Cybervorfall: die ersten Stunden
Nach einem Angriff laufen mehrere Meldepflichten nebeneinander, mit verschiedenen Adressaten und verschiedenen Fristen. Wer die Reihenfolge vorher kennt, verliert die ersten Stunden nicht mit Zuständigkeitsfragen.
- Frist der DSGVO-Meldung, sobald personenbezogene Daten betroffen sind
- 72 h
- mögliche Adressaten: Datenschutzaufsicht, BSI, Versicherer, Strafverfolgung
- 4
- Aufgaben zugleich, Betrieb wiederherstellen und Beweise sichern
- 2
- Entscheidungen zur Lösegeldzahlung ohne vorherige rechtliche Prüfung
- 0
Die ersten Schritte
Schritt 1: Lage sichern und dokumentieren
Zugänge sperren, betroffene Systeme trennen, Beweise sichern und alle Entscheidungen mit Uhrzeit protokollieren.
Schritt 2: Betroffenheit klären
Sind personenbezogene Daten betroffen, sind Sie eine erfasste Einrichtung, hängen Kunden über die Lieferkette mit drin? Daraus ergeben sich die Pflichten.
Schritt 3: Meldepflichten sortieren
Datenschutzaufsicht, BSI, Vertragspartner, Versicherer und je nach Lage Strafverfolgung. Die Fristen laufen nebeneinander und nicht nacheinander.
Schritt 4: Melden und kommunizieren
Wir formulieren die Meldungen, führen die Korrespondenz und stimmen die Kommunikation gegenüber Kundschaft und Beschäftigten ab.
Schritt 5: Aufarbeiten
Ansprüche gegen Dienstleister, Versicherungsleistung und die Nachweise, die die Behörde im weiteren Verfahren sehen will.
Zwei Meldewege, die nicht dasselbe sind
Datenschutzrechtlich
- Voraussetzung ist die Betroffenheit personenbezogener Daten
- Adressat ist die zuständige Datenschutzaufsichtsbehörde
- Frist von 72 Stunden ab Kenntnis nach Art. 33 DSGVO
- Bei hohem Risiko kommt die Benachrichtigung der Betroffenen hinzu
Sicherheitsrechtlich
- Voraussetzung ist, dass Sie eine erfasste Einrichtung sind
- Adressat ist das Bundesamt für Sicherheit in der Informationstechnik
- Eigene, gestufte Fristen mit Erst- und Folgemeldung
- Greift auch dann, wenn keine personenbezogenen Daten betroffen sind
Eine Meldung erfüllt die andere nicht. Die Anzeige allein bei der Datenschutzaufsicht kann die sicherheitsrechtliche Pflicht offen lassen und umgekehrt.
Angriff läuft oder gerade bemerkt?
Rufen Sie an, bevor die erste Frist verstreicht. Wir sind kurzfristig erreichbar.
Sofort Kontakt aufnehmenHäufige Fragen
Sollen wir das Lösegeld zahlen?
Diese Entscheidung hat neben der wirtschaftlichen eine rechtliche Seite. Vor der Zahlung zu klären sind sanktionsrechtliche Grenzen, strafrechtliche Fragen, die Haltung des Versicherers und die Dokumentation gegenüber Behörden und Gesellschaftern. Wir klären das kurzfristig, bevor gezahlt wird, nicht danach.
Dürfen wir die Systeme sofort wieder aufsetzen?
Nicht bevor die Beweise gesichert sind. Ein zu frühes Aufräumen nimmt die Möglichkeit, gegenüber Behörde, Versicherer und Dienstleistern zu belegen, was geschehen ist. Wiederherstellung und Beweissicherung müssen deshalb parallel geplant werden.
Müssen wir unsere Kundschaft informieren?
Die Informationspflicht folgt aus mehreren Grundlagen zugleich: der DSGVO bei Betroffenheit personenbezogener Daten, vertraglichen Informationspflichten und je nach Sektor sicherheitsrechtlichen Vorgaben. Die Antworten fallen unterschiedlich aus, deshalb ist die Kommunikation abzustimmen und nicht spontan zu führen.