Source: https://www.noerr.com/de/landingpages/noerr-cyber-risks
Timestamp: 2019-10-17 21:32:52+00:00

Document:
Noerr Cyber Risks - Noerr LLP
Noerr Noerr Cyber Risks
Noerr Cyber Risks
Die Gefahr für Unternehmen, Opfer von Cyber-Angriffen zu werden, nimmt rasant zu. Die Formen und Ziele der Angreifer sind vielfältig, gemeinsam ist ihnen aber das enorme Schadenspotenzial für die Wirtschaft.
Die folgenden Seiten sollen Ihnen eine Hilfestellung für dieses Bedrohungsszenario bieten. Unsere Beratung verfolgt einen 360°-Ansatz und führt fachbereichsübergreifend unterschiedlichste Expertise zusammen.
Wir bieten damit Beratung aus einer Hand zur Vorbereitung auf und Vermeidung von Cyber-Angriffen („Prevent“), zur Aufdeckung und sofortigen Reaktion auf stattgefundene Angriffe („Detect“) und zur mittel- und langfristigen Anspruchsverfolgung („Respond“).
Unsere Cyber-Risks-Lösung:
Vorbereitung (Prevent)
Cyber-Sicherheit und Schutz interner Daten und IT-Systeme ist eine Managementaufgabe. Geschäftsleiter werden sich deshalb stets fragen müssen, ob ihr Unternehmen gut aufgestellt ist, um den regulatorischen Anforderungen zur Cyber- und Datensicherheit gerecht zu werden und um im Falle eines Cyber-Angriffs Schäden zu minimieren. Besondere regulatorische Anforderungen bestehen für Betreiber kritischer Infrastrukturen und regulierte Industrien. Themen wie Versicherung, Datenschutz und Supply-Chain-Management betreffen aber auch alle übrigen Branchen.
Betreiber kritischer Infrastrukturen (§ 8a BSIG) und digitaler Dienste (§ 8c BSIG)
Kritische Infrastrukturen sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen. Betreiber kritischer Infrastrukturen treffen daher hinsichtlich der IT-Sicherheit besondere Pflichten nach §§ 8a, 8b BSIG. Wir prüfen mit Ihnen gemeinsam, ob Ihr Unternehmen als kritische Infrastruktur einzuordnen ist.
Zudem beraten wir Sie als Betreiber einer kritischen Infrastruktur zu den Ihr Unternehmen treffenden besonderen IT-sicherheitsrechtlichen Pflichten, wie der Benennung einer Kontaktstelle gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI), der Meldung von IT-Störungen, der Umsetzung des „Stands der Technik“ in der IT-Sicherheit und dem Nachweis gegenüber dem BSI im Zeitabstand von zwei Jahren.
Anbieter digitaler Dienste treffen nach § 8c BSIG besondere Pflichten zur der IT-Sicherheit. Wir prüfen mit Ihnen, ob Ihr Unternehmen als digitaler Dienst einzuordnen ist, und beraten Sie hinsichtlich der Einhaltung der besonderen Anforderungen für digitale Dienste.
Die Datenschutzgrundverordnung (DSGVO) und die Datenschutzgesetze des Bundes und der Länder regeln nicht nur den Datenschutz, sondern auch die IT-Sicherheit. Datenschutz und IT-Sicherheit gehen Hand in Hand.
Wir beraten Ihr Unternehmen bei der Anpassung von Datenschutzorganisation und -management sowie Anpassung der Datenschutzdokumentation an die Anforderungen der DSGVO bzw. der Datenschutzgesetze des Bundes und der Länder, insbesondere Datenschutzverträge, Betriebsvereinbarungen, Datenschutzorganisationsrichtlinien, interne Datenschutzrichtlinien, Einwilligungserklärungen und Betroffeneninformationen. Wir konzipieren, strukturieren und implementieren mit Ihnen die Datenschutzorganisation und ein Datenschutzmanagement-System in Ihrem Unternehmen, Ihrem Konzern oder Ihrer Behörde.
