Die ersten 72 Stunden nach einer Datenpanne im Restaurant

In diesem Artikel

1. Wo die Daten Ihrer Gäste tatsächlich überall liegen
2. Die 72-Stunden-Uhr, Zeitfenster für Zeitfenster
3. Was eine Cyberversicherung wirklich abdeckt — und was nicht
4. Was Versicherer prüfen, bevor sie Ihnen überhaupt ein Angebot machen
5. Fazit: Die Uhr läuft so oder so — die Frage ist, ob Sie das schon wussten

Eine Datenpanne in Ihrem Restaurant ist kein IT-Problem — es ist eine juristische Uhr, die zu laufen beginnt, sobald Sie davon erfahren. Sobald Sie wissen oder vernünftigerweise wissen müssten, dass Gästedaten gestohlen, gelöscht oder in falsche Hände geraten sind, gibt Ihnen die DSGVO 72 Stunden, um die Aufsichtsbehörde zu informieren. Nicht 72 Stunden, um es zu lösen — 72 Stunden, um es zu melden.

Selten beginnt es mit einem schrillenden Alarm. Häufiger ist es ein Gast, der anruft, weil seine Karte doppelt belastet wurde, Ihr Reservierungsanbieter, der eine E-Mail über „ungewöhnliche Aktivität“ schickt, oder eine Mitarbeiterin, die an einem Dienstagmorgen einen Kassenbildschirm voller merkwürdiger Zeichen vorfindet. In diesem Moment lautet die Frage nicht mehr „wie schlimm ist das technisch“, sondern „was muss ich jetzt, sofort, tun“ — und die meisten Betreiber kennen die Antwort nicht, weil sie nie jemand aufgeschrieben hat.

Das Risiko ist real und keineswegs großen Ketten vorbehalten. Kassensysteme und Point-of-Sale-Terminals gehören weltweit zu den am häufigsten angegriffenen Zielen in Gastronomie und Einzelhandel — gerade weil sie Kartendaten verarbeiten und oft jahrelang ungepatcht weiterlaufen. Ein kleines Restaurant hat keine IT-Abteilung, die den Schaden auffängt, und genau deshalb zählen eine Cyberversicherung und ein schriftlicher Plan für die ersten 72 Stunden hier mehr als in einem Betrieb mit eigenem Sicherheitsteam.

Dieser Leitfaden geht genau das durch: wo die Daten Ihrer Gäste tatsächlich überall liegen, was in jedem der vier Zeitfenster der 72-Stunden-Uhr geschehen muss, was eine Cyberversicherung üblicherweise abdeckt und was nicht, und — mit einem Rechner, der mit Ihren eigenen Zahlen arbeitet — was eine Datenpanne Ihr Restaurant realistisch kosten könnte.

Wo die Daten Ihrer Gäste tatsächlich überall liegen

Eine Datenpanne ist jeder Vorfall, bei dem personenbezogene Gästedaten versehentlich oder unrechtmäßig verloren gehen, verändert werden oder für jemanden zugänglich werden, der dazu kein Recht hat — das ist also weit mehr als „gehackt werden“. Ein im Auto vergessenes Laptop, eine Reservierungsbestätigung, die an die falsche Adresse geht, oder ein Kassen-Backup, das versehentlich öffentlich zugänglich ist, zählen genauso wie ein gezielter Angriff.

Die meisten Betreiber unterschätzen, wie viele Systeme sie eigentlich betreiben. Zählen Sie mit: das Kassensystem mit den Kartendaten jeder Transaktion, das Reservierungs- und CRM-System mit Name, Telefonnummer und manchmal Allergien jedes Gastes, das Stammkunden- oder Bonusprogramm mit E-Mail-Adressen und Bestellhistorie, das Gäste-WLAN mit einem Login-Portal, das oft nach einer E-Mail-Adresse fragt, die Anbindung an Lieferplattformen, die Adressen weiterreicht, und die Gutscheinliste mit Codes, die buchstäblich Geld wert sind. Sechs Systeme, sechs Stellen, an denen ein Leck entstehen kann — und in den meisten Betrieben hat sie noch nie jemand nebeneinander aufgelistet.

Unser Leitfaden zu Gästedaten und DSGVO erklärt, wie Sie diese Daten rechtmäßig erheben und nutzen; unser Leitfaden zur Cybersicherheit im Restaurant beschreibt die neun Schritte, die einen Angriff von vornherein verhindern. Dieser Leitfaden behandelt den Moment danach: Es ist bereits passiert — was jetzt?

