- Gilt für
- Jede Organisation, die personenbezogene Daten in der EU/im EWR verarbeitet, sowie Organisationen außerhalb davon, die Personen in der EU Waren oder Dienstleistungen anbieten oder sie beobachten.
- Status (November 2026)
- Gilt unverändert. Der Vorschlag „Digital Omnibus“ der Europäischen Kommission vom 19. November 2025 würde nur noch eine Meldung von Datenlecks verlangen, die voraussichtlich ein hohes Risiko verursachen, und zwar innerhalb von 96 Stunden über eine zentrale Meldestelle. Er befindet sich noch im Gesetzgebungsverfahren und ist kein geltendes Recht.
- Meldepflicht
- Art. 33: Die zuständige Aufsichtsbehörde ist unverzüglich und möglichst binnen 72 Stunden nach Kenntnis einer Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Personen.
- Art. 34: Die betroffenen Personen unverzüglich informieren, wenn die Verletzung voraussichtlich ein hohes Risiko für sie zur Folge hat.
- Art. 33(5): Dokumentieren Sie jede Verletzung, auch die, die Sie nicht melden müssen.
- Geleakte Zugangsdaten und Darknet-Exposition
- Ein Leak von Logins, E-Mail-Adressen oder Passwörtern ist eine Verletzung des Schutzes personenbezogener Daten. Die 72 Stunden laufen ab dem Moment, in dem Sie davon Kenntnis erlangen, sodass schon der Tag, an dem ein Leak gefunden und bestätigt wird, die Frist auslösen kann.
- Höchststrafe
- Bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei Verstößen gegen Art. 33 und 34 (Art. 83(4)); bis zu 20 Mio. EUR oder 4 %, je nachdem, welcher Betrag höher ist, bei den schwersten Verstößen (Art. 83(5)).
Gesetze & Vorschriften
Gesetze zu Cybersicherheit und Datenlecks nach Ländern
Wenn Unternehmensdaten geleakt werden, setzt das Gesetz eine Frist: oft 72 Stunden, manchmal 24 Stunden oder weniger, gerechnet ab dem Moment, in dem Sie davon erfahren. Hier finden Sie die Fristen, die zu informierenden Behörden und die Höchststrafen, Gesetz für Gesetz, mit der offiziellen Quelle zu jedem.
- Frist, Aufsichtsbehörde, Höchstbußgeld und Status für jedes Gesetz
- Jede Angabe am amtlichen Text geprüft
- EU, Schweiz, Vereinigtes Königreich, USA, Amerika, Asien-Pazifik, Naher Osten und Afrika
Geprüft im November 2026 · keine Rechtsberatung
- 1 hChina, Vorfälle bei kritischer Informationsinfrastruktur
- 4 Std.DORA, nachdem ein Vorfall als schwerwiegend eingestuft wurde (spätestens 24 h)
- 6 Std.Indien, CERT-In-Meldungen zu Cyber-Vorfällen
- 24 Std.NIS2-Frühwarnung, Schweizer kritische Infrastrukturen, CRA
- 72 hDSGVO, UK GDPR, NY DFS Part 500, Saudi PDPL
- 3 TageSingapur (Kalendertage), Brasilien (Werktage)
- 30 TageMehrere US-Bundesstaaten, Kalifornien, GLBA Safeguards Rule
- 60 TageHIPAA, Benachrichtigung der Betroffenen spätestens
Die Fristen beginnen meist, wenn Sie von dem Vorfall erfahren, nicht wenn er geschehen ist.
Meldefristen auf einen Blick
Die erste Frist, wen Sie informieren müssen, die Höchststrafe und der Status jedes Gesetzes. Öffnen Sie ein Gesetz für die Details und die offizielle Quelle.
29 von 29 Gesetzen werden angezeigt
| Gesetz | Region | Meldefrist | An wen | Höchststrafe | In Kraft seit |
|---|---|---|---|---|---|
| GDPR | Europäische Union | 72 h | Datenschutzbehörde; betroffene Personen bei hohem Risiko | 20 Mio. EUR oder 4 % des weltweiten Umsatzes | 25. Mai 2018 |
| NIS2Wird eingeführt | Europäische Union | Frühwarnung 24 h, Meldung 72 h, Abschlussbericht 1 Monat | Nationales CSIRT oder zuständige Behörde | Mindestens 10 Mio. EUR oder 2 % (wesentliche Einrichtungen), 7 Mio. EUR oder 1,4 % (wichtige Einrichtungen) | 18. Okt. 2024 (über nationales Recht) |
| DORA | Europäische Union | 4 h nach Einstufung (max. 24 h), 72 h, 1 Monat | Finanzaufsicht (zuständige Behörde) | Von jedem Mitgliedstaat festgelegt | 17. Jan. 2025 |
| Cyber Resilience ActWird schrittweise eingeführt | Europäische Union | 24 Std. Frühwarnung, 72 Std. Meldung, Abschlussbericht 14 Tage / 1 Monat | CSIRT-Koordinator und ENISA (zentrale Meldeplattform) | 15 Mio. EUR oder 2,5 % des weltweiten Umsatzes | Meldung seit 11. Sep. 2026 |
| CER-RichtlinieWird eingeführt | Europäische Union | 24 h, ausführlicher Bericht nach 1 Monat | Zuständige nationale Behörde | Von jedem Mitgliedstaat festgelegt | 18. Okt. 2024 (über nationales Recht) |
| Schweizer nDSG | Schweiz | So schnell wie möglich | EDÖB; betroffene Personen bei Bedarf | 250.000 CHF (Busse gegen verantwortliche Personen) | 1. Sep. 2023 |
| Meldung von Cyberangriffen nach ISG (Schweiz) | Schweiz | 24 Std. | Bundesamt für Cybersicherheit (BACS / NCSC) | 100.000 CHF (nach einer missachteten Verfügung) | 1. Apr. 2025 |
| UK GDPR & DPA 2018 | Vereinigtes Königreich | 72 h | Information Commission (ICO); betroffene Personen bei hohem Risiko | 17,5 Mio. GBP oder 4 % des weltweiten Umsatzes | 25. Mai 2018 |
| UK NIS Regulations | Vereinigtes Königreich | 72 h | Zuständige Sektorbehörde (digitale Dienste: ICO) | 17 Mio. GBP | 10. Mai 2018 |
| Cyber Security and Resilience BillNoch kein Gesetz | Vereinigtes Königreich | Vorgeschlagen: 24 Std. Erstmeldung, 72 Std. vollständiger Bericht | Aufsichtsbehörde und NCSC (vorgeschlagen) | Vorgeschlagen: 17 Mio. GBP oder 4 % des weltweiten Umsatzes | Gesetzentwurf, noch kein Gesetz |
| SEC-Regeln zur Cyber-Offenlegung | USA | 4 Werktage nach einer Wesentlichkeitsfeststellung | Die Öffentlichkeit, über Form 8-K | Kein Betrag in der Vorschrift (Durchsetzung nach Wertpapierrecht) | 18. Dez. 2023 |
| SEC Regulation S-P | USA | 30 Tage (Dienstleister: 72 Std.) | Betroffene Kunden | Kein Betrag in der Vorschrift | 3. Dez. 2025 (kleinere Unternehmen 3. Juni 2026) |