Notfallplan und Managementvorbereitung
Um den Schaden eines Cyberangriffs so gering wie möglich zu halten, ist es von entscheidender Bedeutung, dass alle potentiell involvierten Personen so gut wie möglich vorbereitet sind und genau wissen, welche Maßnahmen in einem Ernstfall zu ergreifen sind.
Dazu gehört zunächst ein funktionierender, auf das jeweilige Unternehmen zugeschnittener Notfallplan. Dieser enthält eine Beschreibung der Abläufe im Krisenfall, Kommunikationswege, Kontaktinformationen wichtiger interner und externer Ansprechpartner, Aufgabenzuweisung an die verantwortlichen Personen, Regelungen für Wochenenden, Urlaub und Feiertage sowie Vorlagen für ggf. erforderliche Meldungen und Dokumentation.
Ein Notfallplan allein auf dem Papier hilft allerdings kaum, da in der Krisensituation, die ohnehin schon eine besondere Belastung für alle Beteiligten darstellt, rein theoretisch vorhandenes Wissen nicht angewendet werden kann. Daher ist es essentiell für die Schadensminimierung im Ernstfall, den Notfallplan in der Praxis auf seine Bewährung zu testen. Basierend auf dem Notfallplan, der Mitarbeiterstruktur, Branche und den Besonderheiten Ihres Unternehmens erarbeiten wir ein maßgeschneidertes Trainingsprogramm.
Rechtliche Begleitung von Penetration Tests
Viele IT-Dienstleister bieten unter dem Begriff Penetration Test oder Legal Hacking-Maßnahmen zur Überprüfung der Sicherheit von IT-Systemen an. Es handelt sich hierbei um mit dem Unternehmen abgestimmten fingierte Angriffe, mit denen die IT-Sicherheit des Unternehmens auf die Probe gestellt wird. Das Ziel ist es dem Unternehmen zu ermöglichen, im Nachgang seine Schwachstellen besser analysieren zu können.
Solche Tests sind zweifellos sinnvoll. Was Dienstleister aber nicht anbieten, ist eine umfangreiche rechtliche Begleitung solcher Tests. So führt ein Penetration Test regelmäßig zu einem Zugriff des Dienstleisters auf Daten Dritter, insbesondere von Lieferanten oder Kunden, mit denen ein solcher Test in der Regel nicht abgestimmt ist. Hier können vertragliche Geheimhaltungsabreden verletzt werden. Auch setzen solche Tests datenschutzrechtliche Zustimmungen oder dokumentierte Abwägungen voraus. All dies erfordert sorgfältige Vorbereitung.
Wir unterstützen Sie beim Aufsetzen und Durchführung solcher Penetration Tests, um hierdurch die IT-Sicherheit zu erhöhen und gerade nicht erst durch den Test Schaden für das Unternehmen zu verursachen.
Kritische Infrastrukturen decken sich weitgehend mit regulierten Industrien. In diese Branchen greift der Gesetzgeber vielfach noch zusätzlich durch Spezialgesetze regulierend ein. Regelungen zur IT-Sicherheit sind deshalb teilweise in die bereits existierenden Spezialgesetze für regulierte Industrien wie TMG, TKG, EnWG, AtomG, KWG und VAG integriert worden. Wir beraten Sie hinsichtlich der IT-sicherheitsrechtlichen Anforderungen für regulierten Industrien.
