Häufige KVKK-Fehler auf kommunalen Websites

⏱️ Lesezeit: 18 Min. · 📁 Kategorie: KVKK und digitale Compliance

Häufigste KVKK-Fehler auf kommunalen Webseiten (2026)

Detaillierte institutionelle Risikokarte (Unbefugter Zugriff • Telefonauskünfte • Mitarbeiterrechte • Cookies • Neue Projekte • Institutionelle Verharmlosung)

Aus KVKK-Sicht entsprechen Kommunen dem Profil „Verantwortlichen mit hohem Risiko“, da sie gleichzeitig ein breites Datenspektrum verarbeiten:

• Bürgeranliegen (Beyaz-Masa-Servicestelle, CİMER-Weiterleitungen, Beschwerden und Meldungen)
• Sozialhilfe und schutzbedürftige Gruppen (Einkommen, Gesundheit, Behinderung, Familienangaben)
• Bauplanung, Genehmigungen, Grundstücksrichtwerte und digitale Kommunalverwaltung
• Verfahren für Personal/Arbeitnehmer
• Kameraaufnahmen und urbane Sicherheitsanwendungen
• Websites und digitale Dienste (Online-Zahlungen, Termine und Auskunftsanträge)

Im Folgenden werden häufige KVKK-Fehler aus der Praxis anhand von Ursache + Szenario + Risiko + Abhilfekontrollen ausführlich behandelt.

1️⃣ Unbefugte Zugänge innerhalb der Institution

„Jeder kann auf alles zugreifen“ ist die häufigste und kostspieligste Risikoquelle in kommunalen Informationssystemen.

Typische Fehlermuster

• Gemeinsames Konto / gemeinsames Passwort (Abteilungs-E-Mail, CRM, Beyaz-Masa-Serviceportal)
• Keine Berechtigungsmatrix: weitreichende Rechte, nur damit „die Arbeit erledigt wird“
• Willkürliche individuelle Rechte statt RBAC
• Konten ausgeschiedener Beschäftigter bleiben aktiv (kein Übergabeprozess)
• Fernzugriff/VPN ungecheckt (Zuhause/Telefonanschluss)
• Protokolle fehlen oder werden nicht geprüft (es bleibt unklar, wer welchen Datensatz geöffnet hat)

Konkretes Szenario:

Beyaz-Masa-Beschäftigte dürften nur Datensätze ihres eigenen Bezirks einsehen, können im Portal aber Sozialhilfeakten aller Bezirke einsehen: Behinderungsstatus, Einkommen, Familienmitglieder, Anschrift und Angaben zu Kindern.

KVKK-Risiko

• Risiko einer Verletzung der Datensicherheitspflicht nach Art. 12 KVKK
• Die Feststellung „keine Zugriffskontrolle“ verschärft laut diesem Leitfaden die Sanktion bei einem Verstoß.
• Bei Missbrauch interner Zugriffe: Meldung der Verletzung und Schädigung der Bürger

Die im Rahmen der Prüfung gestellte Frage:

„Wie werden Zugriffsrechte vergeben? Wie werden Änderungen dokumentiert? Wo sind die Protokolle?“

Praktische Abhilfekontrollen auf kommunaler Ebene

• Berechtigungsmatrix (RACI + RBAC): Minimalzugriff nach Abteilung und Rolle
• MFA: : insbesondere Fernzugriff und Admin-Konten
• Austrittsprozess: Konten innerhalb von 24 Stunden schließen
• PAM: Systemadministratorzugriffe protokollieren und nachvollziehbar machen
• Protokollierung + regelmäßige Prüfung: prüfen, wer welchen Datensatz eingesehen hat
• Datenmaskierung: türkische Identifikationsnummer und Telefonnummer auf dem Bildschirm nur teilweise anzeigen

2️⃣ Informationen, die per Telefon bereitgestellt werden

Dieser Leitfaden beschreibt Telefonauskünfte als häufigsten Datenabflusskanal in Kommunen. Der Ablauf ist schnell und oft vom Druck geprägt, Bürger zufriedenzustellen.

Häufigste Fehler

• Ohne Prüfung der anrufenden Person werden Anschrift, Schulden oder Antragsstatus telefonisch offengelegt
• Social Engineering: „Ich bin ein Verwandter / ein Kollege im öffentlichen Dienst / der Ortsvorsteher (Muhtar)“
• Keine Unterscheidung zwischen förmlichen Auskunftsanträgen und allgemeinen Anfragen
• Bei telefonischen Anfragen Screenshots oder WhatsApp zur Informationsweitergabe verwenden

Konkrete Szenarien:

1. Eine anrufende Person gibt sich als Ehepartner des Antragstellers aus und fragt nach dessen Sozialhilfeantrag; Beschäftigte nennen die Bewilligung oder Ablehnung.
2. Einer Person, die nach dem Planungsstatus eines Grundstücks fragt, werden der Name des Eigentümers oder die Kontaktdaten des Antragstellers genannt.

