Source: https://www.security-insider.de/meldepflicht-und-haftungsrisiken-bei-cyber-angriffen-a-543157/
Timestamp: 2018-11-19 17:43:05
Document Index: 19553919

Matched Legal Cases: ['§ 42', '§ 42', '§ 15', '§ 42', 'Art. 79', '§ 7', '§ 823']

02.08.16 | Autor / Redakteur: Simone Rosenthal* / Stephan Augsten
Bei Datenverlusten ist man als Unternehmen aufgrund verschiedener Gesetze in der Pflicht. (Bild: Brian Jackson - Fotolia.com)
IT-Sicherheit ist für Unternehmen in Zeiten der Digitalisierung unerlässlich. Jedoch werden die Anforderungen, die daran gestellt werden, zunehmend komplexer, da Cyber-Angriffe immer professioneller werden. Die wachsende Bedrohung durch Netzangriffe wird trotz prominenter Fälle in der jüngeren Vergangenheit von Unternehmen aber immer noch stark unterschätzt.
Fehlendes Wissen und die Scheu vor einem hohen finanziellen Aufwand sind zwei Aspekte, die hier ausschlaggebend sind. Letzteres ist allerdings eine Milchmädchenrechnung, denn im Ernstfall können betroffenen Unternehmen beträchtliche Imageschäden und hohe Bußgelder drohen.
Doch unter welchen Voraussetzungen wird ein Unternehmen meldepflichtig gegenüber Behörden, Kunden oder Mitarbeitern? Wann besteht Haftung auf Schadensersatz? Und können die Haftungsrisiken beispielsweise Geschäftspartnern gegenüber vertraglich eingeschränkt werden?
Was ist im Fall einer „Datenpanne“ zu beachten und welche Pflichten kommen auf das betroffene Unternehmen zu?
Um eine sogenannte „Datenpanne“ zu vermeiden, ist es unabdingbar, sich rechtzeitig mit der Gefährdungslage und den Möglichkeiten der Vorbeugung zu beschäftigen. Von einer Datenpanne ist die Rede, wenn man Opfer einer Cyberattacke geworden ist, bei der personenbezogene Daten durch unberechtigten Zugriff auf Datensammlungen betroffen sind.
Welche Arten von Cyberattacken gibt es aktuell?
Unter Beachtung einiger wichtiger Grundregeln und durch professionelle Beratung kann und sollte das Risiko „Netzangriff“ gesenkt und die dadurch drohenden Folgen vermieden werden. Denn Studien zufolge ist es nur eine Frage der Zeit, bis eine Cyber-Attacke das eigene Unternehmen trifft.
Mittelbare und unmittelbare Kosten entstehen insbesondere durch Identitäts- und Datendiebstahl, aber auch die Cyber-Erpressung. Ebenso nehmen gezielte Angriffe auf IT und Plattformen mit dem Ziel, diese lahmzulegen, stetig zu.
Die Arten und Vorgehensweisen für Netzattacken sind heute sehr breit gefächert, die prominentesten Varianten unter ihnen sind Spam-Mails, Phishing-Mails, Schadsoftware wie Mal- oder Junkware, Brute-Force-Angriffe, Drive-by-Exploits, DDoS-Attacken oder Ransomware.
Welche Vorkehrungen können getroffen werden?
Maßnahmen sind überwiegend auf technischer Ebene zu ergreifen. Spam-Filter sind inzwischen bereits Standard und erkennen den größten Teil fragwürdiger E-Mails. Brute-Force-Angriffe machen sich beispielsweise eine schlechte Passwortsicherheit zunutze, sodass hier ein besonderes Augenmerk darauf zu legen ist.
Doch auch der Faktor Mensch und dessen Sensibilisierung dürfen ebenso wenig vernachlässigt werden. Diese „Schwachstelle“ wird insbesondere beim sogenannten Social Engineering durch Phishing-Mails ausgenutzt. Bei Angriffen dieser Art versuchen Kriminelle, ihre Opfer dazu zu verleiten, selbständig eigene Daten preiszugeben, eigenhändig Malware auf ihrem System zu installieren oder Schutzmaßnahmen zu umgehen. Dabei gehen die Täter sehr geschickt vor, indem sie die Neugier und andere menschliche Schwächen ausnutzen, um so Zugriff auf sensible Daten zu erhalten.
Während diese in der Vergangenheit oftmals schon bei oberflächlicher Betrachtung durch fragwürdige Absender, schlechte deutsche Sprache oder sogar fremdsprachige Texte erkennbar waren, werden sie zunehmend origineller. Gute deutsche Grammatik, seriöse Absenderadressen und zum Teil eine persönliche Ansprache des Empfängers machen es schwer, eine Cyber-Attacke als solche rechtzeitig zu erkennen.
Unberechtigt ist ein solcher Zugriff immer dann, wenn der Betroffene nicht zugestimmt hat und der Zugriff nicht durch das BDSG oder sonstige Rechtsvorschriften erlaubt ist. Besonderes Augenmerk ist diesbezüglich auf die Meldepflichten zu legen.
Welche Meldepflichten ergeben sich?
a) Grundvorschrift zur Meldepflicht nach dem BDSG
Aus § 42a BDSG (Bundesdatenschutzgesetz) ergibt sich für Unternehmen die Meldepflicht, im Fall eines begründeten Verdachtes über den Verlust und den Zugriff auf Daten die Datenschutz-Aufsichtsbehörde und die Betroffenen zu informieren. Eine solche Benachrichtigung hat dabei sofort zu erfolgen.
Beachten sollte man, dass im Rahmen des § 42a BDSG allein der Verlust von Daten der entsprechenden Datenkategorien noch nicht zu einer Meldepflicht führt. Vielmehr wurde vom Gesetzgeber – als Korrektiv – zusätzlich das Erfordernis einer drohenden schwerwiegenden Beeinträchtigung der Rechte des Betroffenen als Folge des Verlustes eingefügt.
b) Informationspflichten nach dem Telemediengesetz
Auch Telemedienanbietern obliegen einer Meldepflicht. Sie wird in § 15a TMG (Telemediengesetz) geregelt. Die Bezeichnung Telemedienanbieter ist nach der Rechtsprechung weit zu verstehen, sodass in der Praxis jeder Webseitenbetreiber als solcher angesehen werden kann. Die sich daraus ergebenden Meldepflichten bestehen neben denen des BDSG, was häufig übersehen