Service Level Agreement mit IT-Dienstleistern
Zur Absicherung gegen Haftungsrisiken nach Cyberangriffen gehört auch, die Verträge mit IT-Dienstleistern auf ihre Haftungsregelungen zu prüfen. Häufig konzentrieren sich die vertraglichen Vereinbarungen mit Dienstleistern auf die Regelung der Leistungsbestandteile wie etwa Leistungsumfang, Verfügbarkeit und Reaktionszeit. Regelmäßig wird der Dienstleister nur eine vertragliche Pflicht zur Wartung vage nach „Stand der Technik“ haben. Im Regelfall wird die Haftung zudem – jedenfalls bei größeren Outsourcing-Verträgen – individualvertraglich auf absolute Haftungsobergrenzen oder prozentuale Haftungsanteile beschränkt sein.
Üblicherweise können IT-Dienstleister daher kaum erfolgreich in Anspruch genommen werden, wenn es um große Schäden nach Cyberangriffen geht. Die Verträge sollten daher daraufhin geprüft werden, welche Anforderungen im Einzelnen einzuhalten sind und wer das Risiko nach Vertragsschluss eintretender Änderungen trägt.
Auch wenn die Absicherung des eigenen Unternehmens gegen Cyberangriffe schon eine große Herausforderung ist, bedeutet dies noch nicht das Ende des Pflichtenkatalogs. Je nach Branche kann es notwendig sein dafür Sorge zu tragen, dass Ihre gesamte Lieferkette Schutzmaßnahmen trifft und einen gewissen Standard der Sicherheit einhält.
Wir unterstützen Sie mit der Erarbeitung der für Ihre Lieferkette maßgeblichen rechtlichen Anforderungen und der rechtlichen Gestaltung zur Umsetzung. Dabei sind vor allem die rechtssichere Formulierung von Vertragsbedingungen, technischen Spezifikationen und Audit-Rechten von Bedeutung. Aber auch die ganz praktische Gestaltung entsprechender Dokumentation, das Aufsetzen von Übermittlungsprozessen und schließlich die Archivierung im eigenen Unternehmen stellen Herausforderungen dar.
Die von Unternehmen üblicherweise unterhaltenen (Industrie-)Versicherungsprodukte sichern den Versicherungsnehmer nicht gegen alle bei einem Cybervorfall regelmäßig entstehenden Schäden und Aufwendungen ab. Hier schließt insbesondere die zunehmend auf dem Markt angebotene Cyberversicherung wichtige Deckungslücken. Sie bietet weitergehenden Versicherungsschutz für bestimmte aus einem Cyberangriff resultierende Haftpflichtschäden, Eigenschäden (wie z.B. Betriebsunterbrechung) und die mit einem solchen Angriff einhergehenden Kosten für z.B. IT-Forensik und Datenwiederherstellung. Bei Abschluss einer Cyberversicherungen muss das Unternehmen prüfen, welche konkreten Risiken abgedeckt sind. Beispielsweise sind nicht unter allen angebotenen Produkten auch alle Varianten einer Denial-of-Service-Attacke versichert und verdeckte Deckungsausschlüsse zu beachten. Gleiches gilt hinsichtlich Fehler von Mitarbeitern, einem in der Praxis relativ häufigen Fall. Zudem ist vor Abschluss zu prüfen, welcher Schutz bereits über die konventionellen, vom Unternehmen unterhaltenen Versicherungen besteht.
Krisenreaktion (Detect)
Im Falle eines Cyber-Angriffs ist eine rasche Reaktion existentiell. Hier ist es wichtig, alle wesentlichen Schutzmaßnahmen, insbesondere zur Daten- und Beweissicherung und zur Verfolgung von Schadensersatzansprüchen, schnell zu ergreifen. Technischer Support ist entscheidend, aber nicht ausreichend. Wirklicher Schutz kann nur gelingen mit einem erfahrenen Partner, der nicht nur die konkrete Krisensituation vor Augen hat, sondern auch die langfristige Schadensminimierung durch Sicherung und Verfolgung von Ansprüchen. Auch bestehen im Angriffsfall vielfältige regulatorische Anforderungen, etwa Notifizierungspflichten, die wegen des drohenden Haftungsszenarios mindestens ebenso wichtig sind wie die Anspruchssicherung.
