09.11.2026

Telefonate unbemerkt aufgezeichnet

Ein vergessener Test: Über ein Jahr liefen alle Gespräche mit

Eine Telefonanlage hat mehr als ein Jahr lang jedes Gespräch aufgezeichnet, und niemand hat es bemerkt. Die Datenschutzbehörde schildert den Fall in ihrem aktuellen Tätigkeitsbericht. Ein IT-Dienstleister und mehrere seiner Kunden hatten den Vorfall gemeldet. Die Ursache war banal. Nach einem Test hatte niemand die Aufzeichnungsfunktion wieder abgeschaltet. Der Fall zeigt, warum Tests auf Produktivsystemen riskant sind und warum Monitoring mehr prüfen muss als die Frage, ob ein Dienst läuft.

Der Dienstleister betrieb die Telefonanlage für mehrere Kunden und vermittelte über sie deren Telefonate. Ein automatisches Löschskript entfernte die Aufzeichnungen jeden Tag. Deshalb fiel lange nichts auf. Erst eine Systemänderung setzte das Skript außer Kraft. Danach liefen die Speicher über, und die Aufzeichnungen wurden entdeckt.

Wie es zu der Aufzeichnung kam

Die Anlage wurde zwischen 2022 und 2023 im Rahmen eines Projekts eingeführt. Geplant war zunächst auch eine Funktion, mit der sich Gespräche aufzeichnen lassen. Diese Funktion wurde während der Umsetzung verworfen. Die automatische Löschung möglicher Aufzeichnungen wurde aber wie ursprünglich vorgesehen eingebaut. Sie arbeitete bis zur Entdeckung des Vorfalls zuverlässig.

Im November 2023 standen abschließende Qualitäts- und Lasttests an. Dafür wurde die Aufzeichnungsfunktion aktiviert, und zwar direkt auf dem Produktivsystem. Dort wurden Telefonate zu Testzwecken aufgezeichnet. Nach den Tests vergaß man, die Funktion wieder abzuschalten. Weil die Daten ohnehin täglich gelöscht wurden, blieb der Konfigurationsfehler unentdeckt. Die Aufzeichnungen wurden nicht protokolliert. Funktionen, mit denen sich die Audiodaten systematisch auswerten lassen, gab es nicht.

Alle Kunden des Dienstleisters waren betroffen

Besonders problematisch war, dass der Dienstleister die Anlage als Dienstleistung für verschiedene Kunden betrieb. Alle waren von dem Vorfall betroffen. Die Datenschutzbehörde prüfte deshalb gemeinsam mit dem Dienstleister, wer während der Tests, im anschließenden Produktivbetrieb und nach dem Ausfall der Löschroutine Zugriff auf die Aufzeichnungen hatte.

Zugriff hatten ausschließlich Administratoren, die sicherheitsüberprüft und zur Vertraulichkeit verpflichtet waren. Diese Personen hätten auch sonst auf die Systeme zugreifen können. Ihre Zugriffe unterliegen einem Rollen- und Rechtekonzept und werden regelmäßig automatisch protokolliert und überwacht. Unberechtigte Zugriffe ließen sich so ausschließen. Andere systematische Zugriffswege gab es nicht.

Metadaten wurden nicht aufgezeichnet. Wer etwas über die Gespräche erfahren wollte, hätte also die Audiodaten selbst inhaltlich auswerten müssen. Wegen der Nutzungszeiten und Löschzeitpunkte lagen die Gesprächsdaten bis zur Entdeckung jeweils nur 18 Stunden im System. Nur in diesem Zeitfenster wäre ein Zugriff durch Unbefugte denkbar gewesen.

Kein hohes Risiko, aber ein Rat zur offenen Kommunikation

Die meldenden Kunden sahen kein hohes Risiko für die Betroffenen. Eine Pflicht zur Benachrichtigung der Betroffenen nach Art. 34 DS-GVO sahen sie deshalb nicht. Die Datenschutzbehörde hatte keine Anhaltspunkte, die gegen diese Einschätzung sprachen. Sie wies die Verantwortlichen aber auf einen anderen Punkt hin. Wird der Vorfall später bekannt, droht ein Vertrauensverlust. Es kann deshalb sinnvoll sein, den Vorfall von sich aus offen zu kommunizieren.

Was beim Dienstleister schiefgelaufen ist

Der Fall zeigt nach Einschätzung der Datenschutzbehörde Mängel beim Umgang mit Anforderungen, bei den Testprozessen und beim Betriebsmonitoring. Tests auf dem Produktivsystem entsprechen nicht den etablierten Praktiken der IT-Sicherheit. Tests gehören nach Möglichkeit in eigene Testumgebungen, die von den produktiven Systemen getrennt sind.

Dass die Aufzeichnung nach dem Test aktiv blieb, zeigt ein weiteres Problem. Die Testplanung enthielt keine vollständig festgelegten Rückbauschritte. Ein ordentliches Testkonzept regelt beides. Es legt fest, wie die Tests ablaufen, und es sieht die vollständige Rücknahme aller Konfigurationsänderungen vor, die für den Test vorgenommen wurden.

