Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Cyberangriff

  • NIS2-Umsetzungsgesetz in Kraft: Cybersicherheit trifft Datenschutz

    Nach langem Gesetzgebungsverfahren hat der Bundestag am 13. November 2025 das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) beschlossen; es ist am 6. Dezember 2025 in Kraft getreten. Es setzt die europäische NIS-2-Richtlinie um und erweitert den Kreis der Unternehmen mit gesetzlichen Cybersicherheitspflichten erheblich. Eine Übergangsfrist gibt es nicht. Viele mittelständische Unternehmen müssen nun klären, ob sie betroffen sind und wie die neuen Pflichten mit dem Datenschutz zusammenhängen.

    Wer ist betroffen?

    Das Gesetz erfasst Unternehmen in zahlreichen Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Finanzwesen, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste. Unterschieden wird zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen. Maßgeblich sind neben dem Sektor vor allem Größenschwellen: In der Regel sind Unternehmen ab 50 Beschäftigten oder ab bestimmten Umsatz- und Bilanzschwellen erfasst. Einige Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz. Unternehmen, bei denen die erfassten Tätigkeiten nur einen vernachlässigbaren Teil ausmachen, sollen nicht automatisch erfasst sein. Die Betroffenheit muss jedes Unternehmen selbst prüfen.

    Die wichtigsten Pflichten

    • Betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Voraussetzung ist ein Unternehmenskonto („Mein Unternehmenskonto“).
    • Verlangt sind angemessene technische, operative und organisatorische Maßnahmen zur Beherrschung von Cyberrisiken, etwa zu Notfallmanagement, Backups, Zugangskontrolle, Verschlüsselung und Sicherheit der Lieferkette.
    • Erhebliche Sicherheitsvorfälle sind in einem mehrstufigen Verfahren an das BSI zu melden.
    • Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, regelmäßig an Schulungen teilnehmen und kann bei Pflichtverletzungen persönlich haften.

    Zusammenspiel mit der DSGVO

    NIS2 dient der Sicherheit von Netz- und Informationssystemen, die DSGVO dem Schutz personenbezogener Daten. Trotz unterschiedlicher Ziele überschneiden sich beide Regelwerke stark:

    • Ein Cyberangriff kann zugleich ein meldepflichtiger NIS2-Vorfall gegenüber dem BSI und eine meldepflichtige Datenschutzverletzung gegenüber der Datenschutzaufsicht nach Art. 33 DSGVO sein. Beide Meldungen haben eigene Fristen und Adressaten. Der Notfallplan sollte beide Wege abbilden; siehe unseren Beitrag „Ransomware-Angriff: Datenschutz-Notfallplan für KMU“.
    • Viele NIS2-Maßnahmen sind zugleich technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Ein integriertes Sicherheitskonzept spart Aufwand.
    • Die NIS2-Anforderungen an die Sicherheit der Lieferkette lassen sich mit der Prüfung von Auftragsverarbeitern verbinden.

    Auch nicht erfasste Unternehmen sind betroffen

    Wer selbst nicht unter das Gesetz fällt, kann als Zulieferer oder Dienstleister einer erfassten Einrichtung mittelbar betroffen sein. Kunden werden vermehrt vertragliche Sicherheitszusagen und Nachweise verlangen.

    Sinnvoll ist, Cybersicherheit und Datenschutz in einem gemeinsamen Managementsystem mit klaren Meldewegen für beide Regelwerke zusammenzuführen. Ob Ihr Unternehmen unter NIS2 fällt und wie sich die Prozesse abstimmen lassen, prüfen wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Ransomware-Angriff: Datenschutz-Notfallplan für KMU

    Am Montagmorgen startet kein Rechner, auf dem Bildschirm erscheint eine Lösegeldforderung: Ransomware-Angriffe treffen längst nicht mehr nur Konzerne, sondern zunehmend kleine und mittlere Unternehmen, Praxen und Kanzleien. Neben dem Betriebsausfall drohen datenschutzrechtliche Folgen, nämlich Meldepflichten, Benachrichtigungen und Schadensersatzforderungen. Ein solcher Angriff ist IT-Notfall, Betriebsnotfall und Datenschutzvorfall zugleich. Wer einen Notfallplan hat, verliert in der Krise keine Zeit.