Meldepflichten für Betreiber kritischer Infrastruktur
Betreiber kritischer Infrastrukturen und digitaler Dienste haben IT-Störungen nach dem BSIG an das Bundesamt für Sicherheit in der Informationstechnik unverzüglich zu melden. Zudem existieren spezialgesetzliche Meldepflichten, so beispielsweise für Betreiber öffentlicher Telekommunikationsnetze und Erbringer öffentlich zugänglicher Telekommunikationsdienste, für Betreiber von Energieversorgungsnetzen und Energieanlagen und für Inhaber atomrechtlicher Genehmigungen.
Wir prüfen, ob Ihr Unternehmen zur Meldung der konkreten IT-Störung verpflichtet ist. Wir beraten und begleiten Sie bei der Meldung an das Bundesamt für Sicherheit in der Informationstechnik und andere staatliche Stellen und vertreten Ihr Unternehmen gegenüber den Aufsichtsbehörden. Sollte Ihr Unternehmen einer Meldepflicht nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig nachgekommen sein, so vertreten wir Ihre Interessen in dem Bußgeldverfahren gegenüber dem Bundesamt für Sicherheit in der Informationstechnik und anderen Aufsichtsbehörden wie z.B. der Bundesnetzagentur.
Betreiber kritischer Infrastrukturen, die gemäß der BSI-Kritisverordnung unter das BSI-Gesetz fallen, treffen besondere Notifizierungspflichten. Sie sind gesetzlich verpflichtet, erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer IT-Systeme, -Komponenten und -Prozesse (IT-Störung), die zu einem Ausfall oder einer Beeinträchtigung der von ihnen betriebenen kritischen Infrastrukturen führen könnten oder bereits geführt haben, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Eine Meldung ist beispielsweise immer dann erforderlich, wenn es bereits zu einem Ausfall oder zu einer Beeinträchtigung der betriebenen kritischen Infrastruktur gekommen ist. Ist ein Ausfall oder eine Beeinträchtigung zwar möglich, aber (noch) nicht eingetreten, so kann eine Meldung im Einzelfall dennoch erforderlich sein, wenn es sich z.B. um eine außergewöhnliche IT-Störung handelt. Die Erstmeldung muss unverzüglich erfolgen – hier gilt daher ausnahmsweise der Grundsatz: Schnelligkeit vor Vollständigkeit. Kommt das Unternehmen diesen Verpflichtungen nicht nach, drohen Bußgelder und ggf. weitere behördliche Maßnahmen.
Begleitung technischer Unterstützung
Eine Absicherung Ihres Unternehmens gegen Cyberabgriffe wird immer die Unterstützung durch technische Experten erfordern. Hier zählt oft jede Sekunde, sodass idealerweise schon im Vorfeld im Rahmen eines Notfallplans die Möglichkeit technischer Unterstützung geprüft wurde. Auch wenn das nicht geschehen ist, unterstützen wir bei der raschen und maßgeschneiderten Auswahl technischer Dienstleister.
Datenschutzrechtliche Notifikationspflichten
Nach einem Cyberangriff muss das Unternehmen unverzüglich – im Regelfall binnen 72 Stunden – prüfen, ob und wem der Vorfall gemeldet werden muss und den Angriff ggf. innerhalb vorgenannter Frist den zuständigen Behörden mitteilen.
Eine solche Notifikationspflicht ergibt sich regelmäßig aus den geltenden Datenschutzgesetzen, beispielsweise aus der EU-Datenschutzgrundverordnung (DSGVO). Für einzelne Branchen bestehen zudem Meldepflichten aufgrund von Spezialgesetzen (z.B. für Betreiber kritischer Infrastrukturen).
