Der Koffer ist gepackt – und die Zugangsdaten?
Datenschutz und Informationssicherheit rund um die Urlaubszeit
Liebe Leserinnen und Leser,
es ist wieder so weit: Die Abwesenheitsnotizen gehen an, die Flure werden leerer, und irgendwo im Haus fällt kurz vor Feierabend dieser eine Satz: „Kannst du mir vorsichtshalber dein Passwort geben? Nur falls etwas Dringendes ist.“ Bitte nicht!
Die Urlaubszeit ist für den Datenschutz eine besondere Jahreszeit. Vertretungen sollen Aufgaben übernehmen, für die sie eigentlich keine Berechtigung haben. Abwesenheitsnotizen verraten mehr, als nötig wäre. Dienstliche Geräte reisen mit ans Meer. Und wer es auf Unternehmensdaten abgesehen hat, weiß ziemlich genau, dass in der Urlaubszeit weniger Menschen zweimal hinschauen.
Vor der Abreise: übergeben, ohne alles herzugeben
Eine gute Vertretung braucht drei Dinge: Informationen, klare Zuständigkeiten und die passenden Berechtigungen. Was sie nicht braucht, ist Ihr persönliches Passwort. Das ist keine Förmlichkeit. Zugriffe müssen nachvollziehbar bleiben, und wer sein Konto weitergibt, steht im Zweifel für alles gerade, was damit geschieht. In einer Protokollauswertung ist „das war bestimmt die Kollegin“ kein besonders starkes Argument.
Klären Sie deshalb rechtzeitig, welche Aufgaben die Vertretung übernimmt, welche Rechte sie dafür braucht und wie diese offiziell – und ggf. zeitlich befristet – eingerichtet werden. Wo es ein Funktionspostfach oder einen gemeinsamen Arbeitsbereich gibt, ist ohnehin vieles einfacher.
Falls sich etwas ausschließlich über Ihren persönlichen Zugang erledigen lässt, liegt das Problem selten beim Urlaub. Es liegt beim Prozess!
Die Abwesenheitsnotiz: freundlich, knapp, unauffällig
Zwei Dinge sollte eine Abwesenheitsnotiz leisten: mitteilen, dass Sie nicht da sind, und sagen, wer stattdessen hilft. Alles Weitere ist optional – und manches davon sogar riskant.
Reisedetails wie „Ich bin bis zum 18. August mit meiner Familie in einem Ferienhaus auf Mallorca“ gehören nicht dazu. Das ist im Kern die Information, dass Ihre Wohnung gerade leer steht, und sie geht an jeden, der Ihnen schreibt. Besser so formulieren: „Vielen Dank für Ihre Nachricht. Ich bin bis einschließlich … nicht erreichbar. In dringenden Fällen wenden Sie sich bitte an …“
Aber auch hier gilt, dass genau diese Information von Betrügern auch gezielt ausgenutzt werden kann: Die Urlaubszeit ist Hochsaison für Betrugsversuche, die genau hier ansetzen. Wer als Vertretung eingetragen ist, bekommt dann Nachrichten von angeblichen Geschäftspartnern oder Vorgesetzten: „Frau Meyer und ich hatten das noch besprochen, sie ist ja jetzt im Urlaub. Die Zahlung muss heute noch raus.” Die abwesende Kollegin dient dabei als Alibi – sie kann die Behauptung nicht bestätigen, aber eben auch nicht widerlegen.
Wer vertritt, sollte deshalb besonders aufmerksam sein, vor allem bei ungewöhnlichen Zahlungs- oder Auskunftsanfragen, die Eile und Vertraulichkeit betonen. Im Zweifel hilft ein Rückruf unter der – im Unternehmen – bekannten Nummer. Nicht unter der, die in der Nachricht steht.