| CIRCIANoch kein Gesetz | USA | 72 Std.; Lösegeldzahlungen 24 Std. (sobald in Kraft) | CISA | Keine Bußgelder (Vorladung, Gerichtsverfahren, Ausschluss) | Endgültige Regelung steht aus |
| HIPAA Breach Notification Rule | USA | 60 Tage | Betroffene, HHS, Medien (500+ in einem Bundesstaat) | 2.190.294 USD pro Jahr (Obergrenze je Stufe) | 23. Sep. 2009 |
| FTC Safeguards Rule (GLBA) | USA | 30 Tage (500+ Verbraucher) | Federal Trade Commission | Kein Betrag in der Vorschrift | 13. Mai 2024 |
| NY DFS Part 500 | USA | 72 h; Erpressungszahlung 24 h | Leiter der NY DFS (Superintendent) | Bis zu 75.000 USD pro Tag (Banking Law § 44) | 2017 (geändert am 1. Nov. 2023) |
| Kalifornien: CCPA/CPRA und Datenleck-Gesetz | USA | 30 Tage | Betroffene Einwohner; Attorney General ab 500 Personen | 107–799 USD pro Verbraucher und Vorfall (Klagen) | 30-Tage-Regel seit dem 1. Jan. 2026 |
| US-Gesetze der Bundesstaaten zu Datenlecks | USA | Unterschiedlich: oft 30 Tage oder „ohne unangemessene Verzögerung“ | Betroffene Einwohner; oft der Attorney General des Bundesstaats | Unterschiedlich (Florida: bis zu 500.000 USD pro Datenleck) | Je nach Bundesstaat unterschiedlich |
| Kanada PIPEDA | Kanada & Lateinamerika | So bald wie möglich | Privacy Commissioner (OPC) und betroffene Personen | 100.000 CAD | 1. Nov. 2018 (Regeln zu Datenlecks) |
| Brasilien LGPD | Kanada & Lateinamerika | 3 Werktage | ANPD und betroffene Personen | 2 % des Umsatzes in Brasilien, max. 50 Mio. BRL je Verstoß | 3-Tage-Regel seit Apr. 2024 |
| Mexiko LFPDPPP | Kanada & Lateinamerika | Unverzüglich | Betroffene Personen | Bis zu 320.000 UMA (doppelt bei sensiblen Daten) | 21. März 2025 |
| Australia Privacy Act (NDB) | Asien-Pazifik | Innerhalb von 30 Tagen prüfen, dann melden | OAIC und betroffene Personen | AUD 50 Mio., das 3-Fache des Vorteils oder 30 % des Umsatzes | 22. Feb. 2018 |
| Australia Cyber Security Act | Asien-Pazifik | 72 h nach einer Lösegeldzahlung | Australian Signals Directorate (ASD) | 60 Strafeinheiten (penalty units) | 30. Mai 2025 |
| Singapore PDPA | Asien-Pazifik | 3 Kalendertage nach der Bewertung | PDPC; betroffene Personen | 1 Mio. SGD oder 10 % des Umsatzes in Singapur | 1. Feb. 2021 |
| India DPDP Act & CERT-InWird eingeführt | Asien-Pazifik | CERT-In: 6 Std.; DPDP: unverzüglich | CERT-In; Data Protection Board und betroffene Personen | 250 Crore INR | CERT-In 2022; DPDP schrittweise bis 2027 |
| China CSL, PIPL und Meldung von Vorfällen | Asien-Pazifik | 1 h (kritische Infrastruktur), 4 h (übrige) | Cyberspace-Behörde, Sektoraufsicht, Polizei | 50 Mio. RMB oder 5 % des Umsatzes (PIPL) | 1. Nov. 2025 (Meldemaßnahmen) |
| Japan APPI | Asien-Pazifik | 3–5 Tage erste Meldung; abschließend 30 / 60 Tage | Personal Information Protection Commission (PPC) und betroffene Personen | 100 Mio. JPY (Unternehmen, strafrechtlich) | 1. Apr. 2022 (verpflichtende Meldungen) |
| Saudi-Arabien PDPL | Naher Osten & Afrika | 72 h | SDAIA; betroffene Personen | 5 Mio. SAR (bei Wiederholung verdoppelt) | 14. Sep. 2023 (durchgesetzt ab 14. Sep. 2024) |
| South Africa POPIA | Naher Osten & Afrika | So bald wie vernünftigerweise möglich | Information Regulator und betroffene Personen | 10 Mio. ZAR | In Kraft; E-Portal seit dem 1. April 2025 |
Scrollen Sie in der Tabelle, um jedes Gesetz zu sehen. Bußgelder sind die gesetzlich zulässigen Höchstbeträge; Fristen sind jeweils die erste ab Kenntnis. h = Stunden, M = Million.
Jedes Gesetz im Detail
Für wen es gilt, was es nach einem Datenleck verlangt, was das für geleakte Logins bedeutet, die Höchststrafe und der offizielle Text.
Europäische Union
- Gilt für
- Mittlere und große „wesentliche“ und „wichtige“ Einrichtungen in den Sektoren der Anhänge I und II (Energie, Verkehr, Bankwesen, Gesundheit, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Fertigung, digitale Anbieter und weitere), über das jeweilige nationale Recht.
- Status (November 2026)
- Die Mitgliedstaaten mussten sie bis 17. Okt. 2024 umsetzen. Am 8. Juli 2026 verwies die Kommission Irland, Spanien, Frankreich und die Niederlande wegen verspäteter Umsetzung an den Europäischen Gerichtshof.
- Meldepflicht
- Art. 23 Abs. 4 Buchst. a: Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls.
- Art. 23(4)(b): Meldung des Vorfalls innerhalb von 72 Stunden, mit einer ersten Bewertung.
- Art. 23(4)(c)–(d): Zwischenbericht auf Anfrage; Abschlussbericht spätestens einen Monat nach der Meldung innerhalb von 72 Stunden.
- Nationale Gesetze (Auswahl)
- Deutschland NIS2-Umsetzungsgesetz (NIS2UmsuCG) seit dem 6. Dez. 2025 in Kraft; § 32 BSIG: Frühwarnung 24 Std., Meldung 72 Std., Abschlussbericht 1 Monat, an die gemeinsame Meldestelle von BSI und BBK.
- Frankreich Gesetzentwurf zur Resilienz kritischer Infrastrukturen und zur Cybersicherheit, im März 2025 vom Senat verabschiedet; von der Nationalversammlung noch nicht angenommen.
- Spanien Der Gesetzentwurf zur Koordinierung und Governance der Cybersicherheit wurde am 14. Jan. 2025 dem Ministerrat vorgelegt; nicht in Kraft.
- Italien Legislative Decree 138/2024, in Kraft seit 16. Okt. 2024 (Behörde: ACN); Vorabmeldung nach 24 h und Meldung nach 72 h an CSIRT Italia, fällig ab 9 Monaten, nachdem eine Einrichtung über ihre Betroffenheit informiert wurde.
- Niederlande Cyberbeveiligingswet seit 15. Aug. 2026 in Kraft; Meldung so bald wie möglich, in jedem Fall innerhalb von 24 Stunden, an das CSIRT und die Aufsichtsbehörde.
