Kommentar: Die DSGVO ist ein zahnloser Tiger

Was bringt eine EU-weite Verordnung, die auf Länderebene kastriert werden kann, ohne dass Konsequenzen folgen? [...]

Die DSGVO ist ein zahnloser Tiger. Organisationen werden nur dann bestraft, wenn sie im Falle einer Datenschutzverletzung oder eines Datenlecks nicht im vorgeschriebenen Zeitraum die zuständige Behörde informieren. Schließlich kann es sehr lange dauern, bis ein Unternehmen einen Sicherheitsvorfall entdeckt. Trotzdem handelt es DSGVO-konform, wenn es den Vorfall nach der Erkennung innerhalb der gesetzlichen Frist meldet. Da können schon längst viele Daten gestohlen oder sonstiger Schaden angerichtet sein. Außerdem lässt sich schwer nachprüfen, wann ein Vorfall tatsächlich entdeckt wurde und ob ein betroffenes Unternehmen nicht einfach einen Vorfall eine gewisse Zeit lang verschwiegen hat. Nicht bestraft wird hingegen, wenn eine Organisation keine oder nur unzureichende Datenschutzmaßnahmen getroffen hat.

Auch wenn die DSGVO ein guter, erster Schritt ist, kann und darf sie in der Form nicht der letzte gewesen sein. Denn sie geht nicht weit genug. Der Gesetzgeber muss zusätzliche Gesetze erlassen, die auch unzureichende Sicherheitsvorkehrungen sanktionieren. Lediglich ein Fehlverhalten in Bezug auf die Meldung einer Datenschutzverletzung unter Strafe zu stellen, ist also damit vergleichbar, einen Bankräuber nicht für den Bankraub an sich zu bestrafen, sondern lediglich für die Geschwindigkeitsübertretung während seiner Flucht.

Außerdem bietet die DSGVO Cyberkriminellen gerade jetzt, im Vorfeld der endgültigen Umsetzung, neue Ansatzpunkte. So sind bereits jetzt gezielte Phishing-Kampagnen zu beobachten, die die Konformität mit der DSGVO ausloten. Und dieses Vorgehen der Cyberkriminellen wird in der nächsten Zeit noch weiter zunehmen.

Zudem dürfen wir gespannt sein, wie die EU damit umgeht, wenn Mitgliedsstaaten versuchen, die DSGVO auf Länderebene durch die Öffnungsklauseln auszuhöhlen oder zu untergraben. Das wird sich zunächst am Beispiel Österreich zeigen. Hier wird die Verordnung durch nationale Gesetzgebung derart abgeschwächt, dass vielen Firmen selbst bei einem Verstoß gegen die DSGVO keine oder nur minimale Strafen drohen. Doch was bringt eine EU-weite Verordnung, die auf Länderebene dermaßen kastriert werden kann, ohne dass Konsequenzen folgen? Es kann nicht im Sinne des Erfinders sein, dass sich Enklaven bilden, wo Cyberkriminelle einen sicheren Hafen vorfinden, weil sie EU–Richtlinien hier legal umgehen können.

* Mike Hart ist Vice President Central & Eastern Europe bei FireEye.