KI-Phishing: Du hast geklickt – musst Du die Datenpanne melden?

Stell Dir einen Dienstag kurz vor Feierabend vor. Im Postfach liegt eine Mail Deines Hosters: Die Rechnung sei nicht abgebucht worden, bitte kurz bestätigen. Der Ton stimmt, das Logo stimmt, kein einziger Tippfehler. Du klickst, gibst Dein Passwort ein und merkst eine Minute später, dass die Adresse nicht passt. Ab jetzt läuft eine Uhr. Was sie misst und wann sie überhaupt startet, erkläre ich Dir hier.

Kurz gesagt: Ein Klick allein ist in der Regel keine meldepflichtige Datenpanne. Eine Panne liegt vor, wenn unbefugte Personen Zugang zu personenbezogenen Daten bekommen haben, zum Beispiel weil Du ein Passwort eingegeben oder einen Anhang geöffnet hast; kannst Du das nicht ausschließen, behandelst Du den Fall vorsichtshalber als Panne. Dann musst Du dem Datenschutz-Aufsichtsamt Deines Landes unverzüglich und möglichst binnen 72 Stunden nach Kenntnis Meldung erstatten, es sei denn, die Panne führt voraussichtlich zu keinem Risiko für die Betroffenen. Betroffene informierst Du nur bei hohem Risiko. In jedem Fall dokumentierst Du, was passiert ist.

Ich zeige Dir, woran Du KI-Phishing 2026 erkennst, was nach einem Klick rechtlich gilt, wer haftet, wenn eine Zahlung umgeleitet wird, und welche fünf Sofortmaßnahmen Du in der ersten Stunde brauchst.

Woran erkennst Du KI-Phishing, wenn die Sprache fehlerfrei ist?

Früher verrieten Tippfehler und holpriges Deutsch die Betrugsmail. Das fällt weg. Das BSI schreibt in seiner Untersuchung zu KI und Cyberbedrohungen, KI ermögliche es Angreifenden mit geringsten Fremdsprachenkenntnissen, qualitativ hochwertige Phishing-Nachrichten zu erstellen. Herkömmliche Methoden wie die Prüfung auf Rechtschreibfehler reichten zur Erkennung damit nicht mehr aus.

Merke: Eine fehlerfreie Mail ist kein Entwarnungszeichen. Sie ist der Normalfall.

Worauf Du stattdessen achtest:

• Unerwartet und dringend: Zeitdruck ist das häufigste Hebelwerkzeug. Das BSI rät: Lass Dich nicht unter Druck setzen. Kontaktiere die Gegenstelle auf einem anderen Weg.
• Absender und Link: Fahre mit der Maus über den Link, ohne zu klicken. Passt die Adresse nicht zum Absender, oder enthält sie seltsame Zeichenfolgen, lass es.
• Zugangsdaten: Seriöse Anbieter fragen Passwörter nicht per Mail ab. Anmeldedaten gibst Du nur auf Seiten ein, die Du selbst aufgerufen hast. Nie über einen Link aus einer Mail.
• Änderung von Kontodaten: Teilt ein Lieferant per Mail eine neue Bankverbindung mit, rufst Du unter der Nummer an, die Du schon kennst. Nicht unter der Nummer aus der Mail.
• Anhänge und QR-Codes: Unerwartete Anhänge öffnest Du nicht. In verdächtigen Mails scannst Du keine QR-Codes, denn Virenscanner behandeln sie als harmlose Bilder.

Konkret heißt das für Dich: Du prüfst nicht die Sprache, sondern den Zusammenhang. Hast Du das erwartet? Kommt es über den üblichen Weg? Wird Druck gemacht?

Wann ist ein Klick eine meldepflichtige Datenpanne?

Das Gesetz kennt den Begriff Datenpanne so nicht. Gemeint ist eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO: eine Verletzung der Sicherheit, die zu Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang zu personenbezogenen Daten führt. Entscheidend ist also, ob jemand Unbefugtes an Daten gekommen ist. Lässt sich das nach dem Vorfall nicht ausschließen, gehst Du vorsichtshalber von einer Verletzung aus und bewertest das Risiko.

Die Meldepflicht trifft Dich als Unternehmerin oder Unternehmer, weil Du für die Daten Deiner Kunden verantwortlich bist. Klickst Du rein privat, gilt die DSGVO für Dich nicht, und Du musst nichts melden. Bank anrufen und Anzeige erstatten lohnt sich trotzdem.

