Ein Sicherheitsvorfall bei der Fotoplattform Portraitbox wirft weiter Fragen auf. Öffentlich berichtet wurde über einen Cyberangriff, bei dem Kundendaten und Fotodateien betroffen sein können. Für Eltern, Schulen, Einrichtungen und Fotostudios ist damit nicht nur die technische Ursache entscheidend. Entscheidend ist auch, wer konkret informiert wurde, welche Aufträge betroffen waren und ob Fotos von Kindern darunter sind.

Die Braker Zeitung hat im Zusammenhang mit dem Oldenburger Fotostudio Diekmann und Portraitbox nachgefragt. Die Anfrage wurde zunächst über REFLAK gestellt. Die weitere redaktionelle Bearbeitung erfolgt nun über die Braker Zeitung – Digitales Wochenblatt für Brake und die Wesermarsch. REFLAK bleibt die verbundene Magazin- und Analysemarke für vertiefende Einordnungen.

Dieser Artikel stellt keinen technischen Abschlussbericht dar. Er beschreibt die Aktenlage aus Sicht der Redaktion: Ein Dienstleister meldet einen Vorfall, öffentliche Berichte sprechen von möglicherweise betroffenen Galerien, Fotos und Kundendaten. Ein regionales Fotostudio verweist auf diesen Dienstleister. Die konkreten Fragen zur Betroffenheit, Information und Aufarbeitung bleiben gegenüber der Redaktion unbeantwortet.

Was öffentlich bekannt ist

Nach öffentlich zugänglichen Berichten wurde Portraitbox im Mai 2026 Ziel eines Cyberangriffs. Genannt werden unter anderem Galerien und Fotos sowie Namen, E-Mail-Adressen, Lieferadressen, Bestellhistorien und Zugangsdaten als möglicherweise betroffene Datenarten. Auch Berichte zu Schul- und Kita-Fotos zeigen, warum der Vorgang über ein normales IT-Problem hinausgeht.

Gerade bei Kinderfotos ist die Schwelle für öffentliche Information niedrig. Fotos sind nicht bloß neutrale Datensätze. Sie zeigen Gesichter, Alter, Zugehörigkeiten, häufig auch schulische oder familiäre Zusammenhänge. Wer solche Bilder in einem Auftragssystem speichert oder über eine Plattform verkauft, bewegt sich in einem sensiblen Bereich.

Der regionale Bezug: Fotostudio Diekmann

Die Redaktion fragte beim Fotostudio Diekmann nach, welche Erkenntnisse dort zum Vorfall vorliegen, ob Aufträge aus dem eigenen Kundenkreis betroffen sein könnten und wie Kundinnen und Kunden, Schulen oder Einrichtungen informiert wurden. Eine inhaltliche Beantwortung dieser Fragen lag bis Redaktionsschluss nicht vor. Frau Diekmann verwies nach bisheriger Korrespondenz auf Portraitbox.

Dieser Verweis ist für den Ablauf relevant, ersetzt aber keine Antwort auf die regionalen Anschlussfragen. Denn für betroffene Familien ist nicht nur wichtig, dass bei einem Plattformanbieter ein Vorfall stattgefunden hat. Wichtig ist, ob ihre konkrete Schule, Einrichtung, Bestellung, Galerie oder Fotodatei betroffen sein könnte.

Gefragt wurde unter anderem

  • 1. Wann wurde der Vorfall festgestellt?
  • 2. Welche Systeme und Datenarten waren betroffen?
  • 3. Ob Fotos von Kindern betroffen sein können.
  • 4. Welche Auftraggeber, Schulen oder Einrichtungen betroffen sein könnten.
  • 5. Ob eine Meldung an die Datenschutzaufsicht oder eine Strafanzeige erfolgte.
  • 6. Wie die technische und forensische Aufarbeitung erfolgt.

Offen blieb gegenüber der Redaktion

  • 1. Ob und welche Kunden des Fotostudios Diekmann konkret betroffen sind.
  • 2. Ob betroffene Familien direkt informiert wurden.
  • 3. Ob Schulen oder Einrichtungen eine eigene Information erhielten.
  • 4. Welche Datenarten im konkreten regionalen Zusammenhang relevant sind.
  • 5. Ob Portraitbox eine zentrale öffentliche Informationsseite bereitstellt.
  • 6. Welche Schutzmaßnahmen nach dem Vorfall nachvollziehbar umgesetzt wurden.

