Einleitung: der falsche Moment, neugierig zu sein
Es gibt eine erstaunlich alltägliche und selten erzählte Erfahrung: die des Angestellten, des Ehrenamtlichen, des Kunden oder schlicht des Internetnutzers, der bei einem ganz gewöhnlichen Handgriff auf etwas stößt, das er nicht hätte sehen dürfen.
Ein falsch konfigurierter freigegebener Ordner mit den Gehaltsabrechnungen der gesamten Abteilung. Eine URL, bei der man nur die Nummer am Ende ändern muss, um die Patientenakte des nächsten Patienten anzuzeigen. Eine Tabelle, die als Anhang an fünfzig Empfänger geht und im dritten Reiter die vollständigen Kontaktdaten von dreitausend Personen enthält. Eine auf den Arbeitsplatzrechnern installierte Software, die weit mehr aufzeichnet, als das Rundschreiben angekündigt hatte.
In genau diesem Moment setzt eine unangenehme Mechanik ein. Melden heißt, sich zu erkennen zu geben. Es heißt zu erklären, wie man es gesehen hat, und damit manchmal eine Neugier einzugestehen, die sich gegen einen wenden lässt. In einer kleinen Organisation heißt es, binnen drei Sekunden identifizierbar zu sein. Und die Statistik ist gnadenlos: Die Maison des lanceurs d'alerte und der Défenseur des droits dokumentieren seit Jahren, dass die Mehrheit der Personen, die einen Hinweis geben, eine Verschlechterung ihrer beruflichen Situation erlebt — selbst wenn der Hinweis berechtigt war.
Dieser Leitfaden predigt kein Heldentum. Er beschreibt eine Methode: mit wem sprechen, in welcher Reihenfolge, mit welchem Maß an Exposition — und welche rechtlichen Schutzmechanismen im französischen Recht seit dem Gesetz vom 21. März 2022 tatsächlich bestehen.
Schritt 0: vierundzwanzig Stunden lang gar nichts tun
Die schlechteste Entscheidung fällt in der Stunde nach der Entdeckung, im Affekt der Empörung. Eine Nachricht aus dem dienstlichen Postfach, ein Screenshot in einem sozialen Netzwerk, ein Anruf beim Lokaljournalisten: Jede dieser Reaktionen schließt Türen endgültig.
Was Sie hingegen sofort tun können:
- Die Fakten schriftlich festhalten, außerhalb der Systeme der betroffenen Organisation. Datum, Uhrzeit, was Sie gesehen haben, wie Sie dorthin gelangt sind — ohne Fachjargon. Ein Papiernotizbuch bleibt der am wenigsten nachverfolgbare Träger; ein Notizbuch mit festem Einband im Format A5 passt in die Tasche und hinterlässt keine Logs.
- Nichts massenhaft herunterladen. Wer eine ganze Datenbank exfiltriert, „um Beweise zu haben", wird juristisch vom Hinweisgeber zum Urheber einer betrügerischen Datenentnahme. Die französische Rechtsprechung unterscheidet klar zwischen der zufälligen Einsichtnahme und dem organisierten Absaugen.
- Die Lücke nicht weiter testen. Einmal zu prüfen, ob eine geänderte Kennung tatsächlich einen anderen Datensatz anzeigt, ist Feststellung. Es hundertmal zu tun, ist unbefugter Zugang zu und Verweilen in einem automatisierten Datenverarbeitungssystem — Artikel 323-1 des französischen Strafgesetzbuchs.
- Nicht im Umfeld darüber reden. Ihr Hinweis fliegt fast immer an der Kaffeemaschine auf, nie über Metadaten.
Die goldene Regel: Ihr Wert liegt in dem, was Sie gesehen haben, nicht in dem, was Sie mitgenommen haben.
Die möglichen Adressaten kartieren
Es gibt nicht den einen „richtigen" Ansprechpartner, sondern eine Rangfolge — vom geringsten zum höchsten Expositionsrisiko und vom wirksamsten zum unsichersten.
1. Der Verantwortliche für die Verarbeitung selbst
Das klingt widersinnig, ist aber oft der schnellste Weg. Ein Konfigurationsfehler ist in wenigen Stunden behoben, wenn das richtige Team informiert wird. Viele Organisationen verfügen über eine eigene Adresse wie security@ oder über eine Datei security.txt im Wurzelverzeichnis ihrer Website — eine Konvention, die in RFC 9116 genau für diesen Fall normiert wurde.
Vorteil: Die Lücke wird geschlossen. Nachteil: Sie wenden sich an denjenigen, der ein Interesse daran hat, dass nichts bekannt wird.
