Aufgrund der Datenschutz-Grundverordnung (DSGVO) stehen Unternehmen in der Pflicht, eine Cyberattacke umgehend der zuständigen Datenschutzbehörde zu melden, um Folgeschäden einer Datenschutzverletzung abzuwenden. Ein Nichtbefolgen dieser gesetzlichen Meldepflicht kann schwerwiegende Konsequenzen nach sich ziehen. Aber auch um die für Ihre Daten bestehende Gefährdung richtig abzuschätzen und die Präventivmaßnahmen entsprechend anzupassen, ist eine rechtliche Absicherung dringend zu empfehlen.
Um unseren Mandanten die benötigte Unterstützung zu gewährleisten, bietet die Kanzlei Schlun & Elseven einen gleichermaßen kompetenten wie engagierten Rechtsbeistand an. Als multidisziplinärer, technologieaffiner Rechtsdienstleister verbinden wir exzellentes juristisches Fachwissen mit technischem Know-how, um unseren Mandanten maßgeschneiderte innovative Lösungen auch in der Not anzubieten. Im Falle eines Cyber-Angriffs sorgen wir – in Zusammenarbeit mit IT-Forensikern – für eine sorgfältige Beweissicherung. Sollten Sie Opfer einer Cyberattacke geworden sein und eine persönliche Rechtsberatung wünschen, zögern Sie nicht uns zu kontaktieren
Was sind Exchange-Server?
Mit den Exchange-Servern bietet Microsoft seinen Kunden eine E-Mail, Kalender-, Kontakt-, Terminplanungs- und Kollaborationsplattform an. Durch die Authentifizierung der Hacker am Active Directory, dem Verzeichnisdienst der Microsoft Windows Server, verschaffen sich die Hacker Zugriff auf solche sensiblen Daten des Unternehmens wie E-Mails, Adressbücher und die administrativen Zugriffsrechte auf die Domain.
In der Folge sah sich das Bundesamt für Sicherheit in der Informationstechnik (BSI) gezwungen, die höchste Bedrohungsstufe „Rot“ („extrem kritisch“) für die Microsoft Exchange Server auszurufen. Die Firma Microsoft selbst hatte bereits am 05.03.2021 eine Meldung über eine neue schwerwiegende Sicherheitslücke in ihren Exchange Produkten herausgegeben. Anlass hierzu gaben Angriffe, mit denen es Hackern der chinesischen „HAFNIUM Gruppe“ gelungen war, sich als Exchange-Server am Active Directory (Verzeichnisdienst) zu authentifizieren, um so Zugriff auf private Informationen der Unternehmen zu erhalten. Erfolgten solche Angriffe anfangs gezielt auf amerikanische Behörden, Forschungseinrichtungen und größere Firmen und dienten der Datenspionage, so sind mittlerweile auch zahlreiche deutsche Unternehmen hiervon betroffen.
Wie wirkt sich ein Angriff auf die Server aus?
Das tückische an den Angriffen ist, dass sie zunächst kaum bemerkbar sind. Die Hacker gelangen über Outlook Web Access, ECP, ActiveSync oder EWS-Schnittstellen in das System. Im System erst einmal angelangt, werden meist Erpressungs-Trojaner eingesetzt und die Systeme verschlüsselt. ECP ist eine Verwaltungsoberfläche, bei ActiveSync handelt es sich indes um eine Software für Datensynchronisation. Die Abkürzung EWS steht für „Exchange-Web-System“. Die Angriffe erfolgen durch sämtliche genutzte Funktionen der Exchange Server, sodass es schwer zu ermitteln ist, ab wann das System kompromittiert wurde.
Der beste Schutz: Prävention
Auch wenn ein hundertprozentiger Schutz vor Angriffen auf das Outlook-Exchange Server System nicht garantiert werden, gibt es eine Reihe von Verhaltensmaßnahmen, die das Angriffsrisiko erheblich minimieren können. Neben diversen technischen Vorkehrungen und der regelmäßigen Durchführung von Workshops zu IT-Sicherheit stellt die rechtliche Absicherung eine weitere Präventivmaßnahme dar, mit welcher sich ein Unternehmen für den Fall eines Angriffs wappnen sollte.
Entscheidend für die Effizienz eines Sicherheitskonzeptes ist nämlich, dass die rechtliche Einschätzung durch einen Anwalt für IT-Recht nicht isoliert von den technischen oder strukturellen Gegebenheiten des Unternehmens betrachtet wird. Das Unternehmen ist stets in seiner Gesamtheit zu beurteilen. Daher empfiehlt es sich, auch wenn noch gar kein Angriff stattgefunden hat, die rechtliche und strategische Expertise in Anspruch zu nehmen. Schlun und Elseven hat hierfür ein umfassendes Beratungsprodukt entwickelt, das in Kooperation mit IT-Forensikern, sowohl die juristischen als auch die technischen Präventionsmaßnahmen impliziert. Dieses Zusammenspiel der einzelnen Fachrichtungen gewährt eine umfassende rechtliche Absicherung für den Ernstfall.