Der Schreibtisch fährt nicht mit
Vor der Abreise lohnt ein letzter Blick über den eigenen Arbeitsplatz: offene Akten, vergessene Ausdrucke am Drucker, USB-Sticks, beschriebene Whiteboards, Notizzettel mit Namen und Nummern. Bitte alles ordentlich verschließen, so dass nur diejenigen Zugriff haben, die ihn auch wirklich benötigen.
Der berühmte Zettel unter der Tastatur ist übrigens auch dann kein Passwortmanager, wenn er sehr ordentlich beschriftet ist. Diesen berühmten Zettel darf es heute nirgendwo mehr geben!
Unterwegs: nicht jedes WLAN ist ein Geschenk
Kostenlose Netze in Hotels, Cafés, an Flughäfen oder Bahnhöfen sind bequem – vertrauenswürdig sind sie deshalb nicht. Ein Netz namens „Hotel_Guest“ muss nicht vom Hotel stammen; einen Netzwerknamen kann jeder vergeben, der ein Gerät dabeihat.
Wenn Sie im Urlaub auf dienstliche Daten zugreifen müssen: Für dienstliche Zugriffe möglichst über das Mobilfunknetz oder den eigenen Hotspot arbeiten, den vom Unternehmen bereitgestellten VPN-Zugang nutzen, die automatische WLAN-Verbindung deaktivieren – und Sicherheitswarnungen des Geräts nicht wegklicken, nur weil gleich das Boarding beginnt.
Geräte gehören nicht auf die Sonnenliege
Laptop und Firmenhandy haben weder offen am Pool noch sichtbar im geparkten Auto etwas verloren. Sperrbildschirm mit PIN, Passwort oder Biometrie, Gerät bei Nichtbenutzung sperren, im Hotel sicher verwahren. Und auch wenn es kleinlich klingt: Das Diensthandy ist kein Beschäftigungsmedium für die Kinder in der Regenstunde.
Wer im Zug oder Flugzeug arbeitet, hat außerdem oft unfreiwillig Publikum. Ein Sichtschutzfilter hilft. Noch besser hilft, Personalunterlagen, Gesundheitsdaten oder interne Strategiepapiere gar nicht erst zwischen Boarding und Getränkeservice zu bearbeiten.
Betrüger kennen keine Nebensaison
Gefälschte Nachrichten wirken im Urlaub besonders glaubwürdig: die angebliche Zahlungsaufforderung des Hotels, die vermeintliche Buchungsbestätigung des Reiseportals, der QR-Code für WLAN oder Speisekarte, der auf einer täuschend echten Anmeldeseite endet.
Deshalb gilt auch mit Sand zwischen den Zehen: Links und Anhänge prüfen, Zugangsdaten nur auf selbst aufgerufenen Seiten eingeben und im Zweifel lieber einmal zu viel nachprüfen.
Wenn doch etwas passiert
Das Handy ist weg, der Laptop wurde aus dem Mietwagen gestohlen, oder das Gerät verhält sich nach dem Hotel-WLAN plötzlich merkwürdig. Dann bitte nicht bis nach dem Urlaub warten.
Der Grund ist nicht nur gute Ordnung: Bei einer meldepflichtigen Datenschutzverletzung bleiben dem Unternehmen 72 Stunden für die Meldung an die Aufsichtsbehörde. Diese Frist läuft – und wer erst am ersten Arbeitstag nach dem Urlaub Bescheid gibt, hat sie in aller Regel längst verbraucht. Das kann dann nicht nur unangenehm, sondern auch teuer werden.
Deshalb sollte schon vor der Abreise klar sein: Wen erreiche ich im Notfall, auch außerhalb der Bürozeiten? Wie lässt sich das Gerät sperren oder löschen? Und wo melde ich einen möglichen Vorfall?
Mindestens ebenso wichtig ist die Botschaft nach innen: Wer einen Verlust meldet, hilft. Wer ihn verschweigt, macht aus einem Ärgernis ein Problem. Eine Kultur, in der niemand Angst vor der Meldung hat, ist die wirksamste organisatorische Maßnahme, die sich nicht kaufen lässt.