    Warum ein Cyberangriff fast immer eine Datenpanne ist

    Ransomware verschlüsselt Daten und macht sie unzugänglich. Das allein ist bereits eine Verletzung der Verfügbarkeit personenbezogener Daten. Hinzu kommt, dass viele Angreifer vor der Verschlüsselung Daten kopieren und mit deren Veröffentlichung drohen („Double Extortion“). Damit liegt regelmäßig auch eine Verletzung der Vertraulichkeit vor. Beides kann eine Meldepflicht nach Art. 33 DSGVO und gegebenenfalls eine Benachrichtigungspflicht nach Art. 34 DSGVO auslösen. Die Grundlagen beschreibt unser Leitfaden „Datenpanne melden: So reagieren Sie richtig in 72 Stunden“.

    Der Notfallplan: Die ersten 72 Stunden

    1. Betroffene Rechner vom Netz trennen, aber nicht ausschalten, wenn forensische Spuren gesichert werden sollen.
    2. Das Krisenteam zusammenrufen: Geschäftsführung, IT-Dienstleister, Datenschutzbeauftragter, gegebenenfalls externe IT-Forensik und Rechtsberatung.
    3. Besteht eine Cyberversicherung, deren Meldepflichten und Vorgaben beachten.
    4. Strafanzeige erstatten. Die Polizei verfügt über spezialisierte Ansprechstellen für Cybercrime.
    5. Klären, welche Systeme betroffen sind, welche Daten dort liegen und ob es Hinweise auf einen Datenabfluss gibt.
    6. Die Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntnis informieren, notfalls als Erstmeldung mit späterer Ergänzung.
    7. Bei hohem Risiko, etwa wenn Gesundheits- oder Bankdaten abgeflossen sind, die Betroffenen benachrichtigen.
    8. Alle Schritte, Erkenntnisse und Entscheidungen dokumentieren.

    Lösegeld zahlen?

    Ermittlungsbehörden raten grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch, dass kopierte Daten gelöscht werden. Datenschutzrechtlich beseitigt eine Zahlung die Meldepflicht nicht. Die Entscheidung sollte nicht ohne rechtliche Beratung getroffen werden.

    Haftung und Schadensersatz

    Ein Hackerangriff befreit das Unternehmen nicht automatisch von der Haftung. Der EuGH hat entschieden, dass der Verantwortliche nachweisen muss, dass seine Schutzmaßnahmen geeignet waren, und dass schon die begründete Befürchtung eines Datenmissbrauchs einen Schaden darstellen kann; mehr dazu in unserem Beitrag „Schon die Angst vor Datenmissbrauch kann ein Schaden sein“. Eine sorgfältige Dokumentation der IT-Sicherheit ist daher auch im Haftungsfall wertvoll.

    Vorsorge: Was jetzt zu tun ist

    • mindestens eine Sicherung, die vom Netzwerk getrennt ist, und regelmäßige Wiederherstellungstests,
    • Zwei-Faktor-Authentifizierung für E-Mail, Fernzugänge und Administratorkonten,
    • zeitnahe Updates, insbesondere für Firewalls und VPN-Gateways,
    • Phishing-Schulungen, denn die meisten Angriffe beginnen mit einer E-Mail,
    • ein schriftlicher Notfallplan mit Telefonliste, ausgedruckt, weil im Ernstfall die Systeme nicht funktionieren,
    • Reaktionszeiten und Meldepflichten der Dienstleister, geregelt im Auftragsverarbeitungsvertrag.

    Der beste Zeitpunkt für einen Notfallplan liegt vor dem Angriff. Ist Ihr Unternehmen bereits betroffen, unterstützen wir Sie auch kurzfristig bei Meldung und Kommunikation; ebenso erarbeiten wir mit Ihnen vorab einen Notfallplan. Kontakt aufnehmen oder Termin buchen.