- Österreich NISG 2026 (BGBl. I Nr. 94/2025) in Kraft seit 1. Okt. 2026.
- Geleakte Zugangsdaten und Darknet-Exposition
- Geleakte Zugangsdaten allein sind kein NIS2-Vorfall. Sie werden zu einem, wenn sie zu einem erheblichen Vorfall führen oder auf ihn hinweisen, etwa auf unbefugten Zugriff, der Ihre Dienste beeinträchtigt. Enthält das Leak personenbezogene Daten, kommt auch die DSGVO hinzu.
- Höchststrafe
- Die Mitgliedstaaten müssen Höchstbußgelder von mindestens 10 Mio. EUR oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen festlegen, je nachdem, welcher Betrag höher ist (Art. 34 Abs. 4–5). Nationale Obergrenzen können höher liegen.
- Amtliche Quellen
- Richtlinie (EU) 2022/2555 auf EUR-Lex (öffnet in einem neuen Tab)
- Europäische Kommission: Verweisung an den Gerichtshof (8. Juli 2026) (öffnet in einem neuen Tab)
- Deutschland: § 32 BSIG (öffnet in einem neuen Tab)
- Frankreich: Gesetzentwurf der Nationalversammlung (öffnet in einem neuen Tab)
- Spanien: Ministerrat, 14. Jan. 2025 (öffnet in einem neuen Tab)
- Italien: ACN NIS FAQ (öffnet in einem neuen Tab)
- Niederlande: NCSC zur Cyberbeveiligingswet (öffnet in einem neuen Tab)
- Österreich: NISG 2026 im Bundesgesetzblatt (öffnet in einem neuen Tab)
- Gilt für
- Finanzunternehmen in der EU: Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Versicherer, Fondsmanager und weitere, dazu die Aufsicht über kritische IKT-Drittdienstleister.
- Status (November 2026)
- Gilt seit dem 17. Jan. 2025. Die Meldefristen sind in der Delegierten Verordnung (EU) 2025/301 der Kommission festgelegt.
- Meldepflicht
- Art. 19: Schwerwiegende IKT-bezogene Vorfälle an die zuständige Behörde melden.
- Delegierte Verordnung 2025/301, Art. 5: Erstmeldung innerhalb von 4 Stunden nach Einstufung des Vorfalls als schwerwiegend, spätestens 24 Stunden nach Kenntnisnahme.
- Zwischenbericht innerhalb von 72 Stunden nach der Erstmeldung; Abschlussbericht innerhalb eines Monats nach dem letzten Zwischenbericht.
- Geleakte Zugangsdaten und Darknet-Exposition
- Geleakte Zugangsdaten von Mitarbeitenden oder Kunden eines Finanzunternehmens müssen anhand der DORA-Klassifizierungskriterien geprüft werden. Ist der Vorfall schwerwiegend, gelten die Fristen von 4 und 24 Stunden, und für personenbezogene Daten gilt parallel die DSGVO.
- Höchststrafe
- Die Verordnung überlässt die Sanktionen den Mitgliedstaaten (Art. 50). Gegenüber kritischen IKT-Drittdienstleistern kann die federführende Aufsichtsbehörde Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes verhängen (Art. 35 Abs. 8).
- Gilt für
- Hersteller von Hardware- und Softwareprodukten mit digitalen Elementen, die auf dem EU-Markt verkauft werden.
- Status (November 2026)
- In Kraft seit 10. Dez. 2024. Die Meldepflichten gelten seit 11. Sept. 2026; die Vorschriften für Konformitätsbewertungsstellen seit 11. Juni 2026; alle übrigen Pflichten ab 11. Dez. 2027.
- Meldepflicht
- Art. 14: Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Sicherheit eines Produkts betreffen, gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA melden.
- Frühwarnung innerhalb von 24 Stunden und Meldung innerhalb von 72 Stunden nach Kenntnisnahme.
- Abschlussbericht innerhalb von 14 Tagen, nachdem eine Korrektur verfügbar ist (Schwachstellen), oder innerhalb eines Monats nach der Meldung (schwerwiegende Vorfälle).
- Geleakte Zugangsdaten und Darknet-Exposition
- Relevant für Produkthersteller. Geleakte Signaturschlüssel oder Update-Zugangsdaten oder ein in kriminellen Foren gehandelter Exploit für Ihr Produkt können eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall sein; mit der Kenntnisnahme beginnen die 24 Stunden.
- Höchststrafe
- Bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes bei den wesentlichen Anforderungen und den Pflichten nach Art. 13 und 14, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2); bis zu 10 Mio. EUR oder 2 % bei anderen aufgeführten Pflichten (Art. 64 Abs. 3).
- Gilt für
- Einrichtungen, die die Mitgliedstaaten als kritisch für wesentliche Dienstleistungen einstufen (Energie, Verkehr, Gesundheit, Trinkwasser, Lebensmittel, öffentliche Verwaltung, Raumfahrt und mehr).
- Status (November 2026)
- Die Umsetzung war bis 17. Okt. 2024 fällig. Die Mitgliedstaaten mussten ihre kritischen Einrichtungen bis 17. Juli 2026 bestimmen; die Pflichten einer kritischen Einrichtung gelten 10 Monate nach ihrer Benachrichtigung.
- Meldepflicht
- Art. 15(1): Vorfälle, die einen wesentlichen Dienst erheblich stören oder erheblich stören könnten, sind der zuständigen Behörde zu melden.
- Erstmeldung innerhalb von 24 Stunden nach Kenntnisnahme (sofern nicht operativ unmöglich); ausführlicher Bericht spätestens einen Monat später.
- Geleakte Zugangsdaten und Darknet-Exposition
- Die CER-Richtlinie umfasst physische Resilienz und alle Gefahrenarten; Cybervorfälle derselben Einrichtungen fallen hauptsächlich unter NIS2. Ein Leak ist hier nur relevant, wenn er einen wesentlichen Dienst stört oder stören könnte.
- Höchststrafe
- Die Richtlinie nennt keinen Betrag: Die Mitgliedstaaten legen die Sanktionen fest (Art. 22).
Schweiz
- Gilt für
- Private Unternehmen und Bundesorgane, die Personendaten bearbeiten, einschließlich ausländischer Unternehmen, deren Bearbeitung sich in der Schweiz auswirkt.
- Status (November 2026)
- Seit dem 1. Sep. 2023 in Kraft. Meldungen von Datenlecks gehen über das Online-Formular „DataBreach“ an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).
- Meldepflicht
- Art. 24 Abs. 1: Der EDÖB ist so rasch wie möglich über eine Verletzung der Datensicherheit zu informieren, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Eine feste Stundenzahl gibt es nicht.
- Art. 24(4): Die betroffenen Personen informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.
- Geleakte Zugangsdaten und Darknet-Exposition
- Unbefugten zugängliche Logins sind eine Verletzung der Datensicherheit. Besteht voraussichtlich ein hohes Risiko für die Betroffenen, muss der EDÖB informiert werden, und Nutzende müssen unter Umständen gewarnt werden.
- Höchststrafe
- Strafrechtliche Bußen von bis zu 250.000 CHF gegen die verantwortlichen Privatpersonen bei vorsätzlicher Verletzung bestimmter Pflichten, z. B. der Mindestanforderungen an die Datensicherheit (Art. 61 Bst. c); stattdessen kann das Unternehmen mit bis zu 50.000 CHF gebüßt werden (Art. 64). Eine unterlassene Meldung wird als solche nicht gebüßt.