Die 72-Stunden-Uhr, Zeitfenster für Zeitfenster

Artikel 33 der DSGVO verpflichtet Sie, eine Datenpanne innerhalb von 72 Stunden nach Kenntnisnahme der Aufsichtsbehörde zu melden, es sei denn, es ist unwahrscheinlich, dass sie ein Risiko für die Rechte und Freiheiten Ihrer Gäste darstellt. Diese Uhr beginnt nicht erst, wenn Sie alles verstanden haben — sie beginnt in dem Moment, in dem Sie vernünftigerweise wissen, dass etwas passiert ist. So sehen diese 72 Stunden in der Praxis aus.

Stunde 0 bis 1: entdecken und eindämmen

Trennen Sie das betroffene Gerät vom Netzwerk — ziehen Sie das Kabel oder schalten Sie das WLAN aus —, aber schalten Sie nichts ab und löschen Sie nichts. Jede Spur, die Sie jetzt löschen, ist eine Spur, die Ihr IT-Dienstleister oder Ihre Versicherung später nicht mehr nutzen kann, um herauszufinden, was tatsächlich passiert ist.

Ändern Sie sofort die Passwörter aller Admin-Konten mit Zugriff auf Kasse, Reservierungssystem und E-Mail. Notieren Sie sich den genauen Zeitpunkt der Entdeckung — dieser Zeitpunkt ist der Startpunkt Ihrer 72 Stunden, und Sie werden ihn in jedem folgenden Formular brauchen.

Stunde 1 bis 24: einschätzen und dokumentieren

Rufen Sie Ihren IT-Dienstleister an oder, falls Sie keinen haben, einen spezialisierten Dienst — und rufen Sie gleichzeitig Ihre Versicherung an, falls Sie eine Police haben: Die meisten Cyberpolicen verfügen über eine Notfall-Hotline, die Sie von Tag eins an einschalten können, und Warten kostet Sie oft genau die Deckung, die Sie brauchen.

Halten Sie schriftlich fest, welche Daten möglicherweise betroffen sind: nur Namen und E-Mail-Adressen, oder auch Kartendaten und Allergiehinweise? Wie viele Gäste stehen in dieser Datei? Diese beiden Fragen — was und wie viele — entscheiden fast alles, was in den nächsten 48 Stunden passiert, notieren Sie sie also, sobald Sie es wissen, auch wenn die Antwort noch unvollständig ist.

Stunde 24 bis 72: die Behörde informieren

Bewerten Sie gemeinsam mit Ihrer Versicherung, Ihrem IT-Dienstleister oder einem juristischen Berater, ob die Panne „voraussichtlich ein Risiko“ für Ihre Gäste darstellt. Lautet die Antwort ja, ist die Meldung an die Datenschutzaufsichtsbehörde verpflichtend — nicht optional, und nichts, womit man wartet, bis man sich sicher ist.

Reichen Sie die Meldung vor Ablauf der 72 Stunden ein, mit dem, was Sie zu diesem Zeitpunkt wissen: die Art der Panne, eine Schätzung, wie viele Gäste betroffen sind, die zu erwartenden Folgen und die bereits ergriffenen Maßnahmen. Unvollständige Informationen dürfen Sie später ergänzen — eine verpasste 72-Stunden-Frist nicht, und eine verspätete Meldung müssen Sie ausdrücklich begründen.

Nach 72 Stunden: Gäste informieren und wiederherstellen

Informieren Sie Gäste nur dann direkt, wenn das Risiko für sie hoch ist — etwa bei gestohlenen Kartendaten oder Passwörtern. Bei geringerem Risiko genügt die Meldung an die Behörde. Formulieren Sie diese Nachricht in einfacher Sprache: was passiert ist, was Sie dagegen tun, und was der Gast selbst tun kann (Karte sperren lassen, Passwort ändern).

Stellen Sie erst dann aus einem sauberen Backup wieder her, wenn Sie sicher sind, dass die Lücke tatsächlich geschlossen ist — sonst stellen Sie exakt dasselbe Problem wieder her. Und teilen Sie Ihrer Versicherung den endgültigen Umfang des Vorfalls mit: Diese Zahl, nicht Ihre erste Schätzung, bestimmt am Ende die Auszahlung.

