete Aufgabe: Daten so zu schützen, dass Dein Unternehmen auch nach einem Fehler oder Angriff handlungsfähig bleibt.