Als Faustregel helfen Fallgruppen. Das ist meine praktische Einordnung, keine Einzelfallprüfung:

Achtung: Dein Postfach ist selten leer. Kundennamen, Adressen, Verträge, Rechnungen, manchmal Gesundheits- oder Bewerberdaten liegen dort. Wer Zugang zum Postfach hat, hat Zugang zu all dem. Das Bayerische Landesamt für Datenschutzaufsicht beantwortet die Frage, ob eine Cyberattacke meldepflichtig ist, so: „Ja, in vielen Fällen – sofern personenbezogene Daten betroffen sind“. Bei Schadsoftware kommt es auf den konkreten Schädling an; nicht jeder Virenbefall muss gemeldet werden.

Was gilt bei der 72-Stunden-Frist?

Art. 33 Abs. 1 DSGVO verlangt, die Verletzung unverzüglich und möglichst binnen 72 Stunden zu melden, nachdem sie Dir bekannt wurde. Die Frist zählt in Stunden, nicht in Werktagen, und sie beginnt mit Deiner Kenntnis, nicht mit dem Klick. Schaffst Du es nicht rechtzeitig, fügst Du der Meldung eine Begründung für die Verzögerung bei.

Gemeldet wird an die Datenschutz-Aufsichtsbehörde des Bundeslandes, in dem Du Deinen Sitz hast. Viele Behörden bieten ein Online-Formular an. Das Landesamt in Bayern stellt dabei eine Meldebestätigung aus, die Du als ersten Nachweis der fristgemäßen Meldung verwenden kannst.

Die Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Ob das so ist, entscheidest Du, und zwar begründet. Hast Du noch nicht alle Informationen, meldest Du trotzdem fristgerecht und reichst den Rest schrittweise nach (Art. 33 Abs. 4 DSGVO). Ein gestohlenes Newsletter-Passwort ohne Kundendaten ist etwas anderes als ein Postfach mit Verträgen und Kontoauszügen.

Wichtig: Arbeitest Du als Dienstleister für Kunden, zum Beispiel als virtuelle Assistenz, Agentur oder Webdesigner, bist Du häufig Auftragsverarbeiter. Für die Daten Deiner Auftraggeber meldest Du die Panne dann nach Art. 33 Abs. 2 DSGVO unverzüglich Deinem Auftraggeber; er entscheidet über die Meldung an die Behörde. Für Deine eigenen Kunden- und Rechnungsdaten bleibst Du selbst verantwortlich und meldest selbst. Ist Dein Postfach betroffen, gilt oft beides. Wie das im Vertrag geregelt wird, steht in unserem Beitrag zum Auftragsverarbeitungsvertrag.

Wann musst Du die Betroffenen informieren?

Betroffene benachrichtigst Du nach Art. 34 DSGVO nur, wenn die Verletzung voraussichtlich ein hohes Risiko für sie bedeutet. Dann geschieht das unverzüglich und in klarer, einfacher Sprache. Die Pflicht entfällt zum Beispiel, wenn die Daten durch geeignete Maßnahmen wie Verschlüsselung geschützt waren oder wenn Du das hohe Risiko durch nachfolgende Maßnahmen ausgeräumt hast.

Hoch ist das Risiko typischerweise dort, wo Betroffene finanziell oder persönlich verletzbar werden: Zahlungsdaten, Ausweiskopien, Gesundheitsdaten, Zugangsdaten zu weiteren Konten. Das ist wieder meine Einordnung, die Behörde darf anders gewichten.

Muss ich dokumentieren, wenn ich nicht melde?

Wenn es eine Verletzung war, dann immer. Nach Art. 33 Abs. 5 DSGVO dokumentierst Du alle Verletzungen, also die Fakten, die Auswirkungen und die ergriffenen Maßnahmen, und zwar so, dass die Behörde die Einhaltung prüfen kann. Das gilt ebenso, wenn Du zu dem Ergebnis kommst, dass keine Meldung nötig ist.

Halte Zeitpunkt der Kenntnis, Ablauf, betroffene Daten, Deine Risikoeinschätzung und die Maßnahmen schriftlich fest. Eine Seite genügt. Hast Du nur geklickt und nichts weiter, ist das keine Verletzung. Fünf Zeilen Notiz schaden trotzdem nicht, falls später etwas auftaucht.

