Ein Musikfestival mit 40.000 Besuchern, ein Unternehmenskongress mit 3.000 Anmeldungen, eine Messe mit digitalem Einlasskontrollsystem: All diese Veranstaltungen haben eines gemeinsam. Sie verarbeiten im Hintergrund erhebliche Mengen personenbezogener Daten, betreiben temporäre IT-Infrastrukturen und sind dabei oft schlechter abgesichert als ein mittelständisches Unternehmen. Das Jahr 2026 hat gezeigt, dass Angreifer das wissen und gezielt ausnutzen.
Was bei Events wirklich an IT-Infrastruktur hängt
Wer an Event-IT denkt, denkt zuerst an Ticketing. Aber das ist nur die Oberfläche. Moderne Veranstaltungen betreiben Kassensysteme mit Kartenzahlung, WLAN-Netzwerke für Aussteller und Presse, digitale Akkreditierungssysteme, Streaming-Infrastruktur, Cloud-Dienste für das Teilnehmermanagement und nicht selten eigene Apps mit Nutzerdaten. Dazu kommen Dienstleister, die temporären Zugriff auf diese Systeme erhalten. Jeder dieser Zugangspunkte ist ein potenzielles Einfallstor.
Laut dem BSI-Lagebericht 2025 waren Veranstaltungsdienstleister im Vergleich zu 2023 mehr als doppelt so häufig von Datenpannen betroffen. Der Grund ist nicht mangelndes Bewusstsein, sondern strukturelle Schwäche: Temporäre Systeme werden schnell aufgebaut, selten vollständig gepatcht und nach der Veranstaltung oft nur unzureichend abgeschaltet.
Typische Angriffsmuster im Event-Umfeld
Die häufigsten Vorfälle folgen erkennbaren Mustern. Phishing-Mails kurz vor der Veranstaltung, die sich als Lieferantenrechnungen oder Teilnehmerbestätigungen tarnen, sind dabei besonders tückisch, weil das Volumen echter E-Mails in der Vorbereitungsphase ohnehin hoch ist. Dazu kommen WLAN-Angriffe über gefälschte Access Points, das Abfangen von Zahlungsdaten an Kassensystemen und gezielte Attacken auf Ticketing-APIs.
Ein konkretes Beispiel aus dem ersten Halbjahr 2026: Bei einem Technologiekongress in Hamburg wurden nach Ende der Veranstaltung ungewöhnliche Zugriffe auf das Teilnehmerverzeichnis festgestellt. Rund 12.000 Datensätze mit Namen, E-Mail-Adressen und in einigen Fällen Zahlungsinformationen waren kompromittiert worden. Der Angreifer hatte sich bereits zwei Wochen vor der Veranstaltung über einen schlecht gesicherten Testaccount eines Dienstleisters Zugang verschafft und war bis zur Entdeckung unbemerkt geblieben.
Wann ein Sachverständigenbüro IT Forensik ins Spiel kommt
Nach einem solchen Vorfall zählt jede Stunde. Wer jetzt vorschnell Systeme herunterfährt, löscht möglicherweise die einzigen Beweise, die eine gerichtsverwertbare Rekonstruktion ermöglichen würden. Genau hier liegt der Mehrwert eines spezialisierten Dienstleisters. Ein Sachverständigenbüro IT Forensik sichert digitale Spuren nach klar definierten Methoden, die vor Gericht standhalten, rekonstruiert Angriffswege und kann einschätzen, welche Daten tatsächlich abgeflossen sind.
Das ist keine akademische Übung. Unter der DSGVO besteht eine 72-Stunden-Frist zur Meldung von Datenpannen an die zuständige Aufsichtsbehörde. Wer in dieser Zeit nicht weiß, was überhaupt passiert ist, meldet entweder zu wenig und riskiert Bußgelder, oder zu viel und erzeugt unnötige Reputationsschäden. Eine forensische Erstanalyse schafft die Grundlage für eine belastbare Meldung.