  • EuGH: Schon die Angst vor Datenmissbrauch kann ein Schaden sein

    Nach Cyberangriffen und Datenlecks fragen Betroffene regelmäßig, ob sie Schadensersatz verlangen können, auch wenn mit ihren Daten (noch) nichts passiert ist. Der Gerichtshof der Europäischen Union hat dazu mit Urteil vom 14. Dezember 2023 (Rs. C-340/21) wichtige Antworten gegeben. Das Urteil betrifft zugleich die Frage, wann ein Unternehmen für einen Hackerangriff haftet, und erhöht die Anforderungen an die Dokumentation der IT-Sicherheit.

    Der Fall

    Bei einem Cyberangriff auf die bulgarische Nationale Agentur für Einnahmen waren personenbezogene Daten von Millionen Menschen erbeutet und im Internet veröffentlicht worden. Eine Betroffene verlangte Ersatz ihres immateriellen Schadens: Sie befürchte, dass ihre Daten künftig missbraucht werden könnten. Das bulgarische Oberste Verwaltungsgericht legte dem EuGH mehrere Fragen vor.

    Die Kernaussagen

    • Allein aus der Tatsache, dass Dritte unbefugt auf Daten zugegriffen haben, kann nicht geschlossen werden, dass die technischen und organisatorischen Maßnahmen des Verantwortlichen nicht geeignet waren.
    • Die nationalen Gerichte müssen die Geeignetheit der Maßnahmen konkret prüfen und dürfen sich nicht auf eine pauschale Bewertung beschränken.
    • Das Unternehmen muss nachweisen, dass seine Maßnahmen geeignet waren. Ein Sachverständigengutachten ist dafür nicht in jedem Fall zwingend oder ausreichend.
    • Der Verantwortliche wird nicht schon deshalb von der Haftung befreit, weil der Schaden durch Cyberkriminelle verursacht wurde. Er muss nachweisen, dass er in keinerlei Hinsicht für den Schaden verantwortlich ist.
    • Bereits die Befürchtung einer betroffenen Person, ihre Daten könnten von Dritten missbräuchlich verwendet werden, kann für sich genommen einen immateriellen Schaden darstellen. Das Gericht muss allerdings prüfen, ob diese Befürchtung unter den gegebenen Umständen als begründet angesehen werden kann.

    Einordnung

    Das Urteil knüpft an die Grundsatzentscheidung zur Österreichischen Post an: Ein Verstoß allein genügt nicht, eine Erheblichkeitsschwelle gibt es aber nicht. Nun stellt der EuGH klar, dass auch ohne tatsächlichen Missbrauch ein Schaden vorliegen kann, wenn die Angst vor Missbrauch nachvollziehbar ist. Für Betroffene erleichtert das die Durchsetzung von Ansprüchen nach Datenlecks deutlich.

    Was bedeutet das für Unternehmen?

    Unternehmen tragen nach einem Cyberangriff die Beweislast dafür, dass ihre Sicherheitsmaßnahmen angemessen waren. Das hat praktische Konsequenzen:

    • Sicherheitsmaßnahmen müssen nicht nur umgesetzt, sondern auch nachvollziehbar dokumentiert sein.
    • Regelmäßige Überprüfungen, Penetrationstests und Updates sollten protokolliert werden.
    • Nach einem Vorfall ist eine sorgfältige Aufarbeitung wichtig, auch im Hinblick auf mögliche Schadensersatzprozesse. Zu den Sofortmaßnahmen siehe unseren Leitfaden zur Datenpanne.

    Was bedeutet das für Betroffene?

    Wer von einem Datenleck betroffen ist, sollte dokumentieren, welche Daten betroffen sind, welche Benachrichtigungen er erhalten hat und welche konkreten Sorgen oder Folgen aufgetreten sind, etwa verdächtige E-Mails oder Anrufe. Je konkreter die Befürchtung begründet werden kann, desto besser stehen die Chancen auf Schadensersatz.

    Ein Hackerangriff ist kein Haftungsfreibrief; es kommt darauf an, ob angemessen vorgesorgt wurde. Wir beraten Betroffene von Datenlecks ebenso wie Unternehmen, die nach einem Cyberangriff in Anspruch genommen werden. Nehmen Sie Kontakt auf oder vereinbaren Sie einen Termin.