Datenabfluss vermeiden – wie Firmen aktuell rechtssicher vorgehen

Was bedeutet Datenabfluss vermeiden konkret?

Forschungskooperationen ohne Risikoprüfung sind fahrlässig. Wenn ein Unternehmen mit einer Forschungseinrichtung kooperiert, die ihrerseits Verbindungen zu militärnahen Institutionen in Hochrisikoländern unterhält, entsteht eine indirekte Schwachstelle für Datenabfluss – oft ohne dass das Unternehmen es bemerkt. Unternehmen müssen Partner systematisch gegen Sanktions-, PEP- und Risikolisten prüfen, Eigentümerstrukturen klären und sekundäre Verbindungen bewerten.

Die Technische Universität München pflegt Verbindungen zu militärnahen Forschungseinrichtungen in China und Russland – eine Konstellation, die laut handelsblatt.com Experten auf den Plan ruft. Jennifer Hanley-Giersch, Managing Partner der Beratung Berlin Risk, warnt: „Es bestünde eine nachrichtendienstliche Schwachstelle, deren sich Partner aus dem Verteidigungssektor bewusst sein müssen."^[1] Der Fall zeigt exemplarisch, wie schnell Forschungskooperationen zum Einfallstor für Datenabfluss werden.

Forschungskooperationen bergen Sicherheitsrisiken durch internationale Partner

Universitäten und Forschungseinrichtungen sind naturgemäß offen für internationale Zusammenarbeit. Diese Offenheit wird zum Problem, wenn Kooperationspartner in Ländern sitzen, deren Sicherheitsapparate systematisch Zugriff auf Forschungsdaten nehmen. Der Fall der TU München ist kein Einzelfall, sondern symptomatisch.

Drei Faktoren machen Deutschland zu einem vorrangigen Ziel für Cyberangriffe^[2]:

Deutschlands konsistente Ukraine-Unterstützung macht es zum vorrangigen Ziel russischer APT-Gruppen (Advanced Persistent Threat), wie das Bundesamt für Verfassungsschutz einschätzt. Die exportstarke Wirtschaft mit viel geistigem Eigentum zieht Wirtschaftsspionage an. Staatliche Akteure nutzen komplexe Angriffsszenarien – etwa gezielte Ransomware-Attacken auf kritische Infrastruktur oder Sabotageakte.

Wenn ein Unternehmen mit einer Forschungseinrichtung kooperiert, die ihrerseits Verbindungen zu militärnahen Institutionen in Hochrisikoländern unterhält, entsteht eine indirekte Schwachstelle. Vertrauliche Projektdaten, Entwicklungsstände oder Spezifikationen können über diese Kanäle abfließen.

Was bedeutet Datenabfluss konkret und wie geschieht er?

Datenabfluss bezeichnet das unbeabsichtigte oder unkontrollierte Verlassen schützenswerter Informationen aus dem Unternehmen – etwa durch Eingabe in externe Dienste, Ablage in privaten Konten oder ungesicherte Übertragungswege. Er verletzt je nach Datenart Datenschutzrecht, Vertragspflichten oder den Schutz von Geschäftsgeheimnissen.

Neue Risiken durch KI-Dienste

KI-gestützte Angriffswerkzeuge senken die Einstiegshürde für Angreifer massiv.^[2] Gleichzeitig nutzen Unternehmen selbst zunehmend KI-Dienste, was neue Risiken schafft: Kundendaten wandern in private Cloud-Speicher, Vertragsentwürfe werden zur Zusammenfassung in frei zugängliche KI-Dienste kopiert, Projektunterlagen laufen über private Postfächer. Manche Dienste nutzen Eingaben zum Training ihrer Modelle.

Besondere Vulnerabilität kritischer Infrastrukturen

Besonders verwundbar sind kritische Infrastrukturen und öffentliche Einrichtungen wie Krankenhäuser, Schulen, Kommunalverwaltungen, Kanzleien und Stadtwerke. Viele dieser Systeme betreiben öffentlich erreichbaren Outlook Web Access und sind damit direkt über das Internet angreifbar. In Deutschland laufen rund 92 % der etwa 33.000 bekannten Exchange-Server weiterhin auf den veralteten Versionen 2016 und 2019, die keine regulären Sicherheitsupdates mehr erhalten.