Letztlich muss das Unternehmen auch stets damit rechnen, dass ein Cyberangriff, insbesondere wenn personenbezogenen Daten von Verbrauchern betroffen sind, schnell in der Öffentlichkeit bekannt werden kann. Eine proaktive Bekanntgabe kann daher aus Reputationsgründen der richtige Schritt sein. Wir unterstützen bei der Bewertung der Notifizierungspflichten und ggf. bei deren Umsetzung.
Strafverfolgung und Einfrieren von Vermögenswerten
Im Falle eines endeckten Angriffs muss es schnell gehen. Hier geht es dann vor allem darum, möglichst rasch Beweise zu sichern, verlorene Daten zurückzuerhalten und Ansprüche gegen die Schädiger oder Dritte durchzusetzen und zu sichern.
Die meisten Angriffe stellen nach deutschem Recht Straftaten dar. So können Denial of Service-Attacken strafbar sein als Computersabotage nach § 303b Abs. 1 Nr. 2 StGB bzw. als Datenveränderung nach § 303a Abs. 1 StGB, Hacking als Ausspähen von Daten nach § 202a StGB, Malware wie Trojaner und Ransomware können ebenfalls als Ausspähen von Daten nach § 202a StGB, als Datenveränderung nach § 303a StGB, Computersabotage nach § 303b StGB oder als Erpressung nach § 253 StGB strafbar sein. In diesen Fällen bietet sich Unterstützung durch die Strafverfolgungsbehörden an. So haben die meisten Bundesländern, darunter Nordrhein-Westfalen, Bayern, Baden-Württemberg oder Hessen, inzwischen Schwerpunktstaatsanwaltschaft und eigene Einheiten bei den Landeskriminalämtern gebildet. Diese Einheiten besitzen große Erfahrung bei Cyber-Angriffen und können im Rahmen von Ermittlungsverfahren schnell und trotzdem behutsam eingreifen, also die Arbeitsfähigkeit der IT des Unternehmens weiterhin gewährleisten.
Wir stehen in engem Austausch mit entsprechenden Ermittlungsbehörden und können in dem Fall eines Angriffs beurteilen, ob deren Inanspruchnahme sinnvoll ist. In einem solchen Fall begleiten wir das Strafverfahren, um die Interessen des geschädigten Unternehmens bestmöglich sichern und durchsetzen zu können.
Versicherungsrechtliche Obliegenheiten
Hat das Unternehmen eine Versicherung abgeschlossen, die durch den Cyberangriff eingetretene Schäden decken soll, muss es während der Laufzeit der Versicherung und insbesondere im Versicherungsfall versicherungsrechtliche Obliegenheiten erfüllen. Typischerweise hat das Unternehmen dem Versicherer einen Cyberangriff unverzüglich anzuzeigen, nachdem ein solcher dem Unternehmen bekannt geworden ist.
Hier steht das Unternehmen im Krisenfall vor der Herausforderung, den Versicherer zutreffend und umfassend über alle Tatsachen zu informieren, die für die Beurteilung des Schadensfalls und der rechtlichen Implikationen notwendig sind. Dazu muss das Unternehmen oftmals binnen einer Woche z.B. auch alle Tatsachen anzeigen, die seine Verantwortung gegenüber einem Dritten zur Folge haben könnten, also versicherte Haftpflichtansprüche auslösen könnten. Aufgrund der Komplexität besteht insbesondere die Gefahr, dass das Unternehmen potentielle Haftungsrisiken gegenüber Geschäftspartnern und Dritten dem Versicherer nicht meldet, weil es sie nicht erkennt. Liegt aber eine Obliegenheitsverletzung vor, kann sich der Versicherer von seiner Leistungsverpflichtung gänzlich oder zum Teil freisprechen – je nach dem Grad des Verschuldens des Versicherten.
