Im Tätigkeitsbericht des Hamburger Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) findet sich auch eine Tabelle mit Daten zu Meldungen von Datenschutzverletzungen gemäß Art. 33 DS-GVO bei der Aufsichtsbehörde. Wiedergegeben sind die Zahlen für 2024 und 2025. Im Jahr 2025 gingen bei der Hamburger Datenschutzaufsicht 1.115 Meldungen über Datenschutzverletzungen ein, verglichen mit 2024, ein erneuter Höchststand. Besonders deutlich ist der Anstieg von Hackerangriffen, die mit 376 Meldungen vom zweiten Platz 2024 nun auf den ersten Platz rutscht und so inzwischen rund ein Drittel aller gemeldeten Datenschutzverletzungen ausmachen. Daneben zählen Falschversendungen per Post oder E-Mail weiterhin zu den häufigsten Ursachen. Ebenfalls zugenommen haben Vorfälle aufgrund von Hard- und Softwarefehlern, offenen E-Mail-Verteilern sowie unzulässigen Handlungen von Beschäftigten.
Bewertung
Die Zahlen dürften in anderen Bundesländern nicht viel anders aussehen. Wer die Medien aufmerksam verfolgt, wird gesehen haben, dass zunehmend mehr Angriffe von Ransomware Gruppen gemeldet werden, darunter auch Angriffe auf Schulen bzw. deren IT-Dienstleister (siehe hierzu Schlagwort Ransomware). Auch wenn die Statistik aus Hamburg vor allem Institutionen wie Behörden und Unternehmen betrifft, so können Schulen daraus aber etwas mitnehmen.
Das Thema Cybersicherheit gewinnt weiter an Bedeutung. Hackerangriffe sind inzwischen der häufigste Meldegrund. Schulen sollten daher insbesondere auf aktuelle Software, Mehr-Faktor-Authentifizierung, Datensicherungen und Notfallkonzepte achten und dazu ihre Schulträger und involvierte Dienstleister ansprechen. Der Faktor Mensch und von diesem verursachte organisatorische Fehler wie etwa der Versand von E-Mails mit persönlichen Inhalten an die falschen Empfänger bleiben ein großes Risiko. Sensibilisierung von Lehrkräften und der Mitarbeitenden in den Schulsekretariaten und einfache Kontrollmechanismen (Vier-Augen-Prinzip, Empfängerprüfung) können viele solche Vorfälle verhindern. Auch technische Fehler nehmen zu. Fehler an Hard- und Software zeigen, dass Datenschutz nicht nur vom Verhalten der Mitarbeitenden abhängt, sondern auch von einer zuverlässigen IT-Infrastruktur und regelmäßiger Wartung. Diese Warnung geht auch an Schulträger und Bundesländer, denn die Dienstgeräte, mit welchen viele Lehrkräfte mehr als fünf Jahre nach der Ausstattung weiterhin arbeiten müssen, kommen in ein Alter, bei dem es mit Updates und Sicherheit schwierig wird (siehe dazu Dienst iPad – end of life). Da Datenschutzverletzungen trotz aller Schutzmaßnahmen nie vollständig ausgeschlossen werden können, sollte jede Schule vorbereitet sein und wissen, wann eine Meldung nach Art. 33 DS-GVO erforderlich ist und wie dabei vorzugehen ist. Siehe dazu z.B. den Beitrag auf der Hauptseite Datenschutzvorfall – und nun?