News
Präventiv auf einen Angriff vorbereitet sein
Jeder hat bereits von einem Cyberangriff gehört. Schon seit längerer Zeit kursieren Berichte auf sämtlichen Plattformen, die von Hacker-Angriffen erzählen. Wir Datenschützer sind dann voll allem um eins besorgt: Um den Schutz von personenbezogenen Daten, welcher verletzt sein könnte.
Wir möchten Ihnen im Folgenden kurz allgemein schildern, was überhaupt unter einem Cyberangriff zu verstehen ist und worauf Sie zu achten haben, wenn der Ernstfall eingetreten ist und was Sie präventiv für den Fall der Fälle einführen und umsetzen können.
Denn es geht schon längst nicht mehr um die Frage, ob ein Unternehmen zum Opfer eines Hacker-Angriffs wird, sondern wann. Für Rückfragen steht unser Team Ihnen gerne zur Verfügung. In folgenden Newslettern werden wir zudem auf einzelne Thematiken vertieft eingehen und diese näher erläutern.
Was tun, wenn der Fall der Fälle eingetreten ist
Wenn ein Cyber-Angriff ein Unternehmen trifft, muss alles sehr schnell gehen, da bereits nach kurzer Zeit erhebliche geschäftskritische Folgen eintreten können.
Unter einem Cyber-Angriff wird der unberechtigte Eingriff von Dritten auf IT-Systeme einer Organisation verstanden, der bis zur Übernahme der IT-Systeme führen kann. Zum Beispiel greifen Dritte unberechtigt in ein System ein und entwenden Daten, um eine Lösegeldzahlung zu erpressen.
Sollte dieser Fall eintreten, ist zunächst Ruhe zu bewahren und der Kreis der Wissenden klein zu halten! Es muss erst einmal evaluiert werden, was überhaupt angegriffen worden ist und wie groß der Schaden ist, denn nicht jedes Unternehmen hat ein sog. „Incident-Response-Team“ (digitale Feuerwehr) welches bei einem Vorfall ausrückt, um den Angriff zu bearbeiten.
Zu den ersten Schritten einer erfolgreichen Incident-Response gehört Sichtbarkeit. Es muss sichergestellt werden, welche IT-Systeme überhaupt kompromittiert sind, damit danach Schritt zwei, die Eindämmung, stattfinden kann (hier kommt häufig eine Endpoint-Detection and Response – Software zum Einsatz, die die eingeschleuste Schad-Software zum Stoppen bringen soll).
Wichtig für die Umsetzung ist, dass im Unternehmen eine Inventarliste der IT-Systeme und Netzwerke vorliegt. Eine Inventarliste ist nicht nur im Ernstfall hilfreich.
Ist die Sichtbarkeit vorhanden und der laufende Cyberangriff gestoppt, muss mit der Suche nach den Gründen begonnen werden.
Gründe können u. a. sein:
- Manipulierte E-Mails
- Sicherheitslücken in neuen oder aktualisierten Betriebssystemen
- Manipulierte Software
In den meisten Fällen kann die Ursache des Cyberangriffs festgestellt und letztendlich ein schriftlicher Bericht angefertigt werden.
Rechtliche Punkte
Neben der Incident-Response sind im Fall eines Cyberangriffs diverse rechtliche Punkte zu beachten.
Es müssen die gesetzlichen Meldepflichten befolgt werden. Wenn es tatsächlich zu einer Verletzung des Schutzes von personenbezogenen Daten gekommen ist, müssen u. a. die zuständigen Aufsichtsbehörden innerhalb von 72 Stunden über den Cyberangriff benachrichtigt werden.
Cyberversicherungen müssen kontaktiert werden.
Sollten Lösegeldforderungen von den Angreifern benannt werden, muss hier abgewogen werden, ob diese erfüllt werden. Unternehmen begeben sich recht schnell auf „dünnes Eis“. Denn mit solchen Zahlungen werden kriminelle Vereinigungen gefördert und begünstigt. Unter Umständen kann in einer solchen Zahlung auch eine illegale Geldwäsche liegen.
Abgeschlossene Vereinbarungen über Geschäftsgeheimnisse können mitunter verletzt sein. Hieraus ergeben sich wieder Meldepflichten zu Partnern, die erfüllt werden sollten.
Vorbereitung
Kommunikation ist alles – allein aus Respekt gegenüber den eigenen Teams, Kunden und externer Partner ist eine gute und sorgfältige Kommunikation Pflicht. Updates, anerkennen des Vorfalls (ohne frühzeitiges Schuldeingeständnis) und verständliche Aussagen sind hierfür Grundvoraussetzung.
Hierzu sollte ein Incident Response Plan aufgestellt werden, der Zuständigkeiten und Ansprechpartner klar benennt. Über ein zuständiges Team kann ab einer bestimmten Größe des Unternehmens auch nachgedacht werden.
Wenn für jeden ersichtlich ist, dass Cyberangriffe ernst genommen werden, ist es für ein Unternehmen möglich, ohne großen Reputationsschaden aus einem solchen Vorfall, sogar gestärkt, hervorzugehen.
Übungen zu möglichen Szenarien sollten in regelmäßigen Abständen durchgeführt werden, damit ein reibungsloser Ablauf im Falle eines Cyberangriffs gewährleistet ist.
Auch sollte der Abschluss einer Cyberversicherung überdacht werden, die einen Teil der enormen Kosten übernimmt, die bei einem Cyberangriff entstehen.
Ihr Berater unterstützt Sie gerne zu diesem und anderen Datenschutz Themen.
