Dieser Artikel richtet sich an Personen, die als Kundinnen und Kunden von Fotografinnen, Fotografen und Fotostudios von dem Cyberangriff betroffen sind. Informationen für betroffene Fotografinnen, Fotografen und Fotostudios sind hier zu finden:
Cyberangriff auf Fotodienstleister: Was Fotografinnen, Fotografen und Fotostudios beachten müssen
Was ist passiert?
Ein technischer Dienstleister mit Sitz in Nordrhein-Westfalen wurde am Wochenende des 16./17. Mai Opfer eines IT-Angriffs. Dieser Dienstleister wurde durch zahlreiche Fotografinnen, Fotografen und Fotostudios zur Verarbeitung und Bereitstellung von Fotos für Kundinnen und Kunden (z. B. Schul- und Kindergartenfotos) genutzt.
Die Angreifer haben unbefugt Zugriff auf seine Cloud-Infrastruktur genommen, dort Fotos sowie andere Kundendaten „entwendet“ und sie anschließend beim Dienstleister gelöscht. In den Tagen nach dem Vorfall hat der Dienstleister begonnen, die Fotografinnen, Fotografen und Fotostudios über den Vorfall zu informieren. Diese müssen seitdem prüfen, welches Risiko für ihre betroffenen Kunden besteht. Die Fotografinnen, Fotografen und Fotostudios müssen betroffene Kundinnen und Kunden benachrichtigen und dem HBDI den Vorfall melden. Zahlreiche derartige Meldungen haben den HBDI bereits erreicht.
Welche Folgen sind für betroffenen Kundinnen und Kunden möglich?
Zunächst können Fotos und weitere personenbezogene Daten von Kundinnen und Kunden, die mittels dieses Dienstleisters verarbeitet wurden, für Unbefugte zugänglich geworden und gelöscht worden sein. Es ist möglich, dass diese personenbezogenen Daten gegen den Willen der Betroffenen veröffentlicht oder anderweitig verwendet werden. Die Daten können zudem missbräuchlich, z. B. für Identitätsdiebstahl oder Betrugsversuche, verwendet werden.
Was können betroffene Kundinnen und Kunden tun?
Hilfestellungen zu einem möglichen Identitätsdiebstahl finden Betroffene u.a. auch auf der Website des HBDI im Artikel Umgang mit Identitätsdiebstahl – Erkennen, Reagieren, Vorbeugen. Dort sind auch Verweise auf weiterführende Informationsquellen zu finden.
Wann ist eine Beschwerde beim HBDI möglich?
Gemäß Art. 77 Abs. 1 Datenschutz-Grundverordnung (DS-GVO) hat eine betroffene Person das Recht zur Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DS-GVO verstößt
Eine entsprechende Beschwerde beim HBDI ist unter folgenden Bedingungen möglich:
- Die beauftragte Fotografin, der Fotograf oder das Fotostudio hat den angegriffenen Dienstleister eingesetzt.
- Die beauftragte Fotografin, der Fotograf oder das Fotostudio hat seinen/ihren Sitz in Hessen.
- Die Person, die die Beschwerde einreicht, ist persönlich betroffen bzw. erziehungsberechtigt.
Zunächst empfiehlt es sich, in diesem Fall zunächst eine Klärung mit der verantwortlichen Fotografin, dem Fotografen oder dem Fotostudio suchen. Diese können am besten Auskunft dazu geben, ob und in welchem Ausmaß ihre Kundinnen und Kunden betroffen sind und welche nächsten Schritte folgen sollten.
Wenn betroffene Kundinnen und Kunden auf diesem Weg keine Klärung herbeiführen können und sich in ihrem Einzelfall über eine Fotografin, einen Fotografen oder ein Fotostudio beschweren möchten, sollte das Beschwerdeformular auf der Website des HBDI verwendet werden. Der Beschwerde sollte die Korrespondenz des Beschwerdeführers mit der Fotografin, dem Fotografen oder dem Fotostudio beigefügt werden.
Wann sollte von einer Beschwerde beim HBDI abgesehen werden?
Eine Beschwerde bzw. ein Hinweis durch betroffene Kundinnen und Kunden ist nicht zielführend, wenn
- sie den HBDI allgemein darauf aufmerksam machen möchten, dass es zu diesem Vorfall gekommen ist. Durch die zahlreichen Berichte und Meldungen ist der Vorfall dem HBDI bereits bekannt.
- sie sich über den technischen Dienstleister beschweren möchten. Dieser hat seinen Sitz nicht in Hessen, weshalb der HBDI nicht für ihn zuständig ist. Die zuständige Datenschutzbehörde ist in diesem Fall die Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen.
- sie sich über eine Fotografin, einen Fotografen, oder ein Fotostudio beschweren möchten, das diesen Dienstleister eingesetzt hat und sich nicht in Hessen befinden. In diesem Fall sollten sich Betroffene an die Datenschutzbehörde desjenigen Bundeslandes wenden, in dem sich die Fotografierenden befinden.
- sie einen Schadenersatz aufgrund des Vorfalls begehren. Bei Schadenersatzforderungen handelt es sich um zivilrechtliche Forderungen, bei deren Durchsetzung der HBDI Betroffene nicht unterstützen darf. Rat und Unterstützung bieten in diesem Fall die rechtsberatenden Berufe, z.B. Rechtsanwälte und ggf. Verbraucherschutzzentralen.
Diese Seite wird bei Bedarf fortlaufend aktualisiert. Stand: 26.05.2026