CyberShield
Die Datenschutz-Grundverordnung verschafft EU-Bürgern mehr Kontrolle über ihre personenbezogenen Daten, sorgt für Transparenz bei der Verwendung der Daten und verlangt Sicherheit und Kontrollen zum Schutz der Daten. Dabei setzt sie auf eine breite Definition von Personendaten: Alle Daten, die einen Rückschluss auf eine reale Person zulassen, fallen in den Regulationsbereich der DSGVO – egal, ob das IP-Adressen oder die Lieblingsfarbe ist.
Hackerangriffe und Ransomware
Seit dem 25. Mai 2018 gilt die neue Datenschutz-Grundverordnung (DSGVO), die Firmen vor Herausforderungen stellt. Zum Beispiel im Hinblick auf die Auswirkungen für den Datenschutz, wenn trotz aller Sicherheitsvorkehrungen Hacker in das Datensystem eindringen. Was also fordert die DSGVO bei Cyberangriffen?
Die Datenschutz-Grundverordnung verschafft EU-Bürgern mehr Kontrolle über ihre personenbezogenen Daten, sorgt für Transparenz bei der Verwendung der Daten und verlangt Sicherheit und Kontrollen zum Schutz der Daten. Dabei setzt sie auf eine breite Definition von Personendaten: Alle Daten, die einen Rückschluss auf eine reale Person zulassen, fallen in den Regulationsbereich der DSGVO – egal, ob das IP-Adressen oder die Lieblingsfarbe ist. Bei einem Verstoß gegen die DSGVO drohen Unternehmen hohe Geldstrafen. Seit der Verabschiedung der DSGVO beschäftigt Unternehmen die Frage, wie sie den Datenschutzanforderungen gerecht werden können. Doch was passiert, wenn Ransomware alle Schutzwälle nieder reißt?
Doch zahlreiche Vorfälle der vergangenen Jahre zeigen, dass eine vollständige Datensicherheit nahezu nicht gewährleitet werden kann. Die DSGVO hat es sich daher zum Ziel gemacht, das Vertrauen in die Digitalwirtschaft zu stärken – sie verbietet nichts, reguliert aber alles. Die neue Datenschutzverordnung gibt Unternehmen eine Vorgabe, was sie hinsichtlich Datenschutz und –Sicherheit tun müssen. Doch was passiert, wenn trotz aller Vorkehrungen Hacker in das Datensystem dringen? Dann steht das Thema Datenschutz plötzlich in neuem Licht. Was müssen Unternehmen tun, um trotzdem DSGVO-konform zu sein?
Was tun bei Hackerangriffen nach DSGVO?
Vor allem Viren- und Ransomware-Angriffe können als schwerwiegender Verstoß gegen die DSGVO angesehen werden. Nicht selten sind die eigenen Mitarbeiter im Unternehmen das Einfallstor für Hacker. Ausgeklügelten Social-Engineering-Angriffen kann vorgebeugt werden, indem Unternehmen ihre Mitarbeiter entsprechend schulen. Einen Anknüpfungspunkt liefert Artikel 39 Absatz 1 Buchstabe a DSGVO, der die Unterrichtung und Beratung der Beschäftigten zu den Datenschutzpflichten zu den Aufgaben des Datenschutzbeauftragten zählt:
Artikel 39 DSGVO „Aufgaben des Datenschutzbeauftragten“
(1) Dem Datenschutzbeauftragten obliegen zumindest folgende Aufgaben:
a) Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach dieser Verordnung sowie nach sonstigen Datenschutzvorschriften der Union bzw. der Mitgliedsstaaten. […]
Die DSGVO bietet eine weit gefasste Definition von Datenschutzverletzungen und Ransomware-Angriffen, die in Artikel 4 Absatz 12 festgelegt ist:
Artikel 4 DSGVO „Begriffsbestimmungen“
(12)„Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden. […]
Welche Schritte Unternehmen bei einer Verletzung nach dieser Definition gehen müssen, ist in Art. 33 und 34 DSGVO geregelt:
Artikel 33 DSGVO „Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde“
(1) Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen. […]
Laut Absatz 3 in Artikel 33 muss die Meldung mindestens folgende Informationen enthalten: Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, Namen und Kontaktdaten des Datenschutzbeauftragten, Beschreibung der wahrscheinlichen Folgen der Verletzung, Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Folgen. Ist es einem Verantwortlichen nicht möglich, diese Information gleichzeitig zur Verfügung zu stellen, können diese laut Absatz 4 Artikel 33 auch schrittweise zur Verfügung gestellt werden.