Auch das Betriebsmonitoring konnte offenbar nicht alle Konfigurationszustände laufend überwachen. Ein geeignetes Monitoring hätte die aktive Aufzeichnung direkt nach den Tests erkannt und gemeldet. Moderne Systeme für Konfigurationsmanagement können eine Soll-Konfiguration festlegen und Abweichungen automatisch aufspüren. Der Dienstleister überwachte zwar die Speichernutzung und protokollierte Vorgänge. Beides war aber nicht so eingestellt, dass es diesen Vorfall hätte erkennen können.

Manchmal lässt sich nicht vermeiden, dass ein Test sensible Funktionen auf dem Produktivsystem einschaltet, etwa die Aufzeichnung von Gesprächen. Dann braucht es nach Ansicht der Datenschutzbehörde besondere Sicherungen. Dazu gehören zeitlich befristete Aktivierungen, die sich automatisch wieder abschalten, oder ein Vier-Augen-Prinzip bei Konfigurationsänderungen.

Warum die Schutzmaßnahmen trotzdem gewirkt haben

Bemerkenswert ist für die Datenschutzbehörde, dass trotz der langen ungewollten Aufzeichnung kein hohes Risiko für die Betroffenen entstand. Das lag an den Zugangskontrollen, der automatischen Löschung und den fehlenden Metadaten. Technische und organisatorische Maßnahmen nach Art. 32 DS-GVO können also auch dann wirken, wenn andere Kontrollen versagen.

Die Datenschutzbehörde zieht daraus klare Schlüsse. Die Trennung von Test- und Produktivumgebung ist eine Grundvoraussetzung für sichere und datenschutzkonforme IT-Systeme. Betriebsmonitoring darf sich nicht darauf beschränken, ob Dienste verfügbar sind. Es muss auch Konfigurationszustände, Speichernutzung und Logging-Aktivitäten erfassen. Wer Testszenarien festlegt und dokumentiert, muss die Rücknahme der Testkonfiguration ausdrücklich einplanen.

Unsere Empfehlungen

IT-Dienstleister und Betreiber von Telefonanlagen

Testen Sie in einer getrennten Testumgebung. Wenn das nicht geht, aktivieren Sie sensible Funktionen nur befristet und mit automatischer Abschaltung.
Ergänzen Sie jedes Testkonzept um eine Rückbau-Checkliste. Eine zweite Person bestätigt, dass alle Testeinstellungen zurückgenommen sind.
Legen Sie eine Soll-Konfiguration fest und lassen Sie Abweichungen automatisch melden, zum Beispiel wenn eine Aufzeichnungsfunktion eingeschaltet wird.
Überwachen Sie auch Löschroutinen. Ein Löschskript, das still versagt oder still Daten entfernt, die es gar nicht geben dürfte, ist ein Warnsignal.
Informieren Sie Ihre Kunden unverzüglich, wenn deren Daten betroffen sind. Als Auftragsverarbeiter sind Sie dazu nach Art. 33 DS-GVO verpflichtet.

Unternehmen und KMU

Fragen Sie Ihren Telefonie-Anbieter, ob die Anlage technisch aufzeichnen kann und wie sichergestellt ist, dass diese Funktion aus bleibt.
Regeln Sie im Vertrag zur Auftragsverarbeitung nach Art. 28 DS-GVO, dass Änderungen am Produktivsystem dokumentiert werden und Vorfälle sofort gemeldet werden.
Fragen Sie bei der Prüfung der technischen und organisatorischen Maßnahmen gezielt nach Testumgebung, Rückbauprozess und Konfigurationsmonitoring.
Meldet der Dienstleister einen Vorfall, prüfen Sie selbst, ob eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nötig ist. Dokumentieren Sie Ihre Risikobewertung auch dann, wenn Sie nicht melden.

Behörden und öffentliche Stellen

Verlangen Sie bei Ausschreibung und Abnahme von Telefonanlagen Nachweise zu getrennten Testumgebungen und zur Überwachung der Konfiguration.
Protokollieren Sie Abnahmetests einschließlich der Rücknahme aller Testeinstellungen und lassen Sie das Protokoll von einer zweiten Stelle gegenzeichnen.
Nehmen Sie den Hinweis zur offenen Kommunikation ernst. Ein Vertrauensverlust trifft öffentliche Stellen besonders hart.

Gesundheitseinrichtungen

In Telefonaten mit Patienten geht es oft um Gesundheitsdaten nach Art. 9 DS-GVO. Bei solchen Daten kann die Risikobewertung schnell anders ausfallen als im geschilderten Fall.
Lassen Sie Aufzeichnungsfunktionen standardmäßig deaktivieren, wie es Art. 25 DS-GVO mit datenschutzfreundlichen Voreinstellungen verlangt.
Lassen Sie sich regelmäßig bestätigen, dass die aktuelle Konfiguration der Telefonanlage der vereinbarten entspricht.

Kanzleien und Freiberufler

Mandantengespräche unterliegen dem Berufsgeheimnis nach § 203 StGB. Eine ungewollte Aufzeichnung kann neben dem Datenschutz auch berufsrechtliche Fragen aufwerfen.
Prüfen Sie, ob Ihr Telefonie-Dienstleister zur Verschwiegenheit verpflichtet ist, wie es etwa § 43e BRAO für Rechtsanwälte und § 62a StBerG für Steuerberater vorsehen.
Fragen Sie nach, ob der Anbieter auf Produktivsystemen testet und wie er Testeinstellungen zurücknimmt.

Quelle: [Behördenname ergänzen], Tätigkeitsbericht [Jahr ergänzen]

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks