Anna WeberAm 3. Oktober 2026 wurden die IT-Dienstleister Atexo und Docaposte — beide Auftragnehmer der französischen Region Hauts-de-France — von einem Cyberangriff getroffen. Betroffen sind laut Regierungschef Xavier Bertrand bis zu 515.000 Personen über die Atexo-Plattform für Regionalförderungen sowie rund 30.000 Inhaber der Schüler- und Auszubildendenkarte "Génération#HDF" von Docaposte. Zu den abgegriffenen Daten gehören Namen, E-Mail-Adressen und möglicherweise RIBs — also Bankverbindungsdaten. Für österreichische Unternehmen, die europäische IT-Dienstleister nutzen, ist dieser Angriff keine Auslandsnachricht: Er ist ein direkter Hinweis auf das eigene DSGVO-Haftungsrisiko.
Was in Frankreich passiert ist
Atexo betreibt eine Vergabe- und Förderplattform für öffentliche Auftraggeber, Docaposte ist eine Tochtergesellschaft der La Poste Group und bietet Dokumentenmanagement, digitale Signaturen und Verwaltungsdienste in mehreren europäischen Ländern an. Beide Plattformen wurden nach dem Angriff sofort abgeschaltet. Ein Hacker beanspruchte, über 700.000 Datensätze erbeutet zu haben — offiziell bestätigt sind bis zu 545.000.
Das Besondere an diesem Angriff: Nicht die Region selbst wurde direkt kompromittiert, sondern ihre externen IT-Dienstleister. Genau dieses Muster — ein Drittanbieter wird gehackt, die Verantwortung verbleibt aber beim Auftraggeber — ist nach der Datenschutz-Grundverordnung ein zentrales Haftungsrisiko für jedes Unternehmen, das personenbezogene Daten über externe Anbieter verarbeitet.
Docaposte ist dabei kein lokaler französischer Nischenanbieter: Das Unternehmen ist in mehreren EU-Mitgliedstaaten aktiv und verarbeitet täglich Millionen von Dokumenten für öffentliche Verwaltungen, Unternehmen und Bildungseinrichtungen. Österreichische Behörden, Universitäten oder Unternehmen, die ähnliche Dienste in Anspruch nehmen — sei es für digitale Archivierung, E-Government-Integration oder Dokumentenmanagement — stehen vor einer identischen rechtlichen Ausgangssituation, wenn ihr Anbieter gehackt wird.
Der Begriff RIB (Relevé d'Identité Bancaire) bezeichnet das französische Bankverbindungsdokument — vergleichbar mit einer IBAN-Bescheinigung. Es enthält Kontonummer, Bankleitzahl, IBAN und BIC. Wer über solche Daten verfügt, kann im schlimmsten Fall unberechtigte Lastschriften einrichten oder Konten für Betrugsmaschen missbrauchen. Das macht RIB-Leaks zu einer besonders gefährlichen Datenpanne — und erklärt, warum die Region Hauts-de-France sofort beide betroffenen Plattformen abgeschaltet hat.
Die DSGVO-Konsequenz: Der Verantwortliche bleibt in Österreich
Nach Artikel 4 der Datenschutz-Grundverordnung ist derjenige der "Verantwortliche", der die Zwecke und Mittel der Datenverarbeitung festlegt — also in der Regel das österreichische Unternehmen, das den Dienstleister beauftragt. Gibt das Unternehmen die Verarbeitung an einen externen Auftragsverarbeiter weiter, ändert sich daran grundlegend nichts. Das österreichische Unternehmen bleibt Verantwortlicher.
Kommt es beim Auftragsverarbeiter zu einer Datenpanne, ist der österreichische Verantwortliche verpflichtet:
- Die Datenpanne innerhalb von 72 Stunden der österreichischen Datenschutzbehörde zu melden (Artikel 33 DSGVO)
- Betroffene Personen zu informieren, wenn ein hohes Risiko für sie besteht (Artikel 34 DSGVO — bei Bankdaten wie RIBs ist dieses Risiko grundsätzlich gegeben)
- Den Vorfall vollständig im internen Verarbeitungsverzeichnis zu dokumentieren
Die zuständige Behörde für Meldungen in Österreich ist die Datenschutzbehörde (DSB), die auch ein offizielles Meldeformular sowie eine Checkliste für Datenpannen bereitstellt.
Europäische Datenpannen sind dabei längst nicht mehr selten. Wie der Booking.com-Datenpannenfall in Österreich zeigt, sind auch Nutzer internationaler Plattformen betroffen, wenn deren Daten kompromittiert werden — und die Frage, wer meldepflichtig ist, entscheidet sich am österreichischen Unternehmenssitz.
Die 72-Stunden-Frist: Warum fast alle zu spät reagieren
Artikel 33 DSGVO schreibt vor, eine Datenpanne "unverzüglich und möglichst binnen 72 Stunden" nach Bekanntwerden zu melden. Die Uhr beginnt zu laufen, sobald das Unternehmen von der Panne "Kenntnis erlangt" — also in dem Moment, in dem eine Benachrichtigung des Dienstleisters eingeht. Nicht erst, wenn alle Details bekannt sind.
In der Praxis ist das ein gefährliches Missverständnis: Viele Unternehmen warten zunächst auf vollständige Informationen vom Dienstleister, bevor sie die DSB kontaktieren. Das ist falsch. Die DSGVO erlaubt ausdrücklich eine stufenweise Meldung: Eine erste unvollständige Meldung innerhalb von 72 Stunden, ergänzt durch eine Folgemeldung, sobald weitere Details vorliegen. Was nicht erlaubt ist: überhaupt nicht melden, solange der Vorfall intern "noch geklärt wird".