Wer haftet, wenn eine Zahlung umgeleitet wird?

Das ist die zweite Frage, die nach dem Schock kommt. Es gibt zwei Richtungen.

Du hast auf ein falsches Konto gezahlt

Ein Lieferant „teilt“ eine neue Bankverbindung mit, Du überweist, das Geld landet bei Kriminellen. Rechtlich erlischt eine Schuld nach § 362 BGB durch Leistung an den Gläubiger. Wer an einen Betrüger zahlt, hat in der Regel nicht an den Gläubiger geleistet. Dein Lieferant kann die Rechnung also weiter fordern, es sei denn, die Fälschung geht auf eine Sicherheitslücke bei ihm zurück; dazu gleich mehr.

Deine Bank hilft Dir meist nicht weiter. Der Erstattungsanspruch gegen die Bank aus § 675u BGB knüpft an nicht autorisierte Zahlungsvorgänge an. Hast Du die Überweisung selbst ausgelöst, ist sie autorisiert, obwohl Du getäuscht wurdest. Seit Oktober 2025 gleicht Deine Bank vor jeder Euro-Überweisung den Empfängernamen mit der IBAN ab und zeigt Dir an, wenn beides nicht zusammenpasst. Nimm diese Warnung ernst und überweise erst nach einem Rückruf beim Empfänger unter der Nummer, die Du schon kennst. Rufe Deine Bank trotzdem sofort an und bitte, die Überweisung zurückzurufen. Ob das gelingt, hängt davon ab, ob das Geld noch beim Empfänger liegt.

Dein Kunde hat auf ein falsches Konto gezahlt

Hat ein Angreifer Deine Rechnungsmail verändert und Dein Kunde zahlt auf das falsche Konto, kann das für Dich teuer werden. Das OLG Schleswig-Holstein hat in einem solchen Fall entschieden: Der Kunde musste nicht noch einmal zahlen (Urteil vom 18.12.2024, 12 U 9/24). Die Zahlung an den Betrüger erfüllte die Schuld zwar nicht. Der Kunde hatte aber einen Schadensersatzanspruch nach Art. 82 DSGVO, den er der Forderung entgegenhalten konnte. Der Handwerksbetrieb hatte die Rechnung mit bloßer Transportverschlüsselung versendet. Das Gericht hielt das bei hohem finanziellem Risiko nicht für ausreichend und verlangte Ende-zu-Ende-Verschlüsselung.

Achtung: Das Urteil ist rechtskräftig, ein Grundsatzurteil des BGH zu dieser Frage gibt es nicht. Das OLG Karlsruhe hat 2023 in einem ähnlichen Fall anders entschieden. Dort musste der Käufer doppelt zahlen, weil das Gericht dem Verkäufer beim Mailversand keine Pflichtverletzung anlastete. Quelle: Urteil vom 27.07.2023, 19 U 83/22. Verlass Dich nicht darauf, dass Dein Gericht gleich entscheidet. Für Dich zählt die Konsequenz: Behandle Rechnungen mit hohen Beträgen als sensibel.

Was Du tun kannst:

• Bankdaten abgleichbar machen: Nenne die IBAN auf Deiner Website oder im Vertrag, damit Kunden abgleichen können.
• Kontowechsel nur persönlich: Teile Änderungen telefonisch mit, und sage das Kunden vorher.
• Rechnungsversand absichern: Bei größeren Beträgen über ein Kundenportal oder mit verschlüsseltem oder signiertem Dokument.
• Zugang zum Postfach schützen: Zwei-Faktor-Anmeldung und ein eigenes, starkes Passwort pro Dienst.

Welche Schutzmaßnahmen im Einzelfall genügen, ist noch offen. Als Orientierung hilft die Checkliste zu den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

Was sind die fünf Sofortmaßnahmen nach dem Klick?

Das gilt für die erste Stunde. Die Reihenfolge ist Absicht.