Kurz gesagt
Datenschutz im Urlaub bedeutet nicht, das Diensthandy in Alufolie zu wickeln. Meist genügen ein paar einfache Vorkehrungen: klare Vertretungsregeln, persönliche Passwörter, eine unauffällige Abwesenheitsnotiz, ein aufgeräumter Schreibtisch und ein gesunder Zweifel an kostenlosen WLAN-Angeboten.
Dann kann der Urlaub das tun, wofür er gedacht ist: Abstand schaffen, Erholung bringen – und keine Meldung auslösen.
Eine kompakte Checkliste zum Ausdrucken und Aushängen stellen wir Ihnen gerne zur Verfügung. Und diesen Beitrag dürfen Sie selbstverständlich innerhalb Ihres Unternehmens weitergeben – er eignet sich gut als kurze Sensibilisierung für Ihre Beschäftigten.
Herzlichen Dank fürs Lesen
Ihr Dapro Serv-Team
Klingt kompliziert? Wir unterstützen Sie gerne. Sprechen Sie uns an. Datenschutz kann einfach sein.
Sie haben Anmerkungen zu unseren Newslettern? Wir freuen uns sehr über jedes Feedback.
Bitte beachten Sie, dass dieser Newsletter der Information dient und keine Rechtsberatung darstellt!
Datenschutz-Checkliste für die Urlaubszeit
Zum Kopieren, Aushängen und Abhaken. Eine kurze Runde vor der Abreise – mehr braucht es meist nicht.
Vor der Abreise
☐ Vertretung, Zuständigkeiten und Notfallkontakte sind geklärt.
☐ Die Vertretung verfügt über die benötigten, offiziell eingerichteten Berechtigungen; zusätzliche Rechte werden (ggf. befristet) vergeben.
☐ Passwörter wurden nicht weitergegeben – auch nicht „nur für den Notfall“.
☐ Die Abwesenheitsnotiz nennt die Vertretung, aber keine privaten Reisedetails.
☐ Die Vertretung weiß: Ungewöhnliche Zahlungsaufforderungen, Änderungen von Bankverbindungen oder dringende Anfragen erst über einen bekannten Kontaktweg prüfen – dann handeln.
☐ Der Arbeitsplatz ist aufgeräumt: Unterlagen weggeschlossen, Drucker leer, Whiteboard gewischt, keine Notizzettel mit Zugangsdaten.
☐ Im gemeinsamen Kalender steht „abwesend“ – nicht der Grund der Abwesenheit.
Unterwegs
☐ Dienstliche Geräte sind durch PIN, Passwort oder Biometrie geschützt und werden sicher verwahrt.
☐ Für dienstliche Zugriffe wird möglichst Mobilfunk oder ein persönlicher Hotspot genutzt. Bei Nutzung eines WLANs wird die vorgesehene VPN-Verbindung verwendet.
☐ Automatische WLAN-Verbindungen sind deaktiviert; Sicherheits- und Zertifikatswarnungen werden nicht weggeklickt.
☐ Vertrauliche Inhalte werden nicht vor fremden Blicken bearbeitet.
☐ Links, Anhänge und QR-Codes werden auch im Urlaub kritisch geprüft.
☐ Dienstgeräte bleiben dienstlich – auch bei Regenwetter.
Wenn etwas passiert
☐ Verlust, Diebstahl, verdächtige Sicherheitsmeldungen oder der Verdacht auf einen Angriff werden sofort gemeldet – nicht erst nach dem Urlaub.
Der Grund: Eine meldepflichtige Datenschutzverletzung muss grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde gemeldet werden. Deshalb gilt: Verdächtige Vorfälle sofort intern melden – nicht erst am ersten Arbeitstag nach dem Urlaub.
Meldeweg: ____________________ Notfallkontakt / Telefonnummer: ____________________
Diese Checkliste dient der Information und ersetzt keine Rechtsberatung. Fragen? Sprechen Sie uns gerne an.