Wertpapierhandelsrechtliche Publizität und Krisen-PR
Soweit das von einem Cyberangriff betroffene Unternehmen börsennotiert ist, hat es einen Cyberangriff unverzüglich zu melden, soweit der Angriff eine Insiderinformation darstellt. Zur Vermeidung weiterer Schäden wie einer Schadensersatzpflicht aus § 97 WpHG ist eine unverzügliche Information des Kapitalmarkts erforderlich. Der Emittent hat daher organisatorische Maßnahmen zu treffen, um eine notwendige Veröffentlichung unverzüglich herbeizuführen. Ein Aufschub der Veröffentlichung ist nur innerhalb enger Grenzen zulässig. Ein Verstoß kann auch mit einem Bußgeld durch die BaFin sanktioniert werden und bei vorsätzlichen Verstößen sogar die persönliche Haftung des Vorstands nach § 826 BGB zur Folge haben. Sollte der Angriff öffentlich werden oder die Möglichkeit bestehen, dass er öffentlich bekannt wird, droht ein erheblicher Reputationsverlust. Deswegen sollte frühzeitig über Krisenkommunikation gegenüber Kunden und der Öffentlichkeit nachgedacht werden. Wir unterstützen bei der Gestaltung einer Kommunikations- und PR-Strategie
Anspruchsverfolgung (Respond)
Die rasche Daten- und Anspruchssicherung ist natürlich nur dann sinnvoll, wenn Ansprüche gegen die Schädiger oder gegen Dritte auch verfolgt und Ansprüche anderer Beteiligter, insbesondere Kunden, wirksam abgewehrt werden. Wir unterstützen Sie auch langfristig bei der Sicherung und Rückgewinnung von Vermögenswerten durch zivilrechtliche Prozessführung, strafrechtliche Begleitung und versicherungsrechtliche Beratung. Die Krisenreaktion ist dafür nur ein erster Schritt, denn häufig werden die Schäden nicht von den eigentlichen Angreifern kompensiert werden können. Damit endet die Prüfung von Ansprüchen allerdings nicht. So sind Ansprüche gegen Dienstleister, Versicherer und Organe möglich. Hinzu kommt häufig die Notwendigkeit, sich gegen Ansprüche Dritter verteidigen zu müssen.
Geltendmachung von Ansprüchen gegen Beteiligte
Eine zentrale Rolle nach einem Cyberangriff spielen die Identifizierung und die Verfolgung von Ansprüchen des angegriffenen Unternehmens gegen den oder die Schädiger. Dabei kann es sich um externe oder interne Schädiger handeln. Gegen externe Schädiger kommen vor allem deliktische Ansprüche in Betracht, die aber in der Praxis letztlich fast nur bei dem sogenannten „CEO-Fraud“ erfolgreich durchgesetzt werden können. Bei internen Schädigern – z.B. Mitarbeitern ‑ können ggf. vertragliche Ansprüche geltend gemacht werden. In der Praxis relevant sind Kombinationen von internen und externen Schädiger, wenn der Angriff (ungewollt oder gewollt) durch Mitarbeiter oder eingeschleuste Hilfspersonen ermöglicht wird. Ein Unterfall dieser Fallgruppe sind Ansprüche gegen Arbeitnehmer des angegriffenen Unternehmens, die inzwischen in Ausnahmefällen sogar zu einer wirtschaftlich signifikanten Wiedergutmachung führten.
Die Verfolgung von Ansprüchen gegen den Schädiger gestaltet sich oft komplex, gerade bei Angriffen aus dem Ausland, und erfordert Erfahrungen im Bereich des internationalen Prozessrechts und der grenzüberschreitenden Beweisaufnahme. In diesem Zusammenhang kann auch die internationale Rechtshilfe oder Auskunftsersuchen über internationale Übereinkommen relevant werden.