2. Der Datenschutzbeauftragte (DPO)
Jede Organisation, die dazu verpflichtet ist, benennt einen, und seine Kontaktdaten müssen öffentlich sein. Der DPO hat einen gesetzlichen Auftrag zur Unabhängigkeit und darf für die Ausübung seiner Aufgaben nicht sanktioniert werden (Artikel 38 DSGVO). In einer seriösen Struktur ist er der beste interne Einstiegspunkt: Er kennt das Verfahren der Meldung an die CNIL binnen 72 Stunden und kann einordnen, was Sie beschreiben.
3. Die CNIL
Die französische Aufsichtsbehörde stellt ein Online-Beschwerdeformular bereit und nimmt Hinweise entgegen. Wichtig und oft übersehen: Die CNIL kann angerufen werden, ohne dass Sie selbst die betroffene Person der Daten sind; sie bearbeitet auch Hinweise Dritter. In ihrem Tätigkeitsbericht veröffentlicht sie jährlich die Zahl der eingegangenen Beschwerden, die seit mehreren Geschäftsjahren deutlich über vierzehntausend liegt.
4. Die weiteren Fachaufsichtsbehörden
Je nach Kontext: die ANSSI mit ihrem Meldeverfahren für Vorfälle in sensiblen Systemen, die Arbeitsaufsicht bei rechtswidriger Überwachung von Beschäftigten, die Autorité des marchés financiers, die ARCOM. Der Défenseur des droits spielt seit dem Waserman-Gesetz zudem eine Rolle bei Orientierung und Schutz von Hinweisgebern.
5. Zivilgesellschaft und Presse
La Quadrature du Net, die Ligue des droits de l'Homme, Gewerkschaften und einige spezialisierte Redaktionen verfügen über gesicherte Eingangskanäle. Das ist der wirksamste Weg hinsichtlich öffentlicher Wirkung, der riskanteste hinsichtlich der Exposition — und derjenige, der juristisch nach den internen Kanälen und den Behörden kommen muss, außer bei schwerer und unmittelbarer Gefahr.
Was das französische Recht tatsächlich schützt
Das französische Regime wurde durch das Gesetz vom 21. März 2022 (das sogenannte Waserman-Gesetz) grundlegend überarbeitet, mit dem die EU-Richtlinie 2019/1937 umgesetzt wurde. Was Sie in Klartext wissen sollten:
| Element | Was das Recht sagt |
|---|---|
| Wer geschützt ist | Jede natürliche Person, die ohne finanzielle Gegenleistung und in gutem Glauben Informationen über ein Verbrechen, ein Vergehen, eine Bedrohung des Allgemeininteresses oder einen Verstoß gegen Unionsrecht meldet |
| Die Uneigennützigkeit | Die Voraussetzung der „Uneigennützigkeit" wurde 2022 gestrichen: Es genügt, ohne unmittelbare finanzielle Gegenleistung zu handeln |
| Die Reihenfolge der Kanäle | Die interne Meldung ist vor der externen Meldung nicht mehr verpflichtend. Man kann sich direkt an die zuständige Behörde wenden |
| Die öffentliche Offenlegung | Möglich, wenn keine fristgerechte Bearbeitung erfolgt, bei Gefahr von Repressalien oder bei schwerer und unmittelbarer Gefahr |
| Die Repressalien | Kündigung, Sanktion, Diskriminierung, Kaltstellen: von Rechts wegen nichtig, mit Umkehr der Beweislast vor Gericht |
| Die Straffreiheit | Der Hinweisgeber ist nicht strafrechtlich verantwortlich für das Entwenden oder Hehlen von Dokumenten, zu denen er rechtmäßig Zugang hatte |
Die letzte Zeile verdient es, ein zweites Mal gelesen zu werden. Der Schutz erfasst Dokumente, die im Rahmen Ihrer Tätigkeit rechtmäßig erlangt wurden. Er erfasst nicht das Eindringen. Genau das ist die oben beschriebene Grenze.
Ergänzend eine viel zu selten genannte Regelung: Artikel 122-9 des Strafgesetzbuchs schafft einen Strafausschließungsgrund für Hinweisgeber, die die Verfahren einhalten. Und das Umfeld — Kolleginnen und Kollegen, Angehörige, Gewerkschaft — genießt nunmehr den Status des „Facilitators" und ist damit ebenfalls geschützt.
Einen Kontaktkanal aufbauen, der Sie nicht verrät
Nehmen wir an, Sie haben Ihren Adressaten gewählt. Bleibt die praktische Frage: Wie schreiben Sie ihm, ohne dass der Absender Sie ist.
