Wenn plötzlich nichts mehr funktioniert

Montagmorgen, 8 Uhr. Die ersten Mitarbeitenden starten ihre Computer. Doch statt der gewohnten Programme erscheint eine Fehlermeldung. Auf wichtige Dateien kann niemand mehr zugreifen. Kurz darauf meldet sich der IT-Dienstleister: Es gibt Hinweise auf einen Hackerangriff.

Jetzt entstehen viele Fragen. Sind personenbezogene Daten betroffen? Müssen Kunden informiert werden? Ist eine Meldung an die Datenschutzaufsichtsbehörde erforderlich? Und wer kümmert sich eigentlich darum?

Solche Situationen können jedes Unternehmen treffen. Auch kleinere Betriebe sind nicht automatisch vor Cyberangriffen geschützt.

Der 35. Tätigkeitsbericht des Bayerischen Landesbeauftragten für den Datenschutz beschäftigt sich ausführlich mit der Meldung von Hackerangriffen. Die Erkenntnisse aus der öffentlichen Verwaltung sind auch für Unternehmen interessant.

Denn die zentralen Meldepflichten ergeben sich aus der Datenschutz-Grundverordnung (DSGVO).

Hackerangriff: Wann besteht eine DSGVO-Meldepflicht?

Nicht jeder Cyberangriff ist automatisch eine meldepflichtige Datenschutzverletzung.

Entscheidend ist, ob personenbezogene Daten in ihrer Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigt wurden.

Das kann beispielsweise passieren, wenn Angreifer Kundendaten kopieren, Personaldaten verändern oder Datenbanken verschlüsseln.

Auch wenn personenbezogene Daten vorübergehend nicht verfügbar sind, kann eine Datenschutzverletzung vorliegen.

Unternehmen müssen deshalb zunächst klären, welche Systeme betroffen sind und welche Auswirkungen der Vorfall auf personenbezogene Daten hat.

Nach Artikel 33 DSGVO muss eine Datenschutzverletzung grundsätzlich an die zuständige Aufsichtsbehörde gemeldet werden, sofern sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Eine Meldung ist nicht erforderlich, wenn ein solches Risiko voraussichtlich nicht besteht.

Diese Bewertung muss nachvollziehbar dokumentiert werden.

Die 72-Stunden-Frist beginnt nicht erst nach der vollständigen Untersuchung

Ein häufiger Fehler besteht darin, zunächst die Ergebnisse der IT-Forensik abwarten zu wollen.

Eine technische Untersuchung kann jedoch mehrere Tage oder sogar Wochen dauern.

Für die datenschutzrechtliche Meldung ist das regelmäßig zu spät.

Artikel 33 DSGVO sieht vor, dass die Meldung möglichst unverzüglich und nach Möglichkeit innerhalb von 72 Stunden nach Bekanntwerden der meldepflichtigen Datenschutzverletzung erfolgt.

Dabei müssen noch nicht sämtliche Einzelheiten geklärt sein.

Wenn Informationen fehlen, können sie schrittweise nachgereicht werden.

Wichtig ist, dass die erste Meldung den bekannten Sachverhalt zutreffend beschreibt. Dazu gehören insbesondere die Art des Vorfalls, die betroffenen Datenkategorien, die möglichen Folgen und bereits ergriffene Schutzmaßnahmen.

Im Tätigkeitsbericht empfiehlt der Bayerische Landesbeauftragte bei längeren Untersuchungen und besonders sensiblen Daten regelmäßige Zwischenberichte. Bei entsprechendem Klärungsbedarf nennt er einen Abstand von zwei Wochen.

Das ist eine behördliche Empfehlung für die beschriebenen Situationen und keine allgemeine gesetzliche Zweiwochenfrist.

Für Unternehmen bedeutet das: Auch nach einer Erstmeldung muss die Bearbeitung des Datenschutzvorfalls aktiv weitergeführt werden.

Was gilt, wenn der Hackerangriff beim IT-Dienstleister passiert?

Viele Unternehmen speichern ihre Daten nicht ausschließlich auf eigenen Servern.

Sie nutzen Cloud-Dienste, externe Rechenzentren, Softwareanbieter oder IT-Dienstleister.

Kommt es dort zu einem Angriff, wird häufig angenommen, der Dienstleister müsse sämtliche Datenschutzpflichten übernehmen.

Das ist ein Irrtum.

Wenn der Dienstleister als Auftragsverarbeiter tätig ist, bleibt das beauftragende Unternehmen grundsätzlich datenschutzrechtlich verantwortlich.

Der Auftragsverarbeiter muss den Verantwortlichen nach Artikel 33 Absatz 2 DSGVO unverzüglich über eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten informieren.

Anschließend muss der Verantwortliche selbst prüfen, ob eine Meldung erforderlich ist.

Ein allgemeiner Hinweis des Dienstleisters reicht für die eigene Risikobewertung nicht immer aus.

Das Unternehmen benötigt konkrete Informationen über betroffene Systeme, Datenbestände, mögliche Zugriffe und bereits eingeleitete Maßnahmen.

Daher sollten entsprechende Informations- und Mitwirkungspflichten bereits im Vertrag zur Auftragsverarbeitung geregelt sein.

Was bedeutet das für Unternehmen?

Ein Hackerangriff ist nicht nur ein technisches Problem.

Er betrifft mehrere Verantwortungsbereiche gleichzeitig.

Die IT-Abteilung muss den Angriff eindämmen, Systeme untersuchen und die Wiederherstellung vorbereiten.

Der Datenschutzbeauftragte unterstützt bei der Bewertung der Auswirkungen auf personenbezogene Daten und bei der Prüfung der Meldepflicht.

Die Geschäftsführung muss notwendige Entscheidungen ermöglichen, Ressourcen bereitstellen und die Krisenkommunikation koordinieren.

Die Kommunikationsabteilung sollte gegebenenfalls Informationen für Kunden, Geschäftspartner oder Beschäftigte vorbereiten.

Besonders wichtig ist die Abstimmung dieser Bereiche.

Wenn technische Informationen zu spät an den Datenschutz weitergegeben werden, können gesetzliche Fristen gefährdet sein.

Ebenso problematisch ist eine vorschnelle Aussage, dass keine personenbezogenen Daten betroffen seien, obwohl die Untersuchung noch läuft.

Welche Risiken sollten Unternehmen beachten?