Was tun, falls ein Angriff bereits stattgefunden hat?
Trotz aller Sicherheitsvorkehrungen lassen sich Cyberattacken nicht gänzlich vermeiden. Um sich rechtlich abzusichern und den Schaden so gering wie möglich zu halten, ist es daher wichtig, sich im Falle eines Angriffs adäquat zu verhalten.
Zunächst ist es wichtig, dass in technischer Hinsicht gehandelt wird. Es sollte schnellstmöglich eine Überprüfung des Systems durch ihren Exchange-Administrator stattfinden. Außerdem sollten neue Updates installiert werden, um eventuell vorhandene Sicherheitslücken zu schließen. Für die Prüfung des Systems hat Microsoft ein Skript bereitgestellt, das zum Download bereitsteht.
Ist ihr System kompromittiert, liegt ein meldepflichtiger Datenschutzvorfall nach Art. 33 der Datenschutzgrundverordnung (DSGVO) vor. Ist dies der Fall, so ergibt sich für Sie eine Meldepflicht an die zuständige Behörde innerhalb von 72 Stunden.
Liegt außerdem eine Verletzung von personenbezogenen Daten vor, kann sich eine Verpflichtung zur Meldung an die Betroffenen aus Art. 34 DSGVO ergeben.
Ausnahme von der Meldepflicht
In Ausnahmefällen kann es allerdings eine Ausnahme der Meldepflicht geben. Dies ist dann der Fall, wenn nach Prüfung des Einzelfalls kein Risiko für die Rechte und Freiheiten von betroffenen Personen anzunehmen ist. (vgl. Artikel 33 Abs.1 DSGVO) Ein Verzicht auf eine solche Meldung sollte immer begründet und hinreichend dokumentiert werden.
Eine Meldepflicht kann auch dann entfallen, wenn innerhalb der Sicherheitsprüfung des Systems festgestellt wurde, dass keine Kompromittierung vorliegt.
Die Ausnahme der Meldepflicht wird damit begründet, dass in einem solchen Fall kein Risiko für die Rechte und Freiheiten für den Betroffenen vorliegt. Aber auch in einem solchen Fall ist der Vorfall nach Art. 33 Abs. 5 DSGVO durch den Verantwortlichen zu dokumentieren.
Meldepflicht: Was Sie melden müssen
Ist eine Meldung an die zuständige Datenschutzbehörde erforderlich, so gibt es hier einige inhaltliche Anforderungen zu beachten:
Wesentlicher Bestandteil der Meldung ist gem. Artikel 33 der DSGVO eine möglichst genaue Beschreibung, welche Art von Cyberangriff beziehungsweise Datenschutzverletzung vorliegt und wie viele Datensätze davon betroffen sind. Ferner muss das Unternehmen eine Einschätzung darüber abgeben, mit welchen Folgen durch diese Datenschutzverletzung zu rechnen ist.
Die Meldung muss auch genaue Angaben darüber beinhalten, welche Maßnahmen des Verantwortlichen bereits ergriffen wurden bzw. noch ergriffen werden. Als Maßstab werden hierbei die Handlungsempfehlungen von Microsoft und des BSI herangezogen.
Hierbei ist insbesondere zu beachten, dass die Nichtmeldung eines solchen Vorfalls gegebenenfalls einen Datenschutzverstoß darstellt und mit hohen Bußgeldern (bis zu 20 Millionen Euro oder 4 Prozent des Jahresvorumsatzes) geahndet werden kann.
Als multidisziplinäre Full-Service-Kanzlei beraten wir Sie gerne bezüglich der Frage, ob bei einem Cyberangriff Meldepflicht für Ihr Unternehmen besteht und wie Sie darüber hinaus die Datenschutzbehörden bei der Strafverfolgung unterstützen können. Wir arbeiten mit ausgewiesenen Experten für IT-Forensik zusammen, die dafür sorgen, dass jede Datenschutzverletzung äußerst genau dokumentiert wird. Mit ihrer umfassenden Beratung bieten unsere Anwälte auch die bestmögliche rechtliche Absicherung für den Fall eines Angriffs an.
Praxisgruppe für Strafrecht
Schlun & Elseven Rechtsanwälte kontaktieren
Nutzen Sie gerne unser Online-Formular, um uns Ihr Anliegen zu schildern. Nach Erhalt Ihrer Anfrage werden wir eine kurze Ersteinschätzung vornehmen und Ihnen ein Kostenangebot zukommen lassen. Anschließend können Sie entscheiden, ob Sie uns den Auftrag erteilen möchten.
