Ein gelöschter Projektordner, ein Ransomware-Angriff oder ein defekter Server kann den Betrieb innerhalb weniger Minuten ausbremsen. Wer haftet bei Datenverlust, ist dann nicht nur eine juristische Frage. Für Geschäftsführer geht es ebenso um Lieferfähigkeit, Kundenvertrauen, Datenschutz und die Kosten für Wiederherstellung und Ausfallzeiten.
Die kurze Antwort lautet: Es kommt auf Ursache, Verträge, technische Vorsorge und die Art der betroffenen Daten an. Eine allgemeine Regel nach dem Muster der IT-Dienstleister zahlt immer oder der Mitarbeiter ist immer verantwortlich gibt es nicht. Gerade deshalb sollten Unternehmen Zuständigkeiten vor einem Schadensfall sauber regeln.
Wer haftet bei Datenverlust? Die Ausgangslage
Datenverlust ist nicht gleich Datenverlust. Entscheidend ist zunächst, was passiert ist: Wurden Daten versehentlich gelöscht? Waren sie nach einem Cyberangriff verschlüsselt? Hat ein Dienstleister einen Fehler gemacht? Oder sind Daten in einem Cloud-Konto durch eine fehlerhafte Berechtigung verschwunden?
Rechtlich geht es meist um die Frage, ob jemand eine vertragliche, gesetzliche oder arbeitsrechtliche Pflicht verletzt hat und ob genau daraus ein nachweisbarer Schaden entstanden ist. In der Praxis ist die Beweislage oft schwieriger als erwartet. Ohne nachvollziehbare Dokumentation, klare Vereinbarungen und Protokolle bleibt häufig offen, wann der Fehler entstanden ist und wer welche Aufgabe übernommen hatte.
Besonders relevant wird der Fall, wenn personenbezogene Daten betroffen sind. Dann kommen neben möglichen Schadensersatzforderungen auch Pflichten nach der Datenschutz-Grundverordnung hinzu. Der wirtschaftliche Schaden durch einen Ausfall und die datenschutzrechtliche Bewertung sind dabei zwei getrennte Themen, die beide bearbeitet werden müssen.
Das Unternehmen trägt die Gesamtverantwortung
Die Geschäftsführung kann IT-Aufgaben delegieren, nicht aber die Verantwortung für eine angemessene Organisation vollständig abgeben. Ein Unternehmen muss seine Daten so schützen, dass ein vorhersehbarer Verlust nicht den Geschäftsbetrieb gefährdet. Was angemessen ist, hängt von Größe, Branche und Schutzbedarf ab. Eine Arztpraxis, ein Handwerksbetrieb und eine Beratungsfirma haben unterschiedliche Risiken, aber alle benötigen eine funktionierende Datensicherung.
Fehlt ein Backup vollständig, wird es nicht geprüft oder lässt es sich im Ernstfall nicht wiederherstellen, kann das Unternehmen den Schaden nicht einfach auf einen Mitarbeiter oder externen IT-Partner verlagern. Die Frage lautet dann: Wurde die notwendige Sorgfalt eingehalten? Dazu gehören unter anderem klare Prozesse, aktuelle Systeme, geregelte Zugriffsrechte und ein Backup-Konzept, das zur tatsächlichen Arbeitsweise passt.
Bei personenbezogenen Daten ist das Unternehmen in der Regel Verantwortlicher im Sinne der DSGVO. Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, muss geprüft werden, ob eine Meldung an die zuständige Datenschutzaufsicht erforderlich ist. Besteht ein Risiko für die Rechte und Freiheiten betroffener Personen, gilt grundsätzlich eine Frist von 72 Stunden ab Bekanntwerden. Bei hohem Risiko können zusätzlich Informationspflichten gegenüber den Betroffenen entstehen.
Mitarbeiter: Nicht jeder Fehler führt zur vollen Haftung
Mitarbeiter löschen Dateien, öffnen schädliche Anhänge oder speichern Daten am falschen Ort. Solche Fehler sind ärgerlich, führen arbeitsrechtlich aber nicht automatisch zu einer vollständigen privaten Haftung.
Im Arbeitsverhältnis gilt die abgestufte Arbeitnehmerhaftung. Bei leichter Fahrlässigkeit haftet der Mitarbeiter in der Regel nicht. Bei mittlerer Fahrlässigkeit wird der Schaden häufig zwischen Unternehmen und Mitarbeiter aufgeteilt. Bei grober Fahrlässigkeit oder Vorsatz kann eine weitergehende Haftung entstehen. Wie der einzelne Fall bewertet wird, hängt etwa von der Aufgabe, der Erfahrung, der Unterweisung und dem konkreten Verhalten ab.
Ein Beispiel: Wenn ein Mitarbeiter nach nachvollziehbarer Einweisung eine E-Mail mit einem täuschend echten Phishing-Link öffnet, ist eine volle persönliche Haftung eher fernliegend. Wenn jemand bewusst Schutzmechanismen umgeht, obwohl er die Folgen kennt, kann die Lage anders aussehen.
Für Unternehmen ist der sinnvollere Ansatz nicht, nach jedem Fehler einen Schuldigen zu suchen. Entscheidend sind technische und organisatorische Schutzmaßnahmen: Mehr-Faktor-Authentifizierung, eingeschränkte Administratorrechte, sichere Freigaben, Phishing-Sensibilisierung und Backups, die nicht vom normalen Benutzerkonto gelöscht werden können.
Wann haftet ein IT-Dienstleister bei Datenverlust?
Ein externer IT-Dienstleister haftet grundsätzlich dann, wenn er vertraglich übernommene Pflichten verletzt und dadurch ein Schaden entsteht. Dafür muss jedoch klar sein, welche Leistungen beauftragt waren. Hat der Dienstleister nur Einzel-Support erbracht oder war er für Backup, Überwachung, Updates und Wiederherstellung verantwortlich?