Unternehmen müssen Kooperationspartner systematisch prüfen

Die Warnung im Fall TU München ist eindeutig: Unternehmen dürfen Kooperationen nicht ohne Risikoprüfung eingehen. Das gilt nicht nur für Forschungseinrichtungen, sondern für jeden Geschäftspartner, Lieferanten und Dienstleister. Drei Prüfebenen sind zwingend:

Sanktions- und Risikoprüfung der Partner selbst

Prüfen Sie, ob der potenzielle Partner oder dessen Eigentümer auf EU-Sanktionslisten, UN-, OFAC- oder UK-Listen steht. Die EU-Consolidated Financial Sanctions List umfasst rund 5.900 Sanktionsziele, darunter 4.348 Personen und 1.545 Organisationen (Stand 7. Juni 2026). Die US-amerikanische SDN-Liste führt rund 19.800 Sanktionsziele (Stand 27. Juni 2026). Wer nur eine dieser Listen prüft, übersieht Treffer aus den anderen Rechtsräumen.

Dienste wie Am I Compliant gleichen Geschäftspartner und deren Eigentümer in Sekunden gegen über 200 offizielle Sanktions-, PEP- und Kriminalitätslisten aus EU, UN, OFAC, UK und Schweiz ab. Jede Prüfung wird als auditfestes PDF mit Prüf-URL dokumentiert; die Übertragung ist verschlüsselt und DSGVO-konform.

Eigentums- und Kontrollstrukturen klären

Die 50-Prozent-Regel gilt: Wenn ein gelistetes Unternehmen oder eine gelistete Person 50 % oder mehr an einem anderen Unternehmen hält, gilt dieses als „im Eigentum oder unter der Kontrolle" der gelisteten Einheit – und unterliegt denselben Verboten. Prüfen Sie die Eigentümerketten Ihrer Partner systematisch.

Sekundäre Verbindungen bewerten

Der Fall TU München zeigt: Auch indirekte Verbindungen zu Hochrisikoländern oder militärnahen Einrichtungen können zum Problem werden. Fragen Sie bei Forschungskooperationen explizit nach internationalen Partnerschaften und bewerten Sie diese nach Länderrisiko.

Nach Datenabfluss Maßnahmen zur Schadensbegrenzung ergreifen

Nach einem Datenabfluss geht es darum, den Schaden zu begrenzen, die Sicherheitslücke zu finden und zu schließen sowie weitere Datenabflüsse zu verhindern.^[3] Neben dem Schließen von Lücken oder offenen Zugängen muss verhindert werden, dass Angreifer eine Hintertüre installiert haben. Wenn entsprechendes Wissen im Unternehmen nicht vorhanden ist, empfiehlt das NCSC (Schweiz), eine IT-Security-Firma zu beauftragen.^[3]

Unternehmen sollten sich einen Überblick über die potenziell abgeflossenen Daten und das damit verbundene Risiko verschaffen – etwa Reputationsschäden.^[3] Nach Art. 33 DSGVO müssen Verletzungen der Datensicherheit an die zuständige Aufsichtsbehörde gemeldet werden, wenn für die vom Datenabfluss betroffenen Personen ein hohes Risiko einer Beeinträchtigung ihrer Persönlichkeit oder ihrer Grundrechte besteht.^[3] Die Bestimmung gilt für Privatpersonen, Unternehmen und Bundesorgane.

Strukturierten Aufbau der Cyber-Abwehr priorisieren

55 % der deutschen Unternehmen wollen ihr Cyber-Risikomanagement ausbauen; 40 % denken über einen Wechsel des Standorts kritischer Infrastruktur nach. Diese Zahlen zeigen: Die Bedrohungslage zwingt zu strategischen Entscheidungen.

Das BSI drängt Unternehmen zur sofortigen Exchange-Migration. Die Bedrohungslage wird mit der Kritikalität 2 (Gelb) eingestuft. Im Falle einer Zero-Day-Schwachstelle müssten betroffene Server sofort und ungeplant vom Netz genommen werden, um eine Kompromittierung zu verhindern.

Moderne E-Mail-DLP-Lösungen sollten verhaltensbasierte künstliche Intelligenz nutzen, um sowohl versehentlichen als auch absichtlichen Datenverlust über E-Mails zu verhindern.^[4] E-Mails gehören zu den wichtigsten Kommunikationsmitteln in Unternehmen – und gleichzeitig zu den größten Risiken für den Abfluss sensibler Daten.