- Gilt für
- Kritische Infrastrukturen nach Art. 74b ISG: Behörden, Energie, Banken und Versicherer, Spitäler, Telekommunikation, Verkehr, Trinkwasser, Cloud- und Rechenzentrumsanbieter, digitale Sicherheits- und Vertrauensdienste sowie Hersteller von Hard- und Software, deren Produkte kritische Infrastrukturen mit Fernzugriff nutzen, unter anderem.
- Status (November 2026)
- Die Meldepflicht gilt seit dem 1. April 2025; Bußgelder seit dem 1. Oktober 2025. Das NCSC ist nun das Bundesamt für Cybersicherheit (BACS).
- Meldepflicht
- Art. 74e ISG: Einen Cyberangriff innerhalb von 24 Stunden nach Entdeckung melden; fehlende Angaben können nachgereicht werden.
- Art. 74d ISG: Meldepflichtig sind Angriffe, die das Funktionieren der Infrastruktur gefährden, zu einer Manipulation oder einem Abfluss von Informationen geführt haben, lange unentdeckt blieben oder mit Erpressung, Drohung oder Nötigung verbunden sind.
- Cyberrisikenverordnung, Art. 16: Vervollständigen Sie die Meldung innerhalb von 14 Tagen.
- Geleakte Zugangsdaten und Darknet-Exposition
- Ein Angriff, der zu einem Abfluss von Informationen führte, ist für erfasste Organisationen innerhalb von 24 Stunden meldepflichtig. Im Darknet gefundene gestohlene Daten oder Zugangsdaten können der Moment sein, in dem der Angriff entdeckt wird.
- Höchststrafe
- Bis zu 100.000 CHF, wenn eine Verfügung des BACS zur Meldung vorsätzlich missachtet wird (Art. 74h); das BACS setzt zuerst eine Frist und erlässt dann eine Verfügung (Art. 74g). Eine verspätete Meldung wird als solche nicht gebüßt.
Vereinigtes Königreich
- Gilt für
- Organisationen, die im Vereinigten Königreich personenbezogene Daten verarbeiten oder dort Personen Waren oder Dienstleistungen anbieten oder sie beobachten.
- Status (November 2026)
- Geändert durch den Data (Use and Access) Act 2025. Seit dem 30. Sep. 2026 ist die Aufsichtsbehörde die Information Commission, die weiterhin „ICO“ genannt wird; ihre Befugnisse sind unverändert.
- Meldepflicht
- Art. 33: Die Information Commission ist unverzüglich und, wenn möglich, innerhalb von 72 Stunden nach Kenntnis einer Verletzung zu benachrichtigen, es sei denn, sie führt voraussichtlich nicht zu einem Risiko.
- Art. 34: Informieren Sie die betroffenen Personen unverzüglich, wenn die Verletzung voraussichtlich ein hohes Risiko zur Folge hat.
- Telekommunikations- und Internetdienstanbieter (PECR, reg. 5A): innerhalb von 72 Stunden, wenn machbar, seit 20. Aug. 2025.
- Geleakte Zugangsdaten und Darknet-Exposition
- Geleakte Zugangsdaten sind personenbezogene Daten. Ihre Offenlegung ist ein Datenleck, es sei denn, sie führt voraussichtlich nicht zu einem Risiko. Da Menschen Passwörter wiederverwenden, bedeutet ein Zugangsdaten-Leak oft ein hohes Risiko und eine individuelle Benachrichtigung.
- Höchststrafe
- Bis zu 8,7 Mio. GBP oder 2 % bei Verstößen gegen Art. 33 und 34 (Art. 83(4)); bis zu 17,5 Mio. GBP oder 4 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist, bei den schwersten Verstößen (Art. 83(5), DPA 2018 s. 157).
- Gilt für
- Betreiber wesentlicher Dienste in Energie, Verkehr, Gesundheit, Trinkwasser und digitaler Infrastruktur sowie relevante Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, Cloud-Computing).
- Status (November 2026)
- In Kraft. Wird durch den Cyber Security and Resilience Bill erweitert, sobald dieser Gesetz wird.
- Meldepflicht
- Reg. 11: Betreiber wesentlicher Dienste melden der zuständigen Behörde ohne unangemessene Verzögerung und spätestens 72 Stunden nach Bekanntwerden eines NIS-Vorfalls.
- Reg. 12: Anbieter digitaler Dienste melden der Information Commission Vorfälle mit erheblichen Auswirkungen innerhalb derselben 72 Stunden.
- Geleakte Zugangsdaten und Darknet-Exposition
- Ein Zugangsdaten-Leak allein löst nur dann eine NIS-Meldung aus, wenn daraus ein Vorfall mit erheblichen Auswirkungen auf den Dienst entsteht. Andernfalls ist die UK GDPR das maßgebliche Gesetz.
- Höchststrafe
- Bis zu 1 Mio. GBP, 8,5 Mio. GBP oder 17 Mio. GBP, je nach Schwere des Verstoßes (reg. 18(6)).
- Gilt für
- Würde die NIS-Regeln auf Managed-IT-Dienstleister und Rechenzentren ausweiten und die Benennung kritischer Zulieferer ermöglichen.
- Status (November 2026)
- Am 12. Nov. 2025 eingebracht. Das House of Lords hat seine Beratungen am 2. Nov. 2026 abgeschlossen; das House of Commons prüft nun die Änderungen der Lords. Noch keine Royal Assent; die Pflichten würden über Sekundärrecht in Kraft treten.
- Meldepflicht
- Vorgeschlagen: Erstmeldung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, gleichzeitig an die Aufsichtsbehörde und das NCSC; vollständiger Bericht innerhalb von 72 Stunden.
- Vorgeschlagen: Anbieter digitaler Dienste, Managed Service Provider und Rechenzentren benachrichtigen auch Kunden, die wahrscheinlich betroffen sind.
- Geleakte Zugangsdaten und Darknet-Exposition
- Die Kompromittierung von Daten gehört zu den vorgeschlagenen Faktoren, die einen Vorfall erheblich machen; ein Leak mit Auswirkung im Vereinigten Königreich könnte daher innerhalb von 24 Stunden meldepflichtig werden. Die Schwellenwerte werden durch Verordnungen festgelegt.
- Höchststrafe
- Vorgeschlagen: bis zu 17 Mio. GBP oder 4 % des weltweiten Umsatzes bei schweren Verstößen wie Verstößen gegen Meldepflichten und Sicherheitspflichten; 10 Mio. GBP oder 2 % bei leichteren. Die Beträge können sich ändern, bevor die Bill Gesetz wird.
Vereinigte Staaten
- Gilt für
- In den USA börsennotierte und bei der SEC registrierte Unternehmen (ausländische private Emittenten über die Formulare 6-K und 20-F).
- Status (November 2026)
- Gilt seit dem 18. Dez. 2023, für kleinere berichtspflichtige Unternehmen seit dem 15. Juni 2024. Jahresberichte beschreiben das Management von Cyberrisiken und die Governance (Item 106).
