Ein verschlüsselter Server, versehentlich gelöschte Projektdateien oder ein fehlgeschlagenes Cloud-Update: Datenverlust kann den Betrieb kurzfristig lähmen und langfristig teuer werden. Doch wer haftet bei Datenverlust? Eine pauschale Antwort gibt es nicht. Entscheidend sind Ursache, Verträge, technische Schutzmaßnahmen und die Frage, ob Beteiligte ihre Pflichten erfüllt haben.
Für kleine und mittlere Unternehmen ist das Thema besonders relevant. Kundendaten, Buchhaltungsunterlagen, Konstruktionspläne oder Praxisinformationen sind keine austauschbaren Dateien. Fehlen sie, drohen Produktionsausfälle, Umsatzverluste, Wiederherstellungskosten und bei personenbezogenen Daten zusätzlich datenschutzrechtliche Folgen.
Wer haftet bei Datenverlust? Die Verantwortung liegt oft beim Unternehmen
Grundsätzlich trägt die Geschäftsführung die Verantwortung dafür, dass die Unternehmens-IT angemessen organisiert und abgesichert ist. Das bedeutet nicht, dass ein Geschäftsführer jeden Sicherungsjob selbst kontrollieren muss. Er muss aber geeignete Prozesse, Zuständigkeiten und Dienstleister auswählen und deren Arbeit in angemessenem Umfang überwachen.
Gehen Daten verloren, weil kein funktionierendes Backup-Konzept vorhanden war, kann sich ein Unternehmen daher in erster Linie nicht auf einen externen Schuldigen berufen. Auch dann nicht, wenn die Daten in Microsoft 365, einer Branchensoftware oder bei einem Cloud-Anbieter gespeichert waren. Die Nutzung eines Dienstes verlagert die unternehmerische Verantwortung für Verfügbarkeit und Wiederherstellbarkeit nicht automatisch.
Besonders kritisch wird es, wenn gesetzliche Aufbewahrungspflichten betroffen sind. Geschäftsbriefe, steuerrelevante Unterlagen oder abrechnungsrelevante Dokumente müssen über definierte Zeiträume verfügbar und nachvollziehbar bleiben. Ein Datenverlust kann dann weit mehr sein als ein technisches Problem.
Haftung hängt von Ursache und Sorgfalt ab
Ob tatsächlich ein Schadensersatzanspruch besteht, richtet sich im Einzelfall danach, wer welche Pflicht verletzt hat und welcher Schaden daraus entstanden ist. Typische Konstellationen unterscheiden sich deutlich.
Datenverlust durch Mitarbeitende
Löscht ein Mitarbeitender Dateien versehentlich, ist das zunächst ein betrieblicher Vorgang. Gegenüber Kunden oder Geschäftspartnern haftet in der Regel das Unternehmen. Ob und in welchem Umfang der Arbeitgeber anschließend intern Regress nehmen kann, hängt vom Verschuldensgrad ab.
Bei leichter Fahrlässigkeit, etwa einem nachvollziehbaren Bedienfehler, trägt der Arbeitgeber den Schaden meist selbst. Bei mittlerer Fahrlässigkeit kann eine anteilige Haftung des Mitarbeitenden in Betracht kommen. Bei grober Fahrlässigkeit oder Vorsatz, beispielsweise bei bewusstem Umgehen von Sicherheitsvorgaben oder absichtlichem Löschen, kann die persönliche Haftung deutlich weiter reichen.
Für die Praxis ist eine andere Frage oft wichtiger: Waren Zugriffsrechte sinnvoll vergeben? Gab es klare Regeln für Dateien, Freigaben und mobile Geräte? Und hätten Versionierung, Papierkorb-Funktionen oder ein getestetes Backup den Schaden begrenzt? Gute IT-Organisation schützt nicht nur Daten, sondern auch Mitarbeitende vor vermeidbaren Fehlerfolgen.
