Der Jahresbericht 2025 der Berliner Beauftragten für Datenschutz und Informationsfreiheit (BlnBDI) beschreibt einen Fall, der zeigt, wie schnell eine fehlende Basis-Absicherung zum Bußgeld führt. Ein Medizinunternehmen nutzte das E-Mail-Postfach seines Geschäftsführers zur Kommunikation mit Patientinnen, Patienten und Kunden. Dieses Postfach war mindestens einen Monat lang über einen Webmail-Zugang erreichbar, gesichert allein durch Benutzername und Passwort, ohne schlüsselbasierte oder Zwei-Faktor-Authentifizierung.
Das Risiko blieb nicht theoretisch. Das Konto wurde kompromittiert, und Unbekannte nutzten die vorhandenen Kommunikationsverläufe, um darüber Phishing-Nachrichten zu versenden. Da über das Konto Kommunikation mit Patientinnen und Patienten lief, waren nach Einschätzung der Behörde auch Gesundheitsdaten betroffen, für die ein erhöhter Schutzbedarf besteht.
Was rechtlich passiert: Die BlnBDI wertete den alleinigen Schutz durch Benutzername und Passwort als Verstoß gegen Art. 32 Abs. 1 lit. b DSGVO, der Verantwortliche zu einem dem Risiko angemessenen Schutzniveau verpflichtet. Unter Verweis auf den Stand der Technik, insbesondere auf Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur Mehr-Faktor-Authentisierung bei erhöhtem Schutzbedarf, stufte die Behörde eine stärkere Authentifizierung als zumutbare und geeignete Maßnahme ein. Bei der Bußgeldzumessung wertete sie den Verstoß als mittelschwer, erschwerend die Sensibilität der verarbeiteten Gesundheitsdaten. Bußgeldmildernd berücksichtigte sie das sofortige Aendern der Passwörter nach Bekanntwerden des Angriffs, die Kooperation im Verfahren und die lange Verfahrensdauer. Eine konkrete Bußgeldhöhe nennt der Bericht für diesen Fall nicht.
Nicht nur Medizinunternehmen sind betroffen: Ein Geschäftsführer- oder Kundenkommunikations-Postfach ohne Zwei-Faktor-Schutz ist in kleinen und mittleren Betrieben keine Ausnahme, sondern verbreitete Praxis. Viele Postfächer sind nur über Webmail erreichbar, gerade weil das bequem ist, und genau das macht sie für Angreifer von außen einfacher zugänglich als ein rein lokal genutztes Postfach. Die Frage, ob besonders sensible Daten wie Gesundheitsdaten über das Konto laufen, verschärft den Fall zusätzlich, ändert aber nichts daran, dass Art. 32 DSGVO für jede Verarbeitung personenbezogener Daten gilt, nicht nur für Gesundheitsdaten.
Was die Behörde als Mindeststandard nennt: Kernaussage des Falls ist die Erwartung, dass ein Postfach mit erhöhtem Schutzbedarf nicht allein durch Benutzername und Passwort abgesichert wird, sondern durch eine zusätzliche Sicherheitsstufe, ausdrücklich genannt werden schlüsselbasierte Verfahren oder Zwei-Faktor-Authentifizierung. Die Behörde stützt sich dabei ausdrücklich auf bestehende BSI-Empfehlungen, es handelt sich also nicht um eine neu erfundene Anforderung, sondern um eine seit Jahren dokumentierte technische Standardempfehlung.
Für die Praxis heißt das: Zwei-Faktor-Authentifizierung für geschäftliche E-Mail-Postfächer ist in den meisten E-Mail-Anbietern und Hosting-Paketen bereits vorhanden und lässt sich ohne großen Aufwand aktivieren. Wer sensible Kundenkommunikation, erst recht Gesundheitsdaten, über ein Postfach abwickelt, das nur mit Passwort geschützt ist, trägt ein Risiko, das sich mit wenig Aufwand deutlich verringern lässt, bevor ein kompromittiertes Konto Anlass für eine Meldung an die Aufsichtsbehörde wird.
Quelle: BlnBDI, Jahresbericht 2025, Abschnitt B-II-4, abgerufen am 08.07.2026 unter datenschutz-berlin.de/jahresbericht-2025/#B-II-4.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 11.07.2026.