1. Verbindung trennen: Hast Du einen Anhang geöffnet, nimm das Gerät vom Netz. Schalte es nicht aus und lösche nichts.
2. Passwörter ändern, von einem sauberen Gerät: Zuerst das betroffene Konto, dann alle Dienste mit demselben Passwort. Zwei-Faktor-Anmeldung einschalten, aktive Sitzungen abmelden.
3. Beweise sichern: Mail samt Kopfzeilen als Datei speichern, Screenshot der Seite, Uhrzeit, zu der Du es bemerkt hast. Letzteres ist der Startpunkt Deiner 72 Stunden.
4. Geld stoppen: Hast Du eine Zahlung ausgelöst, ruf sofort Deine Bank an. Hat jemand Fremdes Zugriff auf Dein Postfach, informiere Kunden und Lieferanten, damit niemand auf gefälschte Rechnungen reagiert.
5. Bewerten, melden, dokumentieren: Prüfe mit der Tabelle oben, ob eine Verletzung vorliegt. Melde bei der Aufsichtsbehörde, es sei denn, ein Risiko für die Betroffenen ist voraussichtlich ausgeschlossen, und halte die Entscheidung fest. Eine Strafanzeige stellst Du bei der Polizei über die Onlinewache Deines Bundeslandes, wenn Geld oder Daten abgeflossen sind.

Holst Du einen IT-Dienstleister, sag ihm gleich, dass es um eine mögliche Datenpanne geht. Dann weiß er, dass er Protokolle sichern muss, bevor er aufräumt.

Was Du jetzt tun solltest

1. Notfallzettel anlegen: Wer wird angerufen, wo steht die Bank-Hotline, wo liegt die Dokumentationsvorlage? Heute, nicht nach dem Klick.
2. Zwei-Faktor-Anmeldung einschalten: für Postfach, Bank, Hosting und Buchhaltung.
3. Bankdaten-Regel festlegen: Änderungen nie per Mail akzeptieren, immer Rückruf unter bekannter Nummer.
4. Verzeichnis und AVV prüfen: Weißt Du, welche Daten in Deinem Postfach liegen und wer in Deinem Auftrag mit ihnen arbeitet? Dazu helfen das Verarbeitungsverzeichnis und der passende AVV.
5. Mitarbeitende einweisen: Eine Viertelstunde genügt. Bring ihnen bei, den Zusammenhang zu prüfen, nicht die Sprache.

Ein Klick ist kein Verbrechen. Teuer wird es, wenn niemand weiß, was danach zu tun ist.

Häufige Fragen

Muss ich eine Phishing-Mail melden, die ich nur erhalten habe?

Nein. Wer die Mail nur erhält und nichts anklickt, hat keine Datenschutzverletzung. Du kannst sie bei der Verbraucherzentrale oder Deinem Mailanbieter als Phishing melden und dann löschen.

Wann beginnt die 72-Stunden-Frist?

Mit Deiner Kenntnis von der Verletzung, nicht mit dem Klick. Notiere deshalb die Uhrzeit, zu der Du den Vorfall bemerkt hast. Die Frist zählt in Stunden, am Wochenende ebenso.

Was passiert, wenn ich zu spät melde?

Du fügst der Meldung eine Begründung für die Verzögerung bei. Fehlende oder verspätete Meldungen können ein Bußgeldrisiko sein. Wie hoch es ausfällt, hängt vom Einzelfall ab; mehr dazu im Beitrag zum DSGVO-Bußgeld.

Muss ich Kunden informieren, wenn ich nur mein Passwort eingegeben habe?

Nur bei hohem Risiko für die Betroffenen. Liegen im Postfach Zahlungsdaten, Ausweiskopien oder Gesundheitsdaten, ist das Risiko eher hoch. Bei einem Konto ohne solche Daten genügt oft die Meldung an die Behörde oder die dokumentierte Entscheidung, nicht zu melden.

Reicht ein Virenscanner gegen KI-Phishing?

Nein. Ein Virenscanner erkennt Schadsoftware, aber keinen glaubwürdigen Text und keine gefälschte Anmeldeseite. Er ersetzt weder die Zwei-Faktor-Anmeldung noch den Rückruf bei geänderten Bankdaten.

Haftet meine Bank, wenn ich auf eine Fake-Rechnung gezahlt habe?

In der Regel nicht von selbst. Der gesetzliche Erstattungsanspruch gilt für nicht autorisierte Zahlungen. Hast Du die Überweisung selbst ausgelöst, ist sie autorisiert. Ruf trotzdem sofort an und bitte um Rückruf. Achte vorher auf den Namensabgleich, den Deine Bank bei jeder Überweisung anzeigt.

Dieser Beitrag informiert allgemein. Er ersetzt keine Rechtsberatung im Einzelfall.