Erschwerend kommt hinzu, dass Meldungen von IT-Dienstleistern häufig an Freitagabenden oder in der Nacht eingehen — genau dann, wenn kaum jemand sie liest. Kommt die Benachrichtigung am Freitag um 18 Uhr an und wird erst am Montag um 9 Uhr gesehen, sind 63 Stunden der Frist bereits verstrichen.
Die Konsequenzen einer versäumten oder verspäteten Meldung sind empfindlich: Die DSB kann Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes verhängen. Sind auch die betroffenen Personen nicht informiert worden, obwohl Bankdaten gestohlen wurden, kann die Geldbuße auf 20 Millionen Euro oder 4 Prozent des Jahresumsatzes steigen.
Konkreter Fall: Was einer Wiener Kanzlei bei diesem Muster passiert
Eine Wiener Steuerberatungskanzlei mit 20 Mitarbeiterinnen und Mitarbeitern und einem Jahresumsatz von 950.000 Euro nutzt seit 2024 einen europäischen Cloud-Anbieter für digitale Dokumentenarchivierung — mit ähnlichem Servicemodell wie Docaposte. Auf den Servern liegen Unterlagen von etwa 480 Mandanten: Steuernummern, Einkommensdaten, Gesellschaftsverträge und in vielen Fällen auch IBAN-Nummern für Steuerrückzahlungsaufträge.
Am 3. Oktober 2026 wird der Anbieter gehackt. Die Kanzlei erhält am Montag, dem 6. Oktober, um 9:00 Uhr eine E-Mail des Anbieters mit dem Hinweis, dass "Kundendaten potenziell betroffen sein könnten". Die 72-Stunden-Frist nach Artikel 33 DSGVO läuft ab diesem Zeitpunkt — Fristende: Donnerstag, 9. Oktober, 9:00 Uhr.
Wenn die Kanzlei bis Donnerstag keine Meldung eingebracht hat:
- Verstoß gegen Artikel 33 DSGVO: Geldbuße bis zu 19.000 Euro (2 % von 950.000 Euro Jahresumsatz) möglich
- IBAN-Daten sind betroffen → hohes Risiko → Artikel 34 greift → Mandanten müssen informiert werden; wird dies versäumt, droht ein weiteres Bußgeld
- Kosten für externe Krisenberatung im Nachhinein: 5.000–12.000 Euro
- Schadenersatzforderungen von Mandanten nach Artikel 82 DSGVO: einzelfallabhängig, aber realistisch für jeden Mandanten, dessen IBAN-Daten missbraucht werden
Wenn die Kanzlei einen Datenschutzanwalt an der Hand hat: Noch am Montag, 6. Oktober, bis 12:00 Uhr Erstberatung durch einen DSGVO-Anwalt. Bis Dienstag, 7. Oktober: erste formelle Meldung an die DSB (auch ohne vollständige Details, mit Ankündigung der Folgemeldung). Bis Mittwoch, 8. Oktober: Information aller betroffenen Mandanten per Musterbrief. Kosten: 2.500–4.500 Euro für die anwaltliche Begleitung — kein Bußgeld, kein Reputationsschaden, reguläres Behördenverfahren.
Die Differenz zwischen proaktivem und reaktivem Handeln beläuft sich in diesem Szenario auf bis zu 31.000 Euro — zuzüglich Mandantenverlusten, die sich erst in den Folgemonaten zeigen.
Was österreichische Unternehmen jetzt tun sollten
Der Angriff auf Hauts-de-France zeigt ein systemisches Risiko, das für jedes österreichische Unternehmen mit externen IT-Dienstleistern relevant ist — unabhängig davon, ob der Anbieter in Frankreich, Deutschland oder Irland sitzt. Vier Maßnahmen lassen sich sofort umsetzen:
Auftragsverarbeitungsverträge (AVV) prüfen: Haben Sie mit jedem Dienstleister, der personenbezogene Daten für Sie verarbeitet, einen gültigen AVV nach Artikel 28 DSGVO abgeschlossen? Dieser Vertrag muss explizit regeln, dass der Dienstleister Sie im Falle einer Datenpanne innerhalb von 24 Stunden informiert — das ist die Voraussetzung dafür, dass Sie die eigene 72-Stunden-Frist einhalten können.
Incident-Response-Plan erstellen: Legen Sie jetzt fest, wer im Ernstfall die Federführung übernimmt, wie die DSB kontaktiert wird und welche interne Dokumentation sofort anlaufen muss. Ohne Plan vergehen die ersten 48 der 72 Stunden erfahrungsgemäß in internen Abstimmungen.
Datenminimierung überprüfen: Welche Daten muss Ihr Dienstleister tatsächlich speichern? Verarbeitete Datenkategorien reduzieren das Haftungsrisiko im Ernstfall erheblich.
Datenschutzanwalt einbeziehen: Ein auf DSGVO spezialisierter Anwalt kann sowohl präventiv (AVV-Prüfung, Incident-Response-Plan) als auch im Ernstfall (Meldung an DSB, Kommunikation mit Betroffenen) handeln. Für viele KMU lohnt sich ein Bereitschaftspaket, das im Ernstfall innerhalb weniger Stunden verfügbar ist.
Der Cyberangriff auf Frankreich ist eine direkte Mahnung: Europäische IT-Dienstleister werden gezielt angegriffen, und die rechtlichen Folgen treffen ihre Auftraggeber — überall in der EU, auch in Österreich. Wer heute keinen Incident-Response-Plan hat, sollte morgen eine Datenschutzkanzlei konsultieren.
Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Bei konkreten DSGVO-Fragen und im Falle einer Datenpanne sollten Sie umgehend einen qualifizierten Datenschutzanwalt hinzuziehen.
