Im Ernstfall rechtssicher reagieren Datenschutzrechtliche Konsequenzen eines Cyberangriffs

Nach einem erfolgreichen Cyberangriff, bei dem persönliche Daten betroffen waren, müssen nicht nur IT-Abteilung und IT-Forensik involviert werden, sondern auch der Daten­schutzbeauftragte. Welche Meldepflichten sind einzuhalten und wie ist die Incident-Bewertung und Nachverfolgung in Zusammenarbeit mit den Behörden vorzunehmen?

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

valvisio international AG

Bei einem Cyberangriff schrillen im Unternehmen alle Alarmglocken. Systeme müssen desinfiziert und der Angriff aufgeklärt werden – gut, wenn Vorbereitungen zum Umgang getroffen wurden. Für den Datenschutzbeauftragten stellt sich sofort die Frage: handelt es sich um einen meldepflichtigen Datenschutzvorfall und was ist das weitere Vorgehen?

Was ist ein (meldepflichtiger) Datenschutzvorfall?

Artikel 4 der DSGVO definiert in Absatz 12 einen Datenschutzvorfall als unbeabsichtigte oder unrechtmäßige Vernichtung, Verlust oder Veränderung von persönlichen Daten.

Dies kann die Veröffentlichung von persönlichen Daten im Internet sein, z.B. wenn Nutzer der Amazon Web Services ihre virtuellen Festplatten unabsichtlich von „privat“ auf „öffentlich“ stellen und damit die darauf gespeicherten Daten der ganzen Welt zur Verfügung stellen.

Meldepflichtig an die Aufsichtsbehörde sind jedoch nur Datenschutzvorfälle, die voraussichtlich zu einem Risiko für die Betroffenen führen. Datenpannen, die dieses Kriterium nicht erfüllen, müssen nicht gemeldet werden. Zuständig für die Entgegennahme der Meldung ist der Datenschutzbeauftragte des Landes (in Bayern: das Landesamt für Datenschutzaufsicht), in dem die Hauptniederlassung des Unternehmens sitzt. Die Meldung kann üblicherweise über ein Webformular erstattet werden.

Besteht ein besonders hohes Risiko für die Betroffenen, muss eine Meldung nicht nur an die Aufsichtsbehörde erfolgen, sondern es müssen auch die Betroffenen benachrichtigt werden, im Extremfall per Anzeige in der Zeitung.

Erste Schritte

Im ersten Schritt sind Vorfälle nach Umfang des Schadensausmaßes zu unterscheiden. Ein gestohlenes Firmenhandy muss nicht an die Behörden gemeldet werden, wenn das Handy sofort aus der Ferne gelöscht werden kann. In diesem Fall ist das Risiko, dass Daten in falsche Hände geraten, sehr gering. Es handelt sich dabei also nicht um einen meldepflichtigen Datenschutzvorfall.

Aber auch nicht meldepflichtige Verstöße sollten behandelt und dokumentiert werden, da sie für die Einordnung des unternehmenseigenen Datenschutzniveaus substantiell sind.

Der Reaktionsplan

Der zweite Schritt sollte ein Reaktionsplan zur Bewältigung von Datenschutzvorfällen sein. In diesem wird der Ablauf in allen Phasen abgebildet, Datenpannen an Hand von Beispielen veranschaulicht und bestimmten Mitarbeitern konkrete Rollen zugeteilt. Das Ergebnis: eine Anleitung für ein Data Breach Incident Team, das sofortige Maßnahmen umsetzen kann und wenn nötig Meldung an betroffene Personen oder Behörden macht.

Ein weiterer Fallstrick stellt die kurze Frist des Artikel 33 der DSGVO dar, der die Meldung von Datenschutzvorfällen regelt. Datenpannen müssen „unverzüglich“ und „möglichst binnen 72 Stunden“ nach Bekanntwerden gemeldet werden. Bei einer längeren Dauer als 72 Stunden muss eine Begründung für die Verzögerung beigefügt werden.

Da der Freitagabend bei Hackern eine beliebte Angriffszeit ist, sollten entsprechende Meldeketten auch für Wochenenden und Feiertage greifen. Wichtig ist außerdem, den Reaktionsplan allen Mitarbeiten zur Verfügung zu stellen und darauf zu achten, dass auch im Ernstfall der Plan schnell verfügbar ist. Der Datenschutz-Reaktionsplan sollte wie alle Dokumente des Notfallmanagements zudem zusätzlich außerhalb des Unternehmens aufbewahrt werden.

Um sofort handlungsfähig zu sein, empfiehlt es sich, eine Risikoeinstufung aller im Unternehmen plausibler Szenarien für Datenschutzvorfälle vorzunehmen. Dabei sollten die mit dem jeweiligen Szenario verbundenen Konsequenzen wie Verlust der Kontrolle über die eigenen Daten, Identitätsdiebstahl oder -betrug, finanzielle Verluste, Rufschädigung oder Verletzung des Berufsgeheimnisses berücksichtigt werden. Diese Aufstellung ist wesentlicher Teil des Reaktionsplanes, denn aus der Risikobewertung lassen sich weitere Reaktionen und Meldungen ableiten.

Behörden- und Betroffenenmeldungen

Tritt das Worst-Case-Szenario ein, gestohlene Datenbanken, Erpressung mittels Ransomware oder kompromittierte Netzwerke, gilt es zunächst Ruhe zu bewahren.

Jetzt zahlt sich die Investition in Notfallvorsorge aus, wenn Notfallmanagement und Reaktionspläne greifen und der Schaden rasch eingedämmt und womöglich sogar vermieden werden kann. Insbesondere eine „Defense in Depth“, die Datenschutzvorfälle auf eine niedrigere Stufe der Konsequenzen – nicht meldepflichtig, meldepflichtig an Behörden, meldepflichtig an Betroffene – begrenzen kann, ist hier sehr vorteilhaft.

Für die Meldung an Behörden und Betroffene kann ein Textbaustein hinterlegt werden, der nur noch mit den Besonderheiten des jeweiligen Vorfalls befüllt werden muss. So kann die 72-Stunden-Frist problemlos eingehalten werden.

Die Mindestinhalte geben die Artikel 12 und 34 der DSGVO vor: Name und Kontaktdaten des Datenschutzbeauftragten, die Art des Datenschutzvorfalls, die wahrscheinlichen Folgen für die Betroffenen und ergriffene Gegenmaßnahmen dürfen in der Meldung nicht fehlen.

Zusätzlich sind die Informationen präzise, transparent und verständlich zu halten. Dabei handelt es sich um eine hohe Hürde, denn eine fachlich korrekte und vollständige, aber für Otto Normalverbraucher nicht verständliche Information erfüllt diese Bedingungen nicht und kann zu Bußgeldern führen. Es empfiehlt sich daher, auch im Hinblick auf die Abwendung von Rufschäden, einen Experten mit Erfahrung in der Kommunikation von Datenschutzvorfällen beizuziehen.

Datenpannen können jederzeit und überall auftreten, deshalb sollte ein Training der Mitarbeiter und ein Reaktionsplan Teil jeder guten Unternehmenskultur sein.

Über den Autor: Thoralf S. Thorson ist externer Datenschutzberater und IT-Security-Manager. Er ist Kooperationspartner der Syret GmbH, einem deutschlandweit tätigen Unternehmen im Bereich der IT-Sicherheit und IT-Forensik.

(ID:46187351)