Datenverlust durch einen IT-Dienstleister
Ein externer IT-Dienstleister kann haften, wenn er vertraglich geschuldete Leistungen mangelhaft erbringt. Das kann etwa der Fall sein, wenn vereinbarte Backups nicht eingerichtet wurden, Sicherungen über längere Zeit fehlerhaft liefen und nicht kontrolliert wurden oder eine Wiederherstellung trotz zugesagter Leistung nicht möglich ist.
Entscheidend ist der Vertrag. Ein Dienstleister haftet nicht automatisch für jede Betriebsunterbrechung. Wurde lediglich allgemeiner Support beauftragt, umfasst das nicht zwingend ein vollständiges Backup- und Recovery-Management. Sind hingegen Sicherungsintervalle, Aufbewahrungsfristen, Monitoring, Reaktionszeiten und Wiederherstellungsziele konkret vereinbart, lässt sich die Verantwortung wesentlich klarer bewerten.
Auch Haftungsbegrenzungen in Verträgen spielen eine Rolle. Sie sind im B2B-Bereich häufig, aber nicht grenzenlos wirksam. Vorsatz kann nicht ausgeschlossen werden, bei groben Pflichtverletzungen gelten ebenfalls besondere Maßstäbe. Für Unternehmen ist deshalb wichtig, nicht nur auf eine allgemeine Leistungsbeschreibung zu vertrauen. Sie sollten konkret wissen, welche Systeme gesichert werden, wie oft geprüft wird und wie schnell kritische Daten im Ernstfall wieder verfügbar sein müssen.
Datenverlust beim Cloud- oder Software-Anbieter
Cloud-Dienste arbeiten häufig nach dem Prinzip der geteilten Verantwortung. Der Anbieter sichert typischerweise die Infrastruktur, Rechenzentren und grundlegende Verfügbarkeit des Dienstes. Das Unternehmen bleibt jedoch oft verantwortlich für Benutzerkonten, Berechtigungen, Datenlöschungen, Konfigurationen und zusätzliche Sicherungskopien.
Wenn ein Benutzer eine Datei löscht, ein kompromittiertes Konto Daten verschlüsselt oder eine Aufbewahrungsfrist abläuft, hilft die allgemeine Verfügbarkeit der Cloud nicht weiter. Viele Plattformen bieten Wiederherstellungsoptionen, aber diese sind zeitlich begrenzt und ersetzen kein individuell geplantes Backup. Ob der Anbieter haftet, richtet sich wiederum nach seinen Vertragsbedingungen und danach, ob er seine zugesagten Leistungen verletzt hat.
Datenverlust nach einem Cyberangriff
Bei Ransomware-Angriffen stellt sich die Haftungsfrage besonders komplex. Kriminelle verursachen den unmittelbaren Schaden, sind aber praktisch selten greifbar. Betroffene Kunden oder Geschäftspartner können dennoch prüfen lassen, ob das angegriffene Unternehmen angemessene Sicherheitsmaßnahmen unterlassen hat.
Absolute Sicherheit kann niemand versprechen. Erwartet wird aber ein angemessenes Schutzniveau. Dazu gehören aktuelle Systeme, Mehr-Faktor-Authentifizierung, Rechte nach dem Need-to-know-Prinzip, E-Mail-Schutz, Endpoint-Sicherheit, segmentierte Netzwerke und unabhängige Backups. Was angemessen ist, hängt von Unternehmensgröße, Datenart, Bedrohungslage und wirtschaftlicher Zumutbarkeit ab.
Personenbezogene Daten: DSGVO verschärft den Handlungsdruck
Sind personenbezogene Daten betroffen, kommt neben möglichen Schadensersatzforderungen die Datenschutz-Grundverordnung ins Spiel. Verantwortlicher im Sinne der DSGVO ist meist das Unternehmen, das über Zweck und Mittel der Verarbeitung entscheidet. Ein IT-Dienstleister verarbeitet Daten häufig als Auftragsverarbeiter und benötigt dafür eine passende vertragliche Grundlage.
Ein Datenverlust ist nicht automatisch eine meldepflichtige Datenschutzverletzung. Ist die Verfügbarkeit personenbezogener Daten beeinträchtigt und entsteht daraus voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen, kann jedoch eine Meldung an die zuständige Aufsichtsbehörde erforderlich sein. In vielen Fällen gilt dafür eine Frist von 72 Stunden ab Kenntnisnahme.