In Betracht kommt schließlich die Haftung der Geschäftsleitung gemäß §§ 93 Abs. 2 AktG, 43 Abs. 2 GmbHG für die wirtschaftlichen Folgen eines Cyberangriffs. Die Inanspruchnahme der Geschäftsleitung und des dahinter stehenden in der Regel wirtschaftlich leistungsstarken D&O-Versicherers liegt nahe, soweit der Schadensfall – wie häufig - nicht hinreichend über andere Versicherungen abgedeckt ist. Urteile sind zwar - soweit ersichtlich – noch nicht bekannt. In den USA sind allerdings die ersten Vergleiche in Managerhaftungsprozessen bekannt geworden.
Bisher sind Ausschlüsse in den D&O-Policen für Cyber-Sachverhalte nicht üblich. Daher sollten die Geschäftsleitungen präventiv ihrer Sorgfaltspflicht entsprechende Maßnahmen ergreifen. Die Maßnahmen hängen von der Sensibilität ihrer Unternehmen ab. Soweit Betreiber kritischer Infrastrukturen betroffen sind, bestehen detaillierte Vorgaben. Aber auch andere Unternehmen werden sich in abgestufter Form an diesen Leitlinien orientieren müssen, damit ihre Geschäftsleitung sich nicht den Vorwurf sorgfaltspflichtwidriger Organisation machen lassen muss. Wesentlich ist für die Geschäftsleitung, dass diese Aufgabe – wieder abhängig von der möglichen Betroffenheit durch Cyberangriffe – zu den Leitungspflichten zählen dürfte, die in ihrem Kerngehalt nicht delegierbar ist. Ein Versäumnis beträfe also nicht den für Informationstechnik zuständigen Vorstand oder Geschäftsführer, sondern das Gremium als Ganzes.
Strafrechtliche Vermögensabschöpfung und -rückführung
Die Neuregelung des Rechts der strafrechtlichen Vermögensabschöpfung sieht nicht nur eine Pflicht der Strafverfolgungsbehörden vor, möglichst schon zu Beginn eines Ermittlungsverfahrens Vermögenswerte zu sichern. Es enthält auch weitgehende Erleichterungen für den Verletzten, aus dem so gesicherten Vermögenswerten Entschädigung zu erhalten. Insbesondere entfällt die Notwendigkeit einer zivilrechtlichen Anspruchsdurchsetzung, wenn sich bereits aus dem strafrechtlichen Urteil und der Einziehung ergibt, dass ein Anspruch des Verletzten besteht.
Wir prüfen und bewerten für Sie, ob eine Anspruchssicherung und -durchsetzung mit Hilfe strafrechtlicher Verfahrensregelungen sinnvoll ist und ob ein solcher Weg isoliert oder flankierend zur zivilrechtlichen Ansprüchen angezeigt ist. Auch können die Erkenntnisse der Ermittlungsbehörden zur Anspruchsdurchsetzung auf zivilrechtlichem Wege genutzt werden, nicht allein gegen die Schädiger, sondern auch gegen Dritte, beispielsweise involvierte Dienstleister oder Kreditinstitute.
Verfolgung von Ansprüchen gegen Dienstleister
Zusätzlich zu Ansprüchen gegen den Schädiger selbst kommen vertragliche oder deliktische Schadensersatzansprüche des angegriffenen Unternehmens gegen Dienstleister in Betracht, falls die im angegriffenen Unternehmen verwendete Software nicht dem Stand von Wissenschaft und Technik entspricht oder Sicherheitslücken aufweist. In den Umlauf gebrachte Software, die ein Unternehmen zum Schutz vor Cyberangriffen erworben und implementiert hat, muss beim Inverkehrbringen dem Stand von Wissenschaft und Technik entsprochen haben; vor aufgetretenen Sicherheitslücken muss gewarnt oder die Lücken müssen ggf. sogar durch Updates geschlossen werden. In diesem Zusammenhang sind die Produktbeobachtungspflichten von Herstellern in der Praxis relevant, da Sicherheitssoftware kontinuierlich aktualisiert werden muss, um mit der Weiterentwicklung der potentiellen Schadsoftware Schritt zu halten. Anerkannte Marktstandards können als Maßstab herangezogen werden, um zu beurteilen, ob am IT-Produkt Beteiligte ihren Pflichten ordnungsgemäß nachgekommen sind.