- Meldepflicht
- Form 8-K Item 1.05: Ein Cybersicherheitsvorfall ist innerhalb von vier Geschäftstagen offenzulegen, nachdem festgestellt wurde, dass er wesentlich ist, mit Art, Umfang, Zeitpunkt und wesentlichen Auswirkungen.
- Der US-Generalstaatsanwalt kann einen Aufschub erlauben, wenn die Offenlegung ein erhebliches Risiko für die nationale Sicherheit oder die öffentliche Sicherheit darstellen würde.
- Geleakte Zugangsdaten und Darknet-Exposition
- Ein Leak von Zugangsdaten erfordert nur dann eine Meldung, wenn er zu einem Vorfall führt, den das Unternehmen als wesentlich einstuft. Die Wesentlichkeitsbeurteilung selbst muss ohne unangemessene Verzögerung erfolgen.
- Höchststrafe
- Die Regeln sehen keine bestimmte Strafe vor; sie werden mit den allgemeinen Rechtsmitteln des US-Wertpapierrechts durchgesetzt.
- Gilt für
- Broker-Dealer, Funding-Portale, Investmentgesellschaften, registrierte Anlageberater und Transfer Agents.
- Status (November 2026)
- Größere Unternehmen müssen seit 3. Dez. 2025 die Vorgaben einhalten, kleinere seit 3. Juni 2026.
- Meldepflicht
- § 248.30(a)(4): Betroffene Personen so bald wie praktikabel und spätestens 30 Tage nach Kenntnis davon benachrichtigen, dass sensible Kundeninformationen ohne Befugnis abgerufen oder verwendet wurden oder dies hinreichend wahrscheinlich ist.
- Dienstleister müssen das Unternehmen innerhalb von 72 Stunden nach Kenntnis einer Verletzung informieren.
- Geleakte Zugangsdaten und Darknet-Exposition
- Sensible Kundeninformationen umfassen ausdrücklich einen Benutzernamen in Verbindung mit Authentifizierungsdaten wie einem Zugangscode, sodass geleakte Kunden-Logins erfasst sind.
- Höchststrafe
- Die Regel sieht keine bestimmte Strafe vor; sie wird nach dem Wertpapierrecht durchgesetzt.
- Gilt für
- Erfasste Einrichtungen in den Sektoren kritischer Infrastruktur der USA, wie die endgültige Regel sie definieren wird.
- Status (November 2026)
- Die CISA hat ihre vorgeschlagene Regel am 4. Apr. 2024 veröffentlicht und arbeitet weiter an der endgültigen Regel. Bis diese in Kraft tritt, muss nach CIRCIA nichts gemeldet werden.
- Meldepflicht
- Einen erfassten Cybervorfall innerhalb von 72 Stunden, nachdem man mit vernünftigen Gründen von seinem Eintritt ausgeht, an die CISA melden.
- Melden Sie eine Lösegeldzahlung innerhalb von 24 Stunden nach der Zahlung.
- Geleakte Zugangsdaten und Darknet-Exposition
- Ob ein Leak als erfasster Cybervorfall gilt, hängt von den Definitionen der endgültigen Regelung ab.
- Höchststrafe
- Das Gesetz sieht keine Geldbußen vor. CISA kann Auskünfte verlangen, eine Vorladung erlassen und Verstöße zur zivilrechtlichen Klage an den Attorney General weiterleiten; falsche Angaben sind eine Bundesstraftat.
- Gilt für
- Krankenversicherungen, Abrechnungsstellen im Gesundheitswesen, Leistungserbringer, die elektronisch abrechnen, und deren Geschäftspartner.
- Status (November 2026)
- In Kraft. Das HHS hat im Januar 2025 eine Aktualisierung der separaten HIPAA Security Rule vorgeschlagen; sie ist nicht final.
- Meldepflicht
- § 164.404: Betroffene Personen ohne unangemessene Verzögerung und spätestens 60 Kalendertage nach Entdeckung benachrichtigen.
- § 164.406 und 164.408: Bei 500 oder mehr Personen ist gleichzeitig auch das HHS zu informieren, bei mehr als 500 Einwohnern eines Bundesstaats zudem bedeutende Medien. Kleinere Verletzungen gehen innerhalb von 60 Tagen nach Jahresende an das HHS.
- § 164.410: Business Associates informieren die betroffene Stelle (Covered Entity) innerhalb von 60 Tagen.
- Geleakte Zugangsdaten und Darknet-Exposition
- Die Regel betrifft ungesicherte geschützte Gesundheitsinformationen. Geleakte Logins von Mitarbeitenden zählen, wenn sie dazu führen, dass Gesundheitsdaten erlangt, abgerufen, verwendet oder offengelegt werden.
- Höchststrafe
- Zivilrechtliche Strafen von 145 USD bis 2.190.294 USD je Verstoß, abhängig vom Verschulden, begrenzt auf 2.190.294 USD pro Kalenderjahr bei identischen Verstößen (Inflationsanpassung 2025, 45 CFR 102.3).
- Gilt für
- Nichtbanken-Finanzinstitute unter der Zuständigkeit der FTC, etwa Hypothekenmakler, Autohändler, Zahltagkredit-Anbieter und Steuerberater.
- Status (November 2026)
- Die Meldepflicht gilt seit 13. Mai 2024.
- Meldepflicht
- § 314.4(j): Die FTC ist so bald wie möglich und spätestens 30 Tage nach Entdeckung eines meldepflichtigen Ereignisses, das mindestens 500 Verbraucher betrifft, über das Online-Formular der FTC zu benachrichtigen.
- Ein meldepflichtiges Ereignis ist der Erwerb unverschlüsselter Kundeninformationen ohne Autorisierung des Kunden.
- Geleakte Zugangsdaten und Darknet-Exposition
- Daten gelten als unverschlüsselt, wenn auch der Schlüssel entwendet wurde, und es gibt keine Prüfung auf Schadensrisiko: Ein bestätigtes Leak von Kundendaten, das 500 oder mehr Verbraucher betrifft, ist meldepflichtig.
- Höchststrafe
- Die Regel selbst nennt keinen Strafbetrag; sie wird von der FTC durchgesetzt.
- Gilt für
- Banken, Versicherer, Zahlungsdienstleister und andere Unternehmen, die vom New York Department of Financial Services zugelassen oder konzessioniert sind.
- Status (November 2026)
- Die zweite Änderung vom 1. Nov. 2023 wurde schrittweise eingeführt; ihre letzten Anforderungen (Multi-Faktor-Authentifizierung für jeden Zugriff, Inventar der Assets) gelten seit dem 1. Nov. 2025.
- Meldepflicht
- § 500.17(a): Den Superintendent spätestens 72 Stunden nach Feststellung eines Cybersicherheitsvorfalls elektronisch benachrichtigen, auch wenn er bei einem verbundenen Unternehmen oder einem externen Dienstleister aufgetreten ist.
- § 500.17(c): Meldung einer Erpressungszahlung innerhalb von 24 Stunden und eine schriftliche Erläuterung innerhalb von 30 Tagen.
- Jährliche Compliance-Bescheinigung bis zum 15. April.
- Geleakte Zugangsdaten und Darknet-Exposition
- Wer unbefugten Zugriff auf nicht öffentliche Informationen aufgrund von Nichteinhaltung nicht verhindert, begeht selbst einen Verstoß (§ 500.20(b)), und geleakte Zugangsdaten sind ein direkter Weg zu diesem Zugriff.