Genau hier entstehen in der Praxis viele Konflikte. Ein Dienstleister kann keine Sicherung überwachen, wenn er dafür keinen Zugriff, keinen Auftrag und keine vereinbarte Zuständigkeit hat. Umgekehrt reicht es nicht, lediglich ein Backup einzurichten und nie zu kontrollieren, ob es tatsächlich durchläuft und wiederherstellbar ist, wenn eine laufende Betreuung vereinbart wurde.
Wichtige Fragen im Vertrag sind: Welche Systeme werden gesichert? Wie lange werden Sicherungen aufbewahrt? Wie oft finden Wiederherstellungstests statt? Welche Reaktionszeiten gelten? Wer darf Änderungen an Backup-Jobs oder Cloud-Berechtigungen vornehmen? Und gibt es Haftungsbegrenzungen, die wirksam vereinbart wurden?
Bei der Zusammenarbeit mit einem Managed-Service-Partner sollten diese Punkte nicht in E-Mails verstreut sein. Ein dokumentiertes Leistungspaket mit festen Zuständigkeiten schützt beide Seiten. Für Kunden schafft es Transparenz. Für den IT-Partner schafft es die Grundlage, Verantwortung tatsächlich wahrzunehmen.
Cloud-Anbieter und Microsoft 365: Geteilte Verantwortung
Viele Unternehmen gehen davon aus, dass Daten in Microsoft 365 oder einer anderen Cloud automatisch vollständig gesichert sind. Das ist nur teilweise richtig. Cloud-Anbieter schützen in der Regel die Verfügbarkeit ihrer Plattform und die technische Infrastruktur. Die Verantwortung für Benutzerkonten, Berechtigungen, Aufbewahrung, versehentlich gelöschte Inhalte und die eigene Datenwiederherstellung liegt häufig beim Kunden.
Das Prinzip heißt geteilte Verantwortung. Wenn ein Konto übernommen wird und ein Angreifer E-Mails, SharePoint-Dateien oder Teams-Inhalte löscht, kommt es auf die vorhandenen Schutzmechanismen an. Mehr-Faktor-Authentifizierung, sichere Administratorrollen, Protokollierung, Aufbewahrungsrichtlinien und ein ergänzendes Backup können entscheidend sein.
Auch hier gilt: Ob ein Cloud-Anbieter haftet, richtet sich nach seinen Vertragsbedingungen und danach, ob ein Fehler in seinem Verantwortungsbereich vorliegt. Ein falsch gesetztes Zugriffsrecht im Unternehmen ist regelmäßig kein Fehler des Plattformbetreibers.
So begrenzen Sie Haftungsrisiken vor dem Ernstfall
Haftungsfragen lassen sich nicht vollständig wegvertraglich regeln. Die Risiken lassen sich aber deutlich reduzieren, wenn Zuständigkeiten, Technik und Abläufe zusammenpassen. Ein wirksames Konzept besteht nicht nur aus einer Backup-Software.
Unternehmen sollten mindestens vier Punkte verbindlich umsetzen:
- Eine aktuelle Übersicht zeigt, welche Daten, Systeme, Konten und Geräte geschäftskritisch sind.
- Ein Backup-Konzept definiert Sicherungsintervalle, Aufbewahrung, getrennte Speicherorte und regelmäßige Wiederherstellungstests.
- Verträge mit IT-Dienstleistern legen Aufgaben, Reaktionszeiten, Dokumentation und Eskalationswege konkret fest.
- Ein Notfallplan bestimmt, wer bei Datenverlust entscheidet, kommuniziert, externe Spezialisten einbindet und Datenschutzpflichten prüft.
Besonders wertvoll sind realistische Wiederherstellungstests. Erst wenn eine Datei, ein kompletter Server oder ein Microsoft-365-Konto testweise wiederhergestellt wurde, ist klar, ob das Konzept im Alltag funktioniert. Dabei sollten Unternehmen auch zwei Ziele festlegen: Wie viele Daten dürfen maximal verloren gehen, und wie schnell muss ein System wieder arbeitsfähig sein? Diese Vorgaben bestimmen die technische Lösung und ihre Kosten.
Nach einem Datenverlust richtig handeln
Im ersten Moment zählt Geschwindigkeit, aber keine Hektik. Betroffene Systeme sollten nicht unüberlegt weiterverwendet oder neu gestartet werden, insbesondere bei Verdacht auf einen Cyberangriff. Sichern Sie zunächst Informationen: Was ist betroffen, seit wann, welche Konten wurden genutzt und welche Änderungen sind sichtbar?
Danach folgen Eindämmung, Ursachenanalyse und Wiederherstellung. Zugangsdaten müssen gegebenenfalls geändert, kompromittierte Konten gesperrt und Sicherungen auf Schadsoftware geprüft werden. Parallel ist zu klären, ob personenbezogene Daten betroffen sind und ob eine Datenschutzmeldung notwendig wird. Bei größeren Schäden empfiehlt sich zusätzlich eine rechtliche Bewertung, bevor Verantwortlichkeiten oder Erklärungen gegenüber Dritten verbindlich kommuniziert werden.
Eine gute IT-Betreuung zeigt sich in dieser Phase nicht durch Schuldzuweisungen, sondern durch einen klaren Ablauf. Wenn Verantwortlichkeiten dokumentiert, Backups geprüft und Ansprechpartner erreichbar sind, wird aus einem kritischen Vorfall eine beherrschbare Aufgabe. Konzentrieren Sie sich darauf, Ihr Unternehmen zu führen – Ihre IT sollte im Hintergrund so organisiert sein, dass sie auch dann trägt, wenn einmal etwas schiefläuft.