Einen wichtiger Teil der Schadenskompensation ist die zeitnahe und formwahrende Geltendmachung von Versicherungsleistungen aus den bestehenden Betriebshaftpflicht-, Sach- und Cyberversicherungen. Dies kann im Einzelfall eine umfangreiche Aufarbeitung und Zusammenstellung des Sachverhalts erfordern und die rechtliche Prüfung, welche konkreten Schäden unter welchem jeweiligen Versicherungsprodukt versichert sind bzw. zweckmäßigerweise auch geltend gemacht werden sollten. Oft bieten Versicherer teils überdeckenden Schutz gleicher oder ähnlicher Gefahren in unterschiedlicher Versicherungssparten an. Unternehmen sollten daher bereits vor der Geltendmachung von Versicherungsansprüchen sorgfältig prüfen, welche Schäden und in welchem Umfang geltend gemacht werden sollten.
Verteidigung gegen Kundenansprüche
Ein erfolgreicher Cyberangriff kann nicht nur Auswirkungen auf das betroffene Unternehmen, sondern auch Auswirkungen auf die Kunden dieses Unternehmens haben. Dies kann Schadensersatzansprüche des Kunden gegen das Unternehmen auslösen.
Wir vertreten Ihr Unternehmen außergerichtlich und gerichtlich zur Abwehr von Kundenansprüchen. Zur Aufarbeitung des Sachverhalts und zur Sicherung von Beweisen in gerichtsverwertbarer Form führen wir – falls erforderlich – Internal Investigations durch. Wir entwickeln mit Ihnen eine Strategie als Reaktion auf (befürchtete) Kundenbeschwerden. Unsere Expertise erfasst Alternative Dispute Resolution, Gerichtsverfahren vor staatlichen Gerichten, Schiedsverfahren, die Führung und Steuerung von Massenverfahren, die Führung von Großverfahren und den kollektiven Rechtsschutz wie (die Abwehr von) Musterfeststellungsklagen.
Datenschutz Top-Risiko für Unternehmen - Neue Studie zum Krisenmanagement
Cyber Risks: News
Am 30.07.2019 ist bekannt geworden, dass eine Hackerin bei der US-Bank Capital One Millionen von sensiblen Kundendaten gestohlen hat. Bei diesem Cyberangriff sind gemäß Pressemitteilung der Bank überwiegend personenbezogene Daten entwendet worden, die in Kreditkartenanträgen enthalten waren. Die Bank teilte auch mit, dass sie Mehrkosten von etwa USD 100 Mio. bis USD 150 Mio. wegen des Cyberangriffs allein in 2019 erwarte.
Website-Betreiber müssen gemeinsam mit Facebook datenschutzrechtliche Verantwortung übernehmen, wenn sie auf ihren Websites den Facebook "Like"/„Gefällt Mir“-Button einbinden
Cybersecurity Act tritt in Kraft
Am 28. Juni 2019 trat der Rechtsakt zur Cybersicherheit als unmittelbar innerhalb der EU geltende Verordnung (EU) 2019/881 in Kraft. Diese Verordnung soll maßgeblich dazu beitragen, dass IT-Produkte, -Dienste und -Prozesse künftig bereits in ihrer Entwicklung Anforderungen an die Cybersicherheit berücksichtigen und umsetzen.
CyberRisk-Team
Checkliste CyberRisks
Checkliste Cyberangriff
Aktuelle Veranstaltungen sind:
Litigation Day, 28.11.2019
Seminar Forum Institut, 13.11.2019
Cyber Symposium Münster, 26.09.2019

References: § 8
 § 303
 § 303
 § 202
 § 202
 § 303
 § 303
 § 253
 § 97
 § 826