- Höchststrafe
- Nach Banking Law § 44: bis zu 2.500 USD pro Tag, 15.000 USD pro Tag bei wiederholtem Fehlverhalten und 75.000 USD pro Tag bei vorsätzlichen Verstößen; höhere Grenzen für Bankorganisationen.
- Gilt für
- Unternehmen, die personenbezogene Informationen von Einwohnern Kaliforniens besitzen oder lizenzieren; der CCPA gilt für gewinnorientierte Unternehmen oberhalb seiner Schwellenwerte.
- Status (November 2026)
- SB 446 hat dem Datenschutzverletzungsgesetz ab dem 1. Jan. 2026 eine feste Frist hinzugefügt. Die CPPA-Vorschriften zu Cybersicherheitsaudits gelten seit dem 1. Jan. 2026; die ersten Audit-Bescheinigungen sind ab dem 1. Apr. 2028 fällig.
- Meldepflicht
- Civ. Code 1798.82: betroffene Einwohner innerhalb von 30 Kalendertagen nach Entdeckung oder Mitteilung der Verletzung benachrichtigen (Aufschub für Strafverfolgung möglich).
- Bei mehr als 500 Einwohnern: Senden Sie innerhalb von 15 Kalendertagen nach deren Benachrichtigung eine Mustermitteilung an den Attorney General.
- Geleakte Zugangsdaten und Darknet-Exposition
- Verbraucher können nach 1798.150 klagen, wenn eine E-Mail-Adresse zusammen mit einem Passwort oder einer Sicherheitsfrage samt Antwort, die Zugang zu einem Konto gibt, gestohlen oder offengelegt wurde, weil die Sicherheit nicht angemessen war.
- Höchststrafe
- Gesetzlicher Schadensersatz von 107 bis 799 USD pro Verbraucher und Vorfall oder der tatsächliche Schaden, falls höher (1798.150); Verwaltungsbußgelder von bis zu 2.663 USD je Verstoß, 7.988 USD bei Vorsatz (angepasste Beträge 2025).
- Gilt für
- Jede Organisation, die personenbezogene Informationen von Einwohnern eines Bundesstaats hält, unabhängig von ihrem Sitz.
- Status (November 2026)
- Jeder Bundesstaat hat sein eigenes Gesetz. Viele verlangen eine Benachrichtigung „ohne unangemessene Verzögerung“; immer mehr setzen feste Fristen.
- Meldepflicht
- Colorado (C.R.S. 6-1-716): Einwohner innerhalb von 30 Tagen nach Feststellung einer Verletzung; der Generalstaatsanwalt innerhalb von 30 Tagen, wenn 500 oder mehr Einwohner betroffen sind.
- Florida (§ 501.171): Einzelpersonen innerhalb von 30 Tagen; das Department of Legal Affairs innerhalb von 30 Tagen, wenn 500 oder mehr Personen betroffen sind.
- Washington (RCW 19.255.010): Verbraucher innerhalb von 30 Kalendertagen; der Generalstaatsanwalt innerhalb von 30 Tagen, wenn mehr als 500 Einwohner betroffen sind.
- Geleakte Zugangsdaten und Darknet-Exposition
- Colorado, Florida und Washington definieren unter anderem personenbezogene Informationen so, dass sie einen Benutzernamen oder eine E-Mail-Adresse mit Passwort oder Sicherheitsfrage einschließen, die Zugang zu einem Online-Konto geben. Geleakte Zugangsdaten für Konten allein können daher eine Meldung auslösen.
- Höchststrafe
- Je Bundesstaat geregelt. Florida: bis zu 1.000 USD pro Tag für die ersten 30 Tage, danach bis zu 50.000 USD je 30 Tage, höchstens 500.000 USD pro Verletzung (§ 501.171(9)).
Kanada & Lateinamerika
- Gilt für
- Organisationen des Privatsektors bei gewerblicher Tätigkeit, außer in Provinzen mit einem im Wesentlichen ähnlichen Gesetz für Angelegenheiten innerhalb der Provinz.
- Status (November 2026)
- Der geplante Nachfolger (Bill C-27) ist im Januar 2025 gescheitert. Bill C-8 erhielt am 15. Juni 2026 die Royal Assent; der darin enthaltene Critical Cyber Systems Protection Act ist noch nicht in Kraft. In Quebec ergänzt Law 25 eine eigene Pflicht zur Meldung an die CAI.
- Meldepflicht
- s. 10.1: Eine Verletzung der Sicherheitsvorkehrungen ist dem Commissioner zu melden und die Betroffenen sind zu benachrichtigen, sobald dies nach der Feststellung, dass ein reales Risiko erheblichen Schadens besteht, praktikabel ist.
- s. 10.3: Über jede Verletzung, ob meldepflichtig oder nicht, ist 24 Monate lang ein Protokoll zu führen.
- Geleakte Zugangsdaten und Darknet-Exposition
- Geleakte Zugangsdaten werden nach dem Test des realen Risikos erheblichen Schadens beurteilt (wie sensibel, wie wahrscheinlich ein Missbrauch). Jede Verletzung muss dokumentiert werden, auch unterhalb dieser Schwelle.
- Höchststrafe
- Bis zu 100.000 CAD, wenn eine Meldung oder die Führung von Aufzeichnungen wissentlich unterlassen wird (s. 28). In Québec Verwaltungsstrafen von bis zu 10 Mio. CAD oder 2 % des weltweiten Umsatzes.
- Gilt für
- Organisationen, die in Brasilien oder von Personen in Brasilien personenbezogene Daten verarbeiten.
- Status (November 2026)
- Die ANPD-Resolution 15 vom 24. Apr. 2024 legt die Frist und den Inhalt der Meldung fest.
- Meldepflicht
- LGPD Art. 48 und Resolution 15/2024, Art. 6 und 9: Die ANPD und die betroffenen Personen sind innerhalb von drei Werktagen zu benachrichtigen, nachdem bekannt wurde, dass ein Vorfall mit relevantem Risiko oder Schaden personenbezogene Daten betroffen hat.
- Details können innerhalb von 20 Werktagen nachgereicht werden; ein Vorfallprotokoll ist mindestens fünf Jahre aufzubewahren.
- Geleakte Zugangsdaten und Darknet-Exposition
- Resolution 15/2024 nennt Authentifizierungsdaten unter den Kriterien für einen Vorfall mit relevantem Risiko, sodass ein Leak von Zugangsdaten die drei Werktage auslösen kann.
- Höchststrafe
- Eine einfache Geldbuße von bis zu 2 % des Umsatzes in Brasilien, begrenzt auf 50 Mio. BRL je Verstoß (Art. 52 II).
- Gilt für
- Privatwirtschaftliche Organisationen, die in Mexiko personenbezogene Daten verarbeiten.
- Status (November 2026)
- Das neue Gesetz löste am 21. März 2025 das Gesetz von 2010 ab. Die Aufsicht ging vom früheren INAI auf die Secretaría Anticorrupción y Buen Gobierno über.