Bei hohem Risiko müssen möglicherweise auch die betroffenen Personen informiert werden. Deshalb braucht es für den Ernstfall einen klaren Ablauf: Vorfall dokumentieren, Auswirkungen bewerten, Daten wiederherstellen, Verantwortlichkeiten klären und gegebenenfalls Datenschutzbeauftragte sowie Rechtsberatung einbeziehen. Technische Wiederherstellung und rechtliche Bewertung müssen parallel laufen.
Verträge schaffen Klarheit, Backups schaffen Handlungsfähigkeit
Haftungsfragen lassen sich nicht vollständig durch Vertragsklauseln lösen. Sie lassen sich aber erheblich entschärfen, wenn Leistungen und Erwartungen sauber festgehalten sind. Für Managed Services und Backup-Leistungen sollten Unternehmen insbesondere klären:
- Welche Server, Endgeräte, Cloud-Dienste und Anwendungen werden gesichert?
- Wie häufig erfolgen Sicherungen, wie lange werden sie aufbewahrt und wo liegen sie?
- Welche Wiederherstellungszeit ist für kritische Systeme realistisch vereinbart?
- Wer überwacht Sicherungsjobs und wer reagiert bei Fehlermeldungen?
- Wie werden Restore-Tests dokumentiert und wie ist der Notfall erreichbar?
Wichtig ist dabei der Unterschied zwischen Backup und Recovery. Ein vorhandenes Backup ist nur ein Versprechen, solange es nicht regelmäßig testweise zurückgespielt wurde. Erst ein erfolgreicher Restore zeigt, ob Dateien vollständig, lesbar und innerhalb der benötigten Zeit wieder bereitstehen.
So reduzieren Unternehmen ihr Haftungsrisiko praktisch
Ein belastbares Schutzkonzept beginnt mit einer Priorisierung. Nicht jedes System benötigt dieselbe Wiederherstellungszeit. Fällt die Telefonanlage für einige Stunden aus, ist das unangenehm. Fehlen jedoch ERP-Daten, Patientendokumentationen oder die zentrale Dateifreigabe, kann der gesamte Betrieb stillstehen. Daraus ergeben sich klare Anforderungen an Sicherung, Redundanz und Notfallplanung.
Bewährt hat sich die 3-2-1-1-0-Logik: mindestens drei Kopien wichtiger Daten, auf zwei unterschiedlichen Speichermedien, eine Kopie extern gelagert, eine weitere unveränderbar oder logisch vom Netzwerk getrennt und null ungeprüfte Sicherungsfehler. Nicht jede Umgebung benötigt dieselbe technische Umsetzung. Entscheidend ist, dass ein Angreifer oder ein lokaler Schaden nicht gleichzeitig Produktivdaten und alle Sicherungen erreichen kann.
Ebenso wichtig sind klar definierte Rollen. Wer darf Daten endgültig löschen? Wer prüft Backup-Berichte? Wer entscheidet über eine Abschaltung bei einem Sicherheitsvorfall? Gerade in Unternehmen ohne eigene IT-Abteilung sollten diese Fragen nicht nur in den Köpfen einzelner Personen beantwortet sein.
Ein erfahrener Managed-Services-Partner kann Monitoring, Backup-Prüfungen, Sicherheitsupdates und dokumentierte Wiederherstellungstests in den laufenden Betrieb integrieren. XPINION unterstützt Unternehmen dabei, Verantwortlichkeiten transparent zu gestalten und die IT so abzusichern, dass ein Datenverlust nicht zur Existenzfrage wird.
Die entscheidende Vorsorge beginnt vor dem Schaden: Lassen Sie nicht nur die Sicherung einrichten, sondern prüfen Sie regelmäßig, ob Ihre wichtigsten Daten unter realistischen Bedingungen wiederherstellbar sind. Das schafft die Grundlage für einen stabilen Betrieb und eine deutlich bessere Ausgangslage, wenn Verantwortlichkeiten geklärt werden müssen.