KVKK-Risiko

• Eindeutiger Verstoß: : Übertragung an unbefugte Dritte
• Verlust des Vertrauens in die Gemeinde + Beschwerdeverfahren
• Systematischer Defekt bei weit verbreiteter Verletzung

Sicheres Telefonprotokoll (praktisch):

• Identitätsprüfung der anrufenden Person: e-Devlet-Bestätigungscode / SMS-Einmalcode / Prüfung der registrierten Telefonnummer
• Regel gegen die telefonische Weitergabe personenbezogener Daten: „Sehen Sie Ihren Antrag über e-Devlet oder das digitale Kommunalportal ein.“
• Vertreter oder Bevollmächtigter: schriftliche Vollmacht + Prüfung
• Sensible Themen: am Telefon niemals Einzelheiten zu Sozialhilfe, Gesundheit, Gewalt oder ähnlichen Themen mitteilen

3️⃣ Missbrauch von Zugriffsrechten durch Beschäftigte

„Berechtigter Zugriff für zweckfremde Nutzung“ ist eine interne Bedrohung, die viele Institutionen unterschätzen, obwohl sie in der Praxis besonders schwere Schäden verursacht.

Die häufigsten Arten von Missbrauch

• Datensätze zu früheren Ehepartnern, Nachbarn oder Verwandten einsehen
• Aus politischen oder persönlichen Motiven abfragen, wer wo wohnt
• Informationen aus Vergabe- oder Genehmigungsverfahren für Wettbewerbsvorteile weitergeben
• Telefonlisten, Adresslisten oder ähnliche Daten nach außen weitergeben

Konkretes Szenario:

Ein Beschäftigter ruft im Kommunalsystem Genehmigungs- oder Sanktionsdaten eines Gewerbetreibenden ab und gibt sie an Dritte weiter; daraus entstehen Druck und Rufschäden für den Betroffenen.

KVKK-Risiko und institutionelle Verantwortung

Auch bei persönlichem Fehlverhalten eines Beschäftigten muss die Institution nach Art. 12 KVKK Fragen beantworten: Waren Rechte begrenzt? Gab es überwachte Zugriffsprotokolle? Bestanden Schulungs- und Sanktionsmechanismen?

Kontrollsatz (Verringerung des internen Missbrauchs)

• Verpflichtende Protokollierung von Dateneinsichten + regelmäßige Berichterstattung
• Anomalie-Erkennung: Eröffnung einer großen Anzahl von Datensätzen in kurzer Zeit
• Vier-Augen-Kontrolle: bei Zugriffen auf hochsensible Daten
• Disziplinarverfahren: interne Richtlinie zu KVKK-Verstößen mit klaren Sanktionen
• Zweckangabe: beim Öffnen sensibler Datensätze einen Grund aus einer Auswahlliste wählen und protokollieren

4️⃣ Auf Webseiten gesammelte Cookies

Ein häufiges Problem kommunaler Websites: Ein Banner ist vorhanden, doch Analyse- oder Werbe-Tags laufen vor der Einwilligung oder es gilt eine fehlerhafte Gestaltung wie „Weiternutzung bedeutet Zustimmung“.

Häufige Fehler

• Google Analytics / Tag Manager wird vor der Einwilligung ausgelöst
• Keine Ablehnen-Schaltfläche / ungleiche Sichtbarkeit der Auswahl
• Cookie-Kategorien unklar: Werbung unter "Performance-Cookies"
• Unkontrollierte Drittanbieter-Skripte (Karten, Videos, eingebettete soziale Medien)
• Cookie-Richtlinie und Datenschutzhinweis werden getrennt

Konkretes Szenario:

Die kommunale Website setzt beim Öffnen einer Seite über Analytics und eingebettetes YouTube Drittanbieter-Cookies; auch wenn Nutzer „Ablehnen“ wählen, ist das Skript bereits geladen.

Technischer Mindeststandard (anwendbar auf Gemeinde)

• CMP (Cookie-Management-Plattform) oder gleichwertiger Mechanismus
• Analyse-, Werbe- und Drittanbieter-Skripte dürfen vor Eingang eines Einwilligungssignals nicht geladen werden
• Sichtbare Option „Ablehnen“ mit nur einem Klick
• Cookie-Inventar: Name, Anbieter, Zweck, Dauer, Kategorie
• Protokollierung: Einwilligungszeit + Präferenz-Datensatz

5️⃣ KVKK-Prozesse in neuen kommunalen Projekten überspringen

Der Fehler „Projekt fristgerecht fertigstellen, KVKK später behandeln“ tritt oft bei mobilen Apps, Smart-City-Sensoren, KI-gestützten Callcentern oder Beyaz-Masa-Diensten, Gesichtserkennung oder PDKS-Zeiterfassung sowie Sozialhilfe-Bewertung und -Priorisierung auf.

