KVKK-Datenpannen: ISO-27001-Lehren für KMU

Am 30. September 2026 hat die KVKK Datenpannen-Meldungen von neun Unternehmen veröffentlicht. Insgesamt waren mindestens 1.033.853 Personen betroffen. Dieser Beitrag fasst nur die öffentlich genannten Ursachen und ihre Zuordnung zu den Kontrollen aus Anhang A von ISO/IEC 27001:2022 zusammen. Quelle: Bericht auf memurlar.net.

Was wurde veröffentlicht?

Zu den in der KVKK-Meldung genannten Zahlen Betroffener gehören: Efece 353.811, Bambi 323.052, Ofix 183.873, Deve Yükü 133.031. Unigen, Papara Menkul und die übrigen Unternehmen erscheinen mit unterschiedlichem Detailgrad; für Papara Menkul wurde die Zahl der Betroffenen nicht bekannt gegeben.

Genannte Ursachen

Nur bei einem Teil der Meldungen ist eine Ursache genannt. Für Ofix ist unbefugter Zugriff auf Elasticsearch angegeben. Für Unigen eine Schwachstelle in einer Drittanbieter-Bibliothek. Für Papara Menkul führte eine Phishing-E-Mail zu unbefugtem Zugriff auf die Okta-SSO-Plattform des ausländischen Auftragsverarbeiters. Schadsoftware über eine Drittanbieter-Anwendung zählt ebenfalls zu den Ursachen.

Wir ordnen keiner Firma eine Ursache zu, die in der Meldung nicht steht. Zu Bußgeldern oder Sanktionen äußern wir uns nicht.

Zuordnung zu ISO-27001-Kontrollen

Dieselben Grundursachen finden Entsprechungen in Anhang A von ISO/IEC 27001:2022. Das Zertifikat kommt von einer akkreditierten Zertifizierungsstelle; der Berater stellt es nicht aus. Doğa Network berät und zertifiziert nicht.

Eine internetseitig erreichbare, schlecht konfigurierte Datenbank weist auf schwaches Konfigurationsmanagement (8.9) und Netzwerksicherheit (8.20) hin. Eine Schwachstelle in einer Drittanbieter-Bibliothek betrifft das Management technischer Schwachstellen (8.8). Ein Vorfall beim Auftragsverarbeiter erinnert an die Lieferantenbeziehungs-Kontrollen (5.19–5.22). Phishing gehört zur Sensibilisierung, Schulung und Ausbildung zur Informationssicherheit (6.3). Schadsoftware ordnet sich dem Schutz vor Malware (8.7) zu.

Nach der KVKK bleibt der Verantwortliche auch dann verantwortlich, wenn ein Auftragsverarbeiter betroffen ist. Diese allgemeine Regel zeigt auch, warum eine Sicherheitsklausel im Vertrag allein nicht reicht: Überwachung und Überprüfung sind nötig.

Erste Schritte für ein KMU

1. Inventar der internetseitigen Dienste: welcher Server, welcher Port, welche Anwendung von außen sichtbar ist.
2. Patch- und Abhängigkeitsverfolgung: Versions- und Patch-Nachweis für Betriebssystem, Anwendungen und Drittanbieter-Bibliotheken.
3. Lieferantenliste und Sicherheitsklauseln im Vertrag: wer welche personenbezogenen Daten verarbeitet und wer wen bei einem Vorfall informiert.
4. Phishing-resistente Mehrfaktor-Authentifizierung: besonders für Admin-Oberflächen und SSO.
5. Ein Reaktionsplan bei Datenpannen: wer entscheidet und wer die KVKK und die Betroffenen wann informiert.

Diese fünf Punkte sind ein praktischer Einstieg, um eine Wiederholung der genannten Ursachen zu verringern.

Die veröffentlichten Vorfälle zeigen, dass eine Kontrollliste nicht auf dem Papier bleiben darf.

Wie kann Doğa Network helfen?

Unser Team kann bei einer ISO-27001-Lückenanalyse, Sicherheitsklauseln für Lieferanten, Sensibilisierungsschulungen und einem Reaktionsplan bei Datenpannen unterstützen. Sie erreichen uns unter +90 850 888 3642 oder per E-Mail an hi@doga.network.