Ransomware-Angriff: Datenschutz-Notfallplan für KMU

Am Montagmorgen startet kein Rechner, auf dem Bildschirm erscheint eine Lösegeldforderung: Ransomware-Angriffe treffen längst nicht mehr nur Konzerne, sondern zunehmend kleine und mittlere Unternehmen, Praxen und Kanzleien. Neben dem Betriebsausfall drohen datenschutzrechtliche Folgen, nämlich Meldepflichten, Benachrichtigungen und Schadensersatzforderungen. Ein solcher Angriff ist IT-Notfall, Betriebsnotfall und Datenschutzvorfall zugleich. Wer einen Notfallplan hat, verliert in der Krise keine Zeit.

Warum ein Cyberangriff fast immer eine Datenpanne ist

Ransomware verschlüsselt Daten und macht sie unzugänglich. Das allein ist bereits eine Verletzung der Verfügbarkeit personenbezogener Daten. Hinzu kommt, dass viele Angreifer vor der Verschlüsselung Daten kopieren und mit deren Veröffentlichung drohen („Double Extortion“). Damit liegt regelmäßig auch eine Verletzung der Vertraulichkeit vor. Beides kann eine Meldepflicht nach Art. 33 DSGVO und gegebenenfalls eine Benachrichtigungspflicht nach Art. 34 DSGVO auslösen. Die Grundlagen beschreibt unser Leitfaden „Datenpanne melden: So reagieren Sie richtig in 72 Stunden“.

Der Notfallplan: Die ersten 72 Stunden

1. Betroffene Rechner vom Netz trennen, aber nicht ausschalten, wenn forensische Spuren gesichert werden sollen.
2. Das Krisenteam zusammenrufen: Geschäftsführung, IT-Dienstleister, Datenschutzbeauftragter, gegebenenfalls externe IT-Forensik und Rechtsberatung.
3. Besteht eine Cyberversicherung, deren Meldepflichten und Vorgaben beachten.
4. Strafanzeige erstatten. Die Polizei verfügt über spezialisierte Ansprechstellen für Cybercrime.
5. Klären, welche Systeme betroffen sind, welche Daten dort liegen und ob es Hinweise auf einen Datenabfluss gibt.
6. Die Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntnis informieren, notfalls als Erstmeldung mit späterer Ergänzung.
7. Bei hohem Risiko, etwa wenn Gesundheits- oder Bankdaten abgeflossen sind, die Betroffenen benachrichtigen.
8. Alle Schritte, Erkenntnisse und Entscheidungen dokumentieren.

Lösegeld zahlen?

Ermittlungsbehörden raten grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch, dass kopierte Daten gelöscht werden. Datenschutzrechtlich beseitigt eine Zahlung die Meldepflicht nicht. Die Entscheidung sollte nicht ohne rechtliche Beratung getroffen werden.

Haftung und Schadensersatz

Ein Hackerangriff befreit das Unternehmen nicht automatisch von der Haftung. Der EuGH hat entschieden, dass der Verantwortliche nachweisen muss, dass seine Schutzmaßnahmen geeignet waren, und dass schon die begründete Befürchtung eines Datenmissbrauchs einen Schaden darstellen kann; mehr dazu in unserem Beitrag „Schon die Angst vor Datenmissbrauch kann ein Schaden sein“. Eine sorgfältige Dokumentation der IT-Sicherheit ist daher auch im Haftungsfall wertvoll.

Vorsorge: Was jetzt zu tun ist

• mindestens eine Sicherung, die vom Netzwerk getrennt ist, und regelmäßige Wiederherstellungstests,
• Zwei-Faktor-Authentifizierung für E-Mail, Fernzugänge und Administratorkonten,
• zeitnahe Updates, insbesondere für Firewalls und VPN-Gateways,
• Phishing-Schulungen, denn die meisten Angriffe beginnen mit einer E-Mail,
• ein schriftlicher Notfallplan mit Telefonliste, ausgedruckt, weil im Ernstfall die Systeme nicht funktionieren,
• Reaktionszeiten und Meldepflichten der Dienstleister, geregelt im Auftragsverarbeitungsvertrag.

Der beste Zeitpunkt für einen Notfallplan liegt vor dem Angriff. Ist Ihr Unternehmen bereits betroffen, unterstützen wir Sie auch kurzfristig bei Meldung und Kommunikation; ebenso erarbeiten wir mit Ihnen vorab einen Notfallplan. Kontakt aufnehmen oder Termin buchen.