Portraitbox antwortet nicht auf die konkreten Fragen

Nach dem Verweis des Fotostudios fragte die Redaktion auch bei Portraitbox direkt nach. Die Fragen betrafen den Zeitpunkt der Feststellung, betroffene Systeme, mögliche Datenarten, Fotos von Kindern, Auftraggeber, Meldung an die Datenschutzaufsicht, Strafanzeige sowie technische und forensische Aufarbeitung.

Bis zum gesetzten Fristablauf lag der Redaktion dazu keine inhaltliche Antwort von Portraitbox vor. Damit bleibt öffentlich nicht nachvollziehbar, welche Punkte Portraitbox gegenüber der Redaktion bestätigen, einschränken oder zurückweisen würde.

Das ist rechtlich nicht automatisch ein Schuldeingeständnis. Redaktionell ist es aber relevant. Denn eine ausbleibende inhaltliche Stellungnahme verändert nicht den Vorfall selbst, wohl aber die Informationslage. Und genau diese Informationslage betrifft Eltern, Schulen, Einrichtungen und Fotostudios.

Datenschutz ist hier keine Randfrage

Die Datenschutz-Grundverordnung unterscheidet zwischen Meldung an eine Aufsichtsbehörde und Benachrichtigung betroffener Personen. Eine Datenschutzverletzung ist der zuständigen Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden zu melden, wenn ein Risiko für Rechte und Freiheiten natürlicher Personen besteht. Bei voraussichtlich hohem Risiko sind betroffene Personen unverzüglich zu informieren.

Aus der Presseanfrage folgt nicht automatisch, dass im konkreten Einzelfall jede einzelne Familie direkt zu informieren war. Das hängt von der tatsächlichen Betroffenheit, vom Risiko und von den getroffenen Schutzmaßnahmen ab. Gerade deshalb wären klare Antworten wichtig: Was war betroffen? Welche Aufträge? Welche Datenarten? Welche Personen? Welche Maßnahmen?

Was Betroffene wissen müssten

Für betroffene Familien reicht eine abstrakte Mitteilung über einen Plattformvorfall regelmäßig nicht aus. Sie brauchen verständliche Antworten: Waren die eigenen Bilder betroffen? Wurden Namen, Adressen, Bestellungen oder Zugangsdaten kopiert? Gibt es Hinweise auf Veröffentlichung oder Weitergabe? Müssen Passwörter geändert werden? Gibt es eine Anlaufstelle?

Auch Schulen und Einrichtungen haben ein eigenes Interesse an Klarheit. Sie stehen zwischen Fotostudio, Elternschaft, Datenschutzverantwortung und öffentlicher Erwartung. Wenn sie selbst keine belastbaren Informationen erhalten, geraten sie in eine kommunikative Zwischenlage.

Redaktioneller Stand

Die Braker Zeitung dokumentiert deshalb die offene Aktenlage: Fotostudio Diekmann verweist auf Portraitbox. Portraitbox beantwortet die konkreten Pressefragen nicht. Öffentliche Berichte legen nahe, dass der Vorfall sensible Datenarten betreffen kann. Welche regionale Betroffenheit im Zusammenhang mit Diekmann tatsächlich besteht, bleibt gegenüber der Redaktion offen.

Genau an diesem Punkt ist die Berichterstattung nicht abgeschlossen, sondern begründet: Wenn die Beteiligten keine konkreten Antworten geben, muss transparent werden, welche Fragen unbeantwortet blieben. Nicht als Vorverurteilung. Sondern als Information über den Stand der Recherche.

Braker Zeitung / REFLAK meint: Information ist kein Gefallen

Bei einem Sicherheitsvorfall mit möglichen Fotos von Kindern geht es nicht um PR-Schadensbegrenzung. Es geht um nachvollziehbare Information. Familien müssen nicht raten, ob sie betroffen sind. Schulen und Einrichtungen dürfen nicht im Nebel stehen. Fotostudios brauchen klare technische und rechtliche Orientierung.

Ein Verweis auf den Plattformanbieter kann ein erster Schritt sein. Er darf aber nicht das Ende der Auskunft sein, wenn vor Ort Kundinnen, Kunden, Eltern und Einrichtungen betroffen sein könnten. Wer in diesem Bereich arbeitet, verkauft nicht nur Bilder. Er verwaltet Vertrauen.

Der Fall zeigt: Datenschutzkommunikation ist Teil der Verantwortung. Gerade dann, wenn die Lage unangenehm ist.