Was Sie niemals verwenden dürfen
- Die Arbeitsmittel des Arbeitgebers. Arbeitsplatzrechner, Diensthandy, Firmen-WLAN, Fernzugriffs-VPN: Alles wird protokolliert, oft sechs Monate oder ein Jahr lang, und diese Protokolle werden bei einer internen Untersuchung als Erstes eingesehen.
- Ihre übliche private E-Mail-Adresse. Sie ist über ein Dutzend Querverbindungen mit Ihrer Identität verknüpft.
- Ein Konto, das fünf Minuten vor dem Versand über Ihren Heimanschluss angelegt wurde. Die IP-Adresse bei der Erstellung und der Zeitstempel genügen.
- Ein unbearbeitetes Bürodokument. Word-Dateien, PDFs oder Fotos tragen Metadaten in sich: Benutzername, Druckername, GPS-Koordinaten der Aufnahme, Seriennummer des Geräts. Eine systematische Bereinigung ist vor jedem Versand Pflicht.
Die zu bevorzugenden Kanäle
Die anonyme SMS. Für einen kurzen Erstkontakt — „Ihr Kundenbereich gibt die Dateien im Verzeichnis /exports frei, bitte dringend prüfen" — ist eine über ein anonymes Gateway versendete SMS hervorragend geeignet: kein Konto anzulegen, kein Postfachverlauf, eine Nachricht, die garantiert auf einem Diensthandy ankommt. Für die Übermittlung von Dokumenten taugt sie nicht, aber sie ist ideal, um ein Problembewusstsein auszulösen und einen Folgekanal vorzuschlagen. Der bekannte Preis dafür: Das Gateway speichert aus rechtlichen Gründen technische Protokolle. Die Anonymität ist gegenüber dem Empfänger real, gegenüber einer richterlichen Anordnung nicht absolut.
Der Postweg. Unterschätzt, nahezu perfekt. Ein in einem öffentlichen Copyshop ausgedruckter Brief, ohne Briefkopf, weit entfernt von Ihrer Wohnung in einen Briefkasten geworfen, trägt keinerlei digitale Metadaten. Der Défenseur des droits, die CNIL und die meisten Redaktionen nehmen Papierpost entgegen.
Gesicherte Einreichungsplattformen. Mehrere französische Medien betreiben eine SecureDrop-Instanz oder Vergleichbares, konzipiert so, dass die Redaktion selbst die Quelle nicht kennt. Zu nutzen über ein Netz, das weder Ihr Zuhause noch Ihr Büro ist.
Ein verschlüsselter Messenger auf einem separaten Gerät. Soll der Austausch länger dauern, schafft ein gebraucht gekauftes und bar bezahltes Zweittelefon mit einer eigenen Prepaid-SIM eine klare Trennung. Das ist die Logik der Kompartimentierung: ein Gerät, ein Zweck, keine gemeinsamen Kontakte mit Ihrem normalen Leben. Ein generalüberholtes Einsteiger-Smartphone reicht für diesen Zweck völlig aus.
Das Detail, das alle verrät
Der Schreibstil. Interne Untersuchungen suchen keine IP-Adressen, sie suchen Formulierungen. Wenn nur drei Personen den Vorgang kennen und Ihre Nachricht das exakte Vokabular einer Besprechung aufgreift, nützt die technische Anonymität nichts. Schreiben Sie kurz, sachlich, ohne Ironie und ohne Details, die nur ein enger Kreis kennen könnte. Lesen Sie noch einmal durch und fragen Sie sich: „Wie viele Personen hätten das schreiben können?"
Der Inhalt des Hinweises: was ihn glaubwürdig macht
Ein anonymer Hinweis startet mit einem Handicap: Man kann Sie nicht zurückrufen, um nachzufragen. Er muss daher aus sich heraus tragfähig sein.
Empfohlene Struktur, maximal eine Seite:
- Die betroffene Organisation, präzise benannt.
- Die Fakten, mit Datum, beschrieben ohne Interpretation. „Am 12. August zeigte die Adresse [X] ohne Authentifizierung eine Liste mit 4.000 Zeilen an, die Name, Anschrift und Sozialversicherungsnummer enthielt."
- Die Art der Daten, mit Hinweis darauf, ob sie unter die besonderen Kategorien des Artikels 9 DSGVO fallen (Gesundheit, Meinungen, sexuelle Orientierung, Biometrie) — was die Schwere grundlegend verändert.
- Der minimale Nachweis: ein zugeschnittener, anonymisierter Screenshot, der zur Überprüfung genügt, ohne weiter offenzulegen.
- Was Sie fordern: Behebung, Benachrichtigung der betroffenen Personen, Untersuchung.
- Ein Rückkanal, falls Sie einen akzeptieren.