Die ISO 27002:2022 bietet seit ihrer Überarbeitung im Jahr 2022 detaillierte Empfehlungen für präventive und reaktive Schutzmaßnahmen gegen Datenabfluss.^[5] Unternehmen stehen vor der Herausforderung, eine Balance zwischen dem Schutz sensibler Daten und der Wahrung der Mitarbeiterprivatsphäre zu finden, die vom Betriebsrat mitgetragen wird.

Wirtschaftliche Lage verstärkt Handlungsdruck bei Cybersicherheit

Das schwache Wachstum der deutschen Wirtschaft – 0,24 % in 2025 nach einer Kontraktion von -0,5 % in 2024^[6] – bei gleichzeitig steigenden Cybersicherheitsrisiken erhöht den Druck auf Unternehmen, ihre begrenzten Ressourcen effizient in Schutzmaßnahmen zu investieren. Wer heute in Prävention investiert, vermeidet morgen existenzbedrohende Schäden.

32 % der deutschen Unternehmen fühlen sich unzureichend auf Angriffe mithilfe von Quantencomputing vorbereitet (global: 26 %). 30 % sehen Unsicherheiten bei Attacken auf vernetzte Produkte und Geräte, 28 % bei cloud-bezogenen Risiken und Datenschutzverletzungen durch Dritte. Die Bedrohungsszenarien verschieben sich schneller, als viele Unternehmen ihre Abwehr anpassen können.

Häufig gestellte Fragen

Was ist Datenabfluss und welche Risiken birgt er für mein Unternehmen?

Datenabfluss bezeichnet das unbeabsichtigte oder unkontrollierte Verlassen schützenswerter Informationen aus dem Unternehmen – etwa durch Eingabe in externe Dienste, Ablage in privaten Konten oder ungesicherte Übertragungswege. Er verletzt je nach Datenart Datenschutzrecht, Vertragspflichten oder den Schutz von Geschäftsgeheimnissen und kann zu Bußgeldern, Reputationsschäden und Verlust kritischer Wettbewerbsvorteile führen.

Wie kann ich meine Geschäftspartner auf Compliance-Risiken prüfen?

Prüfen Sie systematisch gegen Sanktions-, PEP- und Risikolisten aus EU, UN, OFAC, UK und Schweiz. Die 50-Prozent-Regel gilt: Wenn ein gelistetes Unternehmen oder eine gelistete Person 50 % oder mehr an einem anderen Unternehmen hält, unterliegt dieses denselben Verboten. Klären Sie Eigentümerketten und bewerten Sie sekundäre Verbindungen zu Hochrisikoländern.

Welche Meldepflichten habe ich bei einem Datenabfluss nach DSGVO?

Nach Art. 33 DSGVO müssen Verletzungen der Datensicherheit an die zuständige Aufsichtsbehörde gemeldet werden, wenn für die vom Datenabfluss betroffenen Personen ein hohes Risiko einer Beeinträchtigung ihrer Persönlichkeit oder ihrer Grundrechte besteht. Die Bestimmung gilt für Privatpersonen, Unternehmen und Bundesorgane.

Wie schützt man sich vor Datenabfluss durch Forschungskooperationen?

Fragen Sie bei Forschungskooperationen explizit nach internationalen Partnerschaften und bewerten Sie diese nach Länderrisiko. Prüfen Sie, ob Kooperationspartner Verbindungen zu militärnahen Institutionen in Hochrisikoländern unterhalten. Klären Sie vertraglich, welche Daten geteilt werden dürfen und welche Schutzmaßnahmen gelten.

Welche Rolle spielt KI bei Datenabfluss-Risiken?

KI-gestützte Angriffswerkzeuge senken die Einstiegshürde für Angreifer massiv. Gleichzeitig schaffen Unternehmen durch die Nutzung von KI-Diensten neue Risiken: Kundendaten wandern in private Cloud-Speicher, Vertragsentwürfe werden in frei zugängliche KI-Dienste kopiert, Projektunterlagen laufen über private Postfächer. Manche Dienste nutzen Eingaben zum Training ihrer Modelle.