Incident / Breach Response / DSGVO 72h
Incident-/Breach-Readiness 46/100; 5 Szenario(s), 0 kritisch, 3 hoch/kritisch und 4 offene Nachweisposition(en).
DSGVO: 72-Stunden-Prüfung ab Kenntnisnahme vorbereiten; konkrete Meldepflicht juristisch bewerten.
Automatisch aus Website- und Betreiberartefakten abgeleiteter Incident-Readiness-Entwurf; ersetzt keine rechtliche Meldeentscheidung und keine forensische Analyse.
Szenarien
1 Anbieter, 1 AVV-/DPA-Prüfung(en), 0 Transferfrage(n).
Vendor Owner kontaktieren, Anbieterakte öffnen, betroffene Dienste/Datenflüsse aus Data Map markieren und vertragliche Breach-Notification-Fristen prüfen. 72-Stunden-Prüfung starten; Meldepflicht hängt von Risiko für Betroffene und interner Sachlage ab.16 Datenfluss-Kanten, 3 hohes Risiko, 0 Transfer-Kante(n).
Top-Datenflüsse isolieren, betroffene Datenkategorien und Empfänger bestimmen, interne Systeme und Löschfristen aus Betreiberakten ergänzen. 72-Stunden-Prüfung starten; Meldepflicht hängt von Risiko für Betroffene und interner Sachlage ab.4 von 9 wichtigen Security-Headern vorhanden, 4 korrekt bewertet. Keine Content-Security-Policy gefunden.
Webserver-Konfiguration einfrieren, Logs sichern, betroffene Endpunkte identifizieren und Header-/TLS-Fix als Sofortmaßnahme planen. 72-Stunden-Prüfung starten; Meldepflicht hängt von Risiko für Betroffene und interner Sachlage ab.0 PII-/Datenleck-Hinweis(e) aus URL-, Formular- und Browserkontext.
Betroffene URLs/Requests sichern, Formulardaten aus URLs entfernen, Referrer-Policy verschärfen und Drittanbieter auf Formularseiten blockieren. 72-Stunden-Prüfung starten; Meldepflicht hängt von Risiko für Betroffene und interner Sachlage ab.0 Cookie(s) inventarisiert: 0 Tracking-/Werbe-Cookie(s), 0 Drittanbieter-Cookie(s), 0 langlebige Cookie(s), 0 sehr lange Laufzeit(en).
Consent-Zustände reproduzieren, Cookie-/Storage-Werte nicht exportieren, betroffene Anbieter und Zwecke im Cookie-Inventar markieren. 72-Stunden-Prüfung starten; Meldepflicht hängt von Risiko für Betroffene und interner Sachlage ab.72 Stunden
Vorfall erfassen, Kenntniszeitpunkt setzen, Systeme/Anbieter markieren und Beweissicherung starten.
Incident-Ticket, Zeitstempel, erste technische Artefakte.
Betroffene Tags, Formulare, Anbieter oder Endpunkte stoppen beziehungsweise isolieren; Logs und Konfigurationen sichern.
Änderungsprotokoll, Log-Sicherung, Screenshot/Request-Nachweis.
Datenarten, Anzahl Betroffener, Empfänger, Schutzmaßnahmen und mögliche Folgen bewerten.
Risikobewertung, Data-Map-Auszug, Vendor-Akte.
Entscheidung zu Aufsichtsbehörde, Betroffeneninformation und Kundenkommunikation dokumentieren.
Meldeentscheidung, Begründung, Entwurf der Meldung oder Negativentscheidung.
Ursache beheben, TOMs/Consent/Data Map/Vendor-Akten aktualisieren und Wiederholungstest planen.
Abnahmekriterium, Re-Scan, aktualisierte Betreiberartefakte.
Nachweise
Startpunkt für 72-Stunden-Prüfung.
Grundlage für Risiko für Betroffene.
Vendor-Fristen und Unterauftragsverarbeiter prüfen.
Beweissicherung und nachvollziehbare Methodik.
Kommunikation mit Betroffenen vorbereiten.
Wiederholung und neue Signale erkennen.