Am häufigsten übersprungene Schritte

• Dateninventar vor Entwicklungsbeginn nicht erstellen
• Auf Einwilligung setzen, ohne die Rechtsgrundlage zu prüfen
• Ohne Datenminimierung „alles sammeln, was wir finden“
• Keine KVKK-Klausel in Lieferverträgen
• Verwendung von realen Daten in einer Testumgebung
• Keine einer DPIA vergleichbare Risikoanalyse bei Hochrisikoprojekten

Konkretes Szenario:

Ein Smart-City-Projekt sammelt über WLAN im öffentlichen Verkehr Gerätekennungen oder MAC-ähnliche Daten sowie Standortdaten; Datenschutzinformationen fehlen, die Aufbewahrungsdauer ist unklar.

Lösung: KVKK-Freigabeprüfung für Projekte (Governance / Go–No-Go)

Jedes neue Projekt sollte vor dem Start eine Go–No-Go-Prüfung durchlaufen:

Kontrolle	Frage	Ausgabe
Datentypen	Sind personenbezogene Daten oder besondere Kategorien personenbezogener Daten betroffen?	Bestandsaufnahme
Rechtsgrundlage	Auf welcher Grundlage wird sie verarbeitet?	Rechtliche Analyse
Aufbewahrung	Wie lange wird sie aufbewahrt, wie wird sie vernichtet werden?	Aufbewahrungs- und Vernichtungsregel
Übertragung	Gibt es einen Transfer ins Ausland?	Übermittlungsbewertung
Autorisierung & Zugriff	Wer erhält Zugriff und wie wird RBAC umgesetzt?	Berechtigungsmatrix
Protokollierung	Lässt sich nachvollziehen, wer was getan hat?	Protokollplan
Datenschutzinformationen	Über welche Bildschirmansichten und Texte werden Personen informiert?	Textsatz
Lieferant	Enthält der Vertrag Regelungen zum Auftragsverarbeiter?	Vertragsanlagen

Das Projekt sollte ohne diese Freigabeprüfung nicht starten.

6️⃣ Institutionelle Verharmlosung

„Wir haben einen KVKK-Text veröffentlicht, fertig“ verweist auf ein Problem der Organisationskultur und kein technisches Problem. KVKK-Konformität braucht ein funktionierendes Kontrollsystem statt nur einer Dokumentensammlung. Kommunaler Erfolg erfordert Engagement der obersten Leitung in der Praxis.

Symptome der Unterschätzung

• Die KVKK-Verantwortlichen gelten als bloße „Papierverwalter“
• Einheiten denken, KVKK sei "das Hindernis, das die Dinge verlangsamt"
• Verstöße werden als „Mitarbeiterfehler“ abgetan, ohne systemische Maßnahmen
• Ausbildungen sind Formalitäten; keine Messung und Folgemaßnahmen
• Kein Budget für Protokollierung, Zugriffsrechte, Löschung und Vernichtung

Praktisches institutionelles Lösungsmodell:

• Von der obersten Leitung genehmigtes KVKK-Compliance-Programm
• Datenverantwortliche je Abteilung ernennen
• Jährlicher Prüfplan + Verletzungssimulation
• Kennzahlen: Quote der Berechtigungsprüfungen, Reaktionszeit bei Vorfällen, Schulungstestergebnisse, Einhaltung von Löschung und Vernichtung

✅ Kommunale Checkliste zur Schnelldiagnose (10 Punkte)

1. Werden Konten oder Passwörter gemeinsam genutzt?
2. Werden Konten ausgeschiedener Beschäftigter geschlossen?
3. Wird protokolliert, wer welchen Datensatz eingesehen hat?
4. Gibt es eine Telefonauthentifizierung?
5. Sind sensible Datenbildschirme maskiert?
6. Funktionieren Cookies vor der Einwilligung?
7. Durchlaufen neue Projekte eine KVKK-Freigabeprüfung?
8. Enthalten Lieferantenverträge KVKK-Klauseln zu Auftragsverarbeitern?
9. Werden in einer Testumgebung reale Daten verwendet?
10. Übernimmt die oberste Leitung Verantwortung für KVKK-Konformität?

Hinweis: Nach der Faustregel der Quelle hat die Kommune bei mindestens drei Antworten mit „Nein“ eine systemische Schwachstelle mit hohem Risiko in ihren Kontrollen.

Kommunale KVKK-Risikoanalyse und Compliance-Programm anfordern