- Meldepflicht
- Art. 19: Die betroffenen Personen sind unverzüglich über Sicherheitsverletzungen zu informieren, die ihr Eigentum oder ihre immateriellen Rechte erheblich beeinträchtigen. Das Gesetz sieht keine Meldepflicht gegenüber der Behörde vor.
- Geleakte Zugangsdaten und Darknet-Exposition
- Geleakte Zugangsdaten zu Konten, über die andere an das Geld oder die Konten einer Person gelangen können, fallen unter die Pflicht zur sofortigen Information.
- Höchststrafe
- Bußgelder von bis zu 320.000 Mal der Unit of Measure and Update (UMA), mehr bei Wiederholungstätern und bis zum Doppelten bei sensiblen Daten (Art. 59).
Asien-Pazifik
- Gilt für
- Behörden der australischen Regierung sowie die meisten Unternehmen und gemeinnützigen Organisationen mit einem Jahresumsatz über 3 Mio. AUD.
- Status (November 2026)
- Der Privacy and Other Legislation Amendment Act 2024 führte gestaffelte zivilrechtliche Strafen und Verwarnungsbescheide ein.
- Meldepflicht
- s. 26WH: Einen vermuteten Verstoß angemessen und zügig prüfen, in der Regel innerhalb von 30 Tagen.
- Eine meldepflichtige Verletzung (die voraussichtlich zu ernsthaftem Schaden führt) muss der OAIC mit einer Erklärung gemeldet werden (s. 26WK), und die betroffenen Personen müssen benachrichtigt werden (s. 26WL).
- Geleakte Zugangsdaten und Darknet-Exposition
- Im Darknet gefundene Zugangsdaten können der begründete Verdacht auf eine Verletzung sein, der die 30-tägige Prüfung auslöst.
- Höchststrafe
- Für ein Unternehmen der höchste Betrag aus 50 Mio. AUD, dem Dreifachen des erlangten Vorteils oder 30 % des bereinigten Umsatzes bei schwerwiegenden Eingriffen in die Privatsphäre (s. 13G).
- Gilt für
- Betreiber kritischer Infrastrukturen und Unternehmen oberhalb der in den Vorschriften festgelegten Umsatzschwelle, die eine ransomware-Zahlung leisten oder in ihrem Namen leisten lassen.
- Status (November 2026)
- Die Meldung von ransomware-Zahlungen gilt seit 30. Mai 2025.
- Meldepflicht
- s. 27: Meldung an die ASD innerhalb von 72 Stunden nach der Ransomware-Zahlung oder nachdem man davon erfahren hat, dass sie erfolgt ist.
- Geleakte Zugangsdaten und Darknet-Exposition
- Eine Erpressungsforderung wegen gestohlener Daten, die auf einer Leak-Seite veröffentlicht wurden, löst diese Meldung nur aus, wenn eine Zahlung erfolgt.
- Höchststrafe
- Eine Zivilstrafe von 60 Penalty Units (s. 27(5)).
- Gilt für
- Organisationen des privaten Sektors in Singapur.
- Status (November 2026)
- Verpflichtende Meldung von Datenlecks seit dem 1. Feb. 2021; die höhere Bußgeldobergrenze seit dem 1. Okt. 2022. Betreiber kritischer Informationsinfrastruktur melden außerdem an die Cyber Security Agency nach dem Cybersecurity Act, geändert ab dem 31. Okt. 2025.
- Meldepflicht
- Innerhalb von 30 Kalendertagen prüfen, ob ein Datenleck meldepflichtig ist: wahrscheinlich erheblicher Schaden oder 500 oder mehr betroffene Personen.
- Die PDPC so bald wie praktikabel und spätestens drei Kalendertage danach benachrichtigen; die betroffenen Personen so bald wie praktikabel benachrichtigen.
- Geleakte Zugangsdaten und Darknet-Exposition
- Eine Kontokennung, die zusammen mit einem Passwort, Sicherheitscode oder anderen Daten offengelegt wird, die Zugang zum Konto geben, gilt als erheblicher Schaden (Notification of Data Breaches Regulations 2021, reg. 3(1)(b)); ein Zugangsdaten-Leak ist daher meldepflichtig.
- Höchststrafe
- Bis zu 1 Mio. SGD oder 10 % des jährlichen Umsatzes in Singapur bei Organisationen mit mehr als 10 Mio. SGD Umsatz, je nachdem, welcher Betrag höher ist (s. 48J).
- Gilt für
- Organisationen, die in Indien digitale personenbezogene Daten verarbeiten oder Daten von Personen in Indien, wenn sie ihnen Waren oder Dienstleistungen anbieten; die CERT-In Directions gelten für Dienstanbieter, Intermediäre, Rechenzentren und Unternehmen.
- Status (November 2026)
- Die DPDP Rules wurden am 14. Nov. 2025 mit einer 18-monatigen Frist für die schrittweise Umsetzung bekannt gemacht; die Pflichten des Gesetzes bei Datenlecks gelten daher ab 2027. Die Meldepflicht gegenüber CERT-In gilt bereits.
- Meldepflicht
- CERT-In Directions: Die aufgelisteten Arten von Cyber-Vorfällen innerhalb von sechs Stunden nach Bemerken an CERT-In melden.
- DPDP Act s. 8(6), sobald in Kraft: Das Data Protection Board und jede betroffene Person über jede Verletzung des Schutzes personenbezogener Daten informieren, in der von den Rules vorgeschriebenen Form.
- Geleakte Zugangsdaten und Darknet-Exposition
- Der DPDP Act kennt keine Wesentlichkeitsschwelle, daher muss ein bestätigter Leak von Zugangsdaten aus Ihren Systemen dem Board und den betroffenen Personen gemeldet werden.
- Höchststrafe
- Bis zu 250 Crore INR bei fehlenden angemessenen Sicherheitsvorkehrungen und bis zu 200 Crore INR bei unterlassener Meldung eines Datenlecks (DPDP Act, Schedule).
- Amtliche Quellen
- Gilt für
- Netzbetreiber in China; das PIPL erfasst auch einige Verarbeitungen von Daten von Personen in China aus dem Ausland.
- Status (November 2026)
- Die Maßnahmen zur Meldung von Vorfällen gelten seit 1. Nov. 2025; das geänderte Cybersicherheitsgesetz seit 1. Jan. 2026, mit einer eigenen Strafstufe für großflächige Datenlecks.
- Meldepflicht
- Maßnahmen zur Meldung von Vorfällen: Betreiber kritischer Informationsinfrastruktur melden meldepflichtige Vorfälle spätestens innerhalb einer Stunde an ihre Schutzabteilung und die Polizei; andere Betreiber melden innerhalb von vier Stunden an die Cyberspace-Verwaltung der Provinz.
- PIPL Art. 57: Bei einem tatsächlichen oder möglichen Leak personenbezogener Informationen sind sofort Abhilfemaßnahmen zu ergreifen und die Aufsichtsbehörde sowie die betroffenen Personen zu benachrichtigen.
- Geleakte Zugangsdaten und Darknet-Exposition
- Personenbezogene Informationen, die online geleakt gefunden werden, erfordern nach PIPL Art. 57 eine sofortige Meldung.