Was eine Cyberversicherung wirklich abdeckt — und was nicht

Die meisten Betreiber gehen davon aus, dass ihre bestehende Versicherung das bereits abdeckt. Das stimmt so gut wie nie: Eine klassische Feuer-, Betriebsunterbrechungs- oder Haftpflichtpolice schließt Datenpannen und Cybervorfälle in der Regel ausdrücklich aus, gerade weil es sich um ein eigenständiges Risiko mit eigenem Preis handelt. Unser Leitfaden zu Restaurantversicherungen gibt den vollständigen Überblick darüber, was ein durchschnittlicher Betrieb braucht; der Abschnitt unten dreht sich gezielt um die Cyberpolice.

Eine Cyberpolice deckt in der Regel die Kosten für die Behebung des Problems und die Information Ihrer Gäste. Sie deckt selten die Kosten des verlorenen Vertrauens oder ein Risiko, das Sie beim Abschluss nicht angegeben haben.

Geben Sie Ihre eigenen Zahlen ein und sehen Sie sofort, wo Sie ungefähr stehen. Der Rechner arbeitet mit der Anzahl der Gäste in Ihren Dateien, Ihrem Umsatz pro Servicetag und zwei Fragen, die Versicherer selbst zuerst stellen.

Vergleichen Sie diesen Betrag mit dem Preis einer Police und mit dem, was es kostet, die beiden roten Flaggen oben schon heute zu beseitigen — meist ist Letzteres mit Abstand die günstigere Option. Um auch Ihren allgemeinen Versicherungsschutz zu prüfen, nutzen Sie unseren Leitfaden zu Restaurantversicherungen.

Was Versicherer prüfen, bevor sie Ihnen überhaupt ein Angebot machen

Das ist kein Monatsprojekt. Drei Aufgaben von je einer halben Stunde bringen Sie von „keine Ahnung“ zu einem Dossier, das ein Versicherer ernst nimmt:

Heute — die kostenlose Korrektur:

• MFA für Kasse, E-Mail und Reservierungssystem aktivieren — oft der einzige Punkt, der entscheidet, ob Sie überhaupt ein Angebot bekommen
• Ihren Kassenanbieter fragen, ob Kartendaten tokenisiert oder lokal gespeichert werden
• Die Notfallnummer Ihres IT-Dienstleisters oder Ihrer Versicherung im Handy speichern, nicht in einer Schublade

Diese Woche — Ihre Deckung prüfen:

• Ihren Makler ausdrücklich fragen, ob Cyber inbegriffen ist oder eine separate Police nötig ist
• Zwei bis drei Angebote einholen und die Leistungen vergleichen, nicht nur die Prämie
• Auf einem Blatt festhalten, wen Sie zuerst anrufen, wenn etwas verdächtig wirkt

Diesen Monat — das Dossier fertigstellen:

• Verschlüsselte, getestete Backups Ihrer Gäste- und Reservierungsdaten einrichten
• Die Ausschlüsse Ihrer Police lesen, bevor Sie sie brauchen
• Den Notfallplan neben Ihre Brandschutzanweisung hängen — gleiche Ernsthaftigkeit, gleicher Platz

Fazit: Die Uhr läuft so oder so — die Frage ist, ob Sie das schon wussten

Eine Datenpanne lässt sich nie zu hundert Prozent verhindern — selbst große Unternehmen mit eigener IT-Abteilung trifft es. Was Sie tatsächlich in der Hand haben, ist, ob die ersten 72 Stunden Chaos sind oder eine Checkliste. Ein Team, das weiß, welches Gerät zuerst getrennt wird, eine Versicherung, die Sie schon ab der ersten Stunde am Telefon haben, und eine rechtzeitig eingereichte Meldung: Das ist der Unterschied zwischen einem unangenehmen Vorfall und einer zweiten Krise obendrauf.

Und die Betriebe, die das gut regeln, tun das selten nur wegen der Versicherungsprämie. Sie tun es, weil das Vertrauen eines Gastes — dass seine Daten bei Ihnen sicher sind — genauso Teil Ihrer Marke ist wie Ihre Küche. Bei HappyChef bauen wir das Reservierungssystem mit genau diesem Gedanken: Ihre Daten liegen bei einem einzigen Partner, nicht verstreut über fünf Systeme, die nie jemand geprüft hat. Sehen Sie, was es kostet, und gehen Sie noch heute den ersten, kostenlosen Schritt: MFA aktivieren.