Was nicht hineingehört: Ihre Vermutungen über die Verantwortlichen, Ihre persönlichen Beschwerden, Ihre Analyse der Beweggründe. Ein Hinweis, der wie eine Abrechnung wirkt, wird eingestellt.
Wann die betroffenen Personen informiert werden müssen
Die DSGVO legt dem Verantwortlichen zwei getrennte Pflichten auf, die man kennen sollte, um die Antwort einschätzen zu können, die man Ihnen gibt:
- Artikel 33: Meldung an die CNIL binnen 72 Stunden nach Bekanntwerden einer Verletzung, es sei denn, sie führt voraussichtlich zu keinem Risiko.
- Artikel 34: Benachrichtigung der betroffenen Personen selbst, unverzüglich, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten mit sich bringt.
Anders gesagt: Wenn man Ihnen antwortet „das ist behoben, wir wollen die Leute nicht beunruhigen", obwohl Sozialversicherungsnummern kursiert sind, ist die Antwort nicht rechtskonform. Genau das ist der Punkt, der den Wechsel zum externen Kanal rechtfertigt.
Den betroffenen Personen ruft die CNIL die nützlichen Reflexe in Erinnerung: mehrfach verwendete Passwörter ändern, Bankkonten überwachen, misstrauisch gegenüber nachfolgenden Kontaktversuchen sein — gezieltes Phishing nutzt systematisch aktuelle Datenlecks aus. Ein Passwortmanager macht mehrfach verwendete Zugangsdaten auf einen Blick sichtbar, und ein physischer FIDO2-kompatibler Sicherheitsschlüssel verhindert die meisten Kontoübernahmen, selbst bei kompromittiertem Passwort.
Drei Szenarien, drei Strategien
Sie sind angestellt und die Lücke stammt von Ihrem Arbeitgeber. Vorrang hat der DPO, schriftlich, danach die Personalvertretung. Bewahren Sie zu Hause eine datierte Kopie Ihrer Meldung auf: Sie dient als Nachweis des früheren Zeitpunkts, falls es zu Repressalien kommt. Bei einer Verschlechterung wenden Sie sich an den Défenseur des droits, der eine Stellungnahme abgeben und zu finanzieller Unterstützung weiterleiten kann.
Sie sind Kunde oder Nutzer und entdecken die Lücke von außen. Melden Sie sie an security@ oder den DPO, dann binnen fünfzehn Tagen an die CNIL, falls sich nichts bewegt. Hier besteht kein Unterordnungsverhältnis: Das Hauptrisiko ist eine Anzeige wegen unbefugten Zugriffs — daher ist es absolut entscheidend, nicht „herumgestöbert" zu haben.
Sie entdecken eine rechtswidrige Überwachungsvorrichtung. Kameras, die Arbeitsplätze filmen, nicht gemeldete Bildschirmaufzeichnungssoftware, Ortung von Fahrzeugen außerhalb des zulässigen Rahmens. Das sind Themen, bei denen die CNIL mehrfach Sanktionen verhängt hat und bei denen Arbeitsaufsicht und CSE starke Verbündete sind. Eine Dokumentation per Foto ist hier legitim — Sie dokumentieren, was Sie selbst erdulden.
Fazit: Anonymität als Voraussetzung des Hinweises
Anonymität wird oft der Verantwortung gegenübergestellt, als bedeute das Verbergen der Identität, sich den Folgen der eigenen Aussagen zu entziehen. Das Melden von Datenlecks belegt das Gegenteil. Ohne die Möglichkeit zu sprechen, ohne sich zu erkennen zu geben, würde ein erheblicher Teil der Sicherheitslücken nie behoben und ein erheblicher Teil der rechtswidrigen Verarbeitungen nie gestoppt.
Das ist keine aktivistische Meinung: Es ist genau die Überlegung des europäischen Gesetzgebers, der ein Schutzregime geschaffen hat, weil er festgestellt hatte, dass die Angst vor Repressalien Informationen blockiert. Die Werkzeuge der Anonymität — SMS-Gateway, gesicherte Einreichung, Papierpost, dediziertes Gerät — sind nichts anderes als die technische Übersetzung eines längst anerkannten Rechts.
Bleibt die Disziplin. Dokumentieren ohne zu exfiltrieren, warnen ohne auszunutzen, kurz und sachlich schreiben, den richtigen Adressaten vor dem richtigen Kanal wählen. Die Technik schützt die Identität; die Methode schützt den Hinweis.
Zum Weiterlesen: die Website der CNIL (Rubrik „violation de données"), der Leitfaden des Défenseur des droits zur Orientierung und zum Schutz von Hinweisgebern, die Maison des lanceurs d'alerte sowie der Text des Gesetzes Nr. 2022-401 vom 21. März 2022 auf Légifrance.