- Höchststrafe
- Schwere PIPL-Verstöße: bis zu 50 Mio. RMB oder 5 % des Vorjahresumsatzes, dazu Geldbußen gegen verantwortliche Personen (Art. 66). Geändertes Cybersicherheitsgesetz: bis zu 10 Mio. RMB in den schwersten Fällen.
- Gilt für
- Unternehmen, die in Japan personenbezogene Informationen verarbeiten.
- Status (November 2026)
- Meldungen von Datenlecks sind seit 1. Apr. 2022 verpflichtend. Eine Änderung wurde am 17. Juli 2026 verkündet und tritt innerhalb von zwei Jahren in Kraft; sie erleichtert die Benachrichtigung von Einzelpersonen bei geringem Risiko und führt einen neuen Straftatbestand für das Erlangen personenbezogener Informationen durch Betrug oder unbefugten Zugriff ein.
- Meldepflicht
- Art. 26 Abs. 1: ein vorläufiger Bericht an die PPC umgehend, in der Praxis innerhalb von drei bis fünf Tagen.
- Ein Abschlussbericht innerhalb von 30 Tagen, oder innerhalb von 60 Tagen, wenn ein unzulässiger Zweck wie unbefugter Zugriff oder Ransomware möglich ist.
- Meldepflichtig sind: sensible Daten, Daten, die einen finanziellen Schaden verursachen können, ein unzulässiger Zweck oder mehr als 1.000 Personen.
- Geleakte Zugangsdaten und Darknet-Exposition
- Diebstahl durch unbefugten Zugriff sowie geleakte Login-Daten für Dienste, die Zahlungen erlauben, sind unabhängig von der Zahl der Betroffenen meldepflichtig.
- Höchststrafe
- Strafrechtliche Geldstrafen von bis zu 100 Mio. JPY für Unternehmen, die gegen Anordnungen der PPC verstoßen oder Datenbanken zu unrechtmäßigem Gewinn bereitstellen (Art. 184).
Naher Osten & Afrika
- Gilt für
- Organisationen, die personenbezogene Daten von Personen in Saudi-Arabien verarbeiten, auch aus dem Ausland.
- Status (November 2026)
- In Kraft seit 14. Sep. 2023, mit einer einjährigen Übergangsfrist, die am 14. Sep. 2024 endete.
- Meldepflicht
- Gesetz Art. 20 und Durchführungsverordnung Art. 24: Die Saudi Data & AI Authority (SDAIA) ist über ihr Portal innerhalb von 72 Stunden zu benachrichtigen, nachdem man von einem Vorfall erfährt, der personenbezogenen Daten oder den betroffenen Personen schaden kann.
- Auch die betroffenen Personen benachrichtigen.
- Geleakte Zugangsdaten und Darknet-Exposition
- Unrechtmäßiger Zugriff auf Zugangsdaten, die Sie verwalten, kann die 72-Stunden-Meldung auslösen.
- Höchststrafe
- Eine Verwarnung oder eine Geldbuße von bis zu 5 Mio. SAR, bei Wiederholung verdoppelt (Art. 36); bis zu zwei Jahre Haft und 3 Mio. SAR für die Offenlegung sensibler Daten (Art. 35).
- Amtliche Quellen
- Gilt für
- Öffentliche und private Stellen, die in Südafrika personenbezogene Informationen verarbeiten.
- Status (November 2026)
- Seit dem 1. Apr. 2025 müssen Sicherheitsverletzungen über das eServices-Portal des Information Regulator gemeldet werden.
- Meldepflicht
- s. 22: Bestehen begründete Anhaltspunkte, dass eine unbefugte Person auf personenbezogene Informationen zugegriffen oder sie erlangt hat, sind der Information Regulator und die Betroffenen so bald wie vernünftigerweise möglich zu benachrichtigen. Es gibt keine Meldeschwelle.
- Geleakte Zugangsdaten und Darknet-Exposition
- Jeder bestätigte unbefugte Erwerb ist unabhängig vom Risiko meldepflichtig.
- Höchststrafe
- Eine Verwaltungsstrafe von bis zu 10 Millionen ZAR (s. 109).
Ebenfalls gefragt
- EU AI Act. Anbieter von KI-Systemen mit hohem Risiko melden schwerwiegende Vorfälle innerhalb von 15 Tagen (Art. 73). Darknet-Monitoring ist keine Hochrisiko-Anwendung nach Anhang III; die Hochrisiko-Vorschriften wurden durch die Verordnung (EU) 2026/1744 auf den 2. Dez. 2027 verschoben. Offizielle Quelle (öffnet in einem neuen Tab)
- EU Cybersecurity Act. Schafft die freiwillige EU-Sicherheitszertifizierung und das Mandat der ENISA; er enthält keine Meldepflicht für Datenlecks. Eine Überarbeitung wurde am 20. Jan. 2026 vorgeschlagen. Offizielle Quelle (öffnet in einem neuen Tab)
- VAE PDPL. Das Federal Decree-Law 45/2021 verlangt eine Meldung von Datenschutzverletzungen an das UAE Data Office. Frist und Bußgelder sind jedoch Ausführungsverordnungen überlassen, daher nennen wir keine Zahlen. Offizielle Quelle (öffnet in einem neuen Tab)
Compliance
Wie Darknet-Monitoring Ihnen hilft, die Fristen einzuhalten
Fast jede der obigen Fristen beginnt, sobald Sie von einer Verletzung Kenntnis erlangen. Ein Leak, den niemand sieht, kann nicht bewertet, gemeldet oder eingedämmt werden. Monitoring entscheidet nicht, ob ein Leak meldepflichtig ist; das bleibt eine rechtliche Bewertung. Es verkürzt die Zeit, bis Sie Bescheid wissen, und liefert Ihnen die Fakten für den Bericht.
Früher Bescheid wissen
Alarme, wenn Ihre Domänen, E-Mail-Adressen oder Mitarbeiter-Logins in Leak-Daten, Stealer-Logs oder im Darknet-Chatter auftauchen. So erfahren Sie von einem Leak aus Ihren eigenen Alarmen und nicht von einer Aufsichtsbehörde, einem Kunden oder dem Angreifer.
Datenleck-ErkennungSchneller bewerten
Jeder Befund zeigt, was geleakt wurde, welche Konten und Rechner betroffen sind und wann er gefunden wurde: die Fakten, die ein Bericht nach 24 oder 72 Stunden verlangt.
Monitoring von Zugangsdaten und Stealer-LogsDokumentation führen
Mehrere Gesetze verlangen, jede Datenpanne zu dokumentieren, ob gemeldet oder nicht (DSGVO Art. 33 Abs. 5, PIPEDA, LGPD). Befunde, Alarme und Berichte lassen sich für diese Akte exportieren.
Darknet-Berichte
Keine Rechtsberatung
Diese Seite ist ein allgemeiner Überblick zur Orientierung. Sie ist keine Rechtsberatung und nicht vollständig: Gesetze ändern sich, nationale Regeln und Hinweise der Aufsichtsbehörden ergänzen Details, und ob ein Leak gemeldet werden muss, hängt von den Tatsachen ab. Prüfen Sie die amtlichen Quellen und sprechen Sie mit Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten, bevor Sie entscheiden.
Geprüft im November 2026. Jede Frist und jede Geldbuße wurde anhand der amtlichen Quelle geprüft, die in den Details des jeweiligen Gesetzes verlinkt ist.