Darüber hinaus wird forensisches Gutachten relevant, wenn Schadensersatzforderungen im Raum stehen, wenn ein Dienstleister für den Vorfall verantwortlich gemacht werden soll oder wenn Strafanzeige erstattet wird. Ohne gerichtsverwertbare Dokumentation verlaufen solche Verfahren oft im Sand.
Präventiv oder reaktiv: Was Veranstalter konkret tun können
Viele Veranstalter warten, bis etwas passiert ist. Das ist verständlich, weil Sicherheitsbudgets knapp sind und der ROI schwer zu beziffern ist. Aber es gibt Maßnahmen, die verhältnismäßig wenig kosten und das Risiko deutlich senken:
- Dienstleisterverträge mit IT-Sicherheitsklauseln: Jeder externe Anbieter, der Zugriff auf Teilnehmerdaten erhält, sollte vertraglich verpflichtet sein, aktuelle Sicherheitsstandards einzuhalten und Vorfälle sofort zu melden.
- Separate Netze für kritische Systeme: Kassensysteme und Akkreditierung gehören nicht ins selbe Netzwerksegment wie das Presse-WLAN oder die Ausstellerbereiche.
- Zeitlich begrenzte Zugänge: Testaccounts und temporäre Zugriffe für Aufbau und Abbau sollten automatisch deaktiviert werden, nicht manuell.
- Log-Management über die Veranstaltung hinaus: Protokolldaten sollten mindestens 90 Tage aufbewahrt werden. Viele Angriffe werden erst Wochen nach der Veranstaltung entdeckt.
- Einen Forensik-Dienstleister vorqualifizieren: Im Ernstfall bleibt keine Zeit für eine Ausschreibung. Wer einen Ansprechpartner bereits kennt, gewinnt wertvolle Stunden.
Rechtliche Dimension: Was Veranstalter haften
Ein weit verbreiteter Irrtum ist, dass Ticketing-Plattformen oder Event-Apps automatisch die Verantwortung für den Datenschutz übernehmen. Die Realität sieht anders aus. Der Veranstalter ist in der Regel der datenschutzrechtlich Verantwortliche, unabhängig davon, welche Dienstleister er einsetzt. Auftragsverarbeitungsverträge übertragen Aufgaben, nicht Verantwortung.
Das Bußgeld-Spektrum unter der DSGVO reicht bis zu vier Prozent des weltweiten Jahresumsatzes. Für einen mittelgroßen Kongressveranstalter mit zwei Millionen Euro Jahresumsatz wären das bis zu 80.000 Euro. Hinzu kommen zivilrechtliche Ansprüche betroffener Teilnehmer, die nach dem EuGH-Urteil von 2023 auch immaterielle Schäden geltend machen können, selbst wenn kein nachweisbarer finanzieller Schaden entstanden ist.
Wann reicht interne IT, wann braucht es externe Forensik?
Kleine Veranstaltungen mit eigenem IT-Team können viele Sicherheitsaufgaben intern abdecken, solange der Fokus auf Prävention liegt. Sobald ein Vorfall eingetreten ist, der potenziell rechtliche Konsequenzen hat, ist externe Expertise jedoch nahezu immer sinnvoll. Der Grund: Interne Mitarbeiter sind zu nah am System und zu nah an der Unternehmensstruktur. Forensische Gutachter arbeiten unabhängig, dokumentieren nach anerkannten Standards und können als Sachverständige in rechtlichen Verfahren auftreten, was internes Personal in aller Regel nicht kann.
Fazit: IT-Sicherheit gehört in die Veranstaltungsplanung
Events sind keine Ausnahmen im Digitalen, sie sind vollständig digitalisierte Prozesse mit temporären Strukturen und wechselnden Akteuren. Dieses Umfeld braucht keine aufgeblähten Sicherheitskonzepte, aber klare Verantwortlichkeiten, saubere Netzwerktrennung und einen Plan für den Ernstfall. Wer diesen Plan hat und weiß, wen er im Fall eines Vorfalls anruft, ist 2026 deutlich besser aufgestellt als der Durchschnitt der Branche. Die Frage ist nicht ob ein Vorfall passiert, sondern ob man vorbereitet ist, wenn er es tut.