Die Meldung an die Aufsichtsbehörde nach Artikel 33 entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die betroffenen Personen führt; eine wirksame Verschlüsselung der Daten kann dabei für die Risikobewertung eine Rolle spielen.
In besonderen Fällen müssen Unternehmen sogar die betroffenen Personen informieren – dieser Aspekt ist in Art. 34 DSGVO geregelt:
Artikel 34 DSGVO „Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person“
(1) Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung. […]
In Art. 34 Abs. 3 DSGVO wird außerdem aufgeführt, wann dies nicht erforderlich ist.
Welche Maßnahmen können zur Vorbeugung getroffen werden?
Welche Aspekte seitens der Unternehmen zur Schutzgewährleistung zu berücksichtigen sind, ist in Art. 32 DSGVO festgelegt. Doch konkrete Maßnahmen zur Orientierung finden Unternehmen in der Datenschutzverordnung nicht. Einige halten Datensicherungen für die beste Verteidigung – doch immer mehr Ransomware-Hacker greifen auf Backups zu, bevor sie mit der Verschlüsselung von Produktionsservern oder Workstations beginnen. Die Replizierung von Disk Deduplizierungsappliances kann helfen, sich vor Ransomware-Angriffen zu schützen, indem sie eine Art Luftpolster erzeugt. Außerdem kann die Verwendung nicht standardmäßiger NAS-Protokolle dazu beitragen, dass Backup-Ziele bei Hackerangriffen versteckt bleiben. Doch der einzige Weg, um vollständig geschützt zu sein, ist die Verwendung von Offline-Medien wie Tape. Ein pragmatischer Ansatz kann darin bestehen, eine Kopie der Daten auf Tape mit einer ein- oder zweimonatigen Aufbewahrungsfrist vorzuhalten. Tape ermöglicht es, eine Lösegeld-freie Zone zu erstellen, die nichts verbirgt, sondern physisch von Ihrem Netzwerk getrennt ist. Selbst ein kompromittiertes Backup-Administratorkonto kann nicht auf Ransomware zugreifen und diese dann verwenden, um Backups auf Band zu verschlüsseln.
Hackerangriffe sind auch jetzt schon für Unternehmen ein Horrorszenario. Mit Inkrafttreten der DSGVO kommt auf Unternehmen vor allem ein hoher Verwaltungsaufwand zu. Viel problematischer können jedoch die notwendigen Maßnahmen werden, um im Nachgang die DSGVO-Konformität wieder herzustellen. Unternehmen sollten daher ihr Datensystem hinsichtlich Angriffsflächen genau unter die Lupe nehmen und dabei alle möglichen Hintertüren wie Backup-Vorrichtungen prüfen.
Quelle:
Security Insider
Unser Tipp:
Cyberversicherungen schützen Sie für den Fall eines Hackerangriffs und bei hierdurch entstehende Datenschutzverletzungen.
Wie kann die Cyberversicherung Unternehmen bei der EU DSGVO helfen?
Freie Cyber-Beratung: unabhängig von einzelnen Versicherern, im Auftrag des Kunden.
Das passt dazu: Cyber-Versicherung vergleichen
Mehr aus dem RatgeberFachtexte und Ratgeberbeiträge entstehen unter Einsatz von KI und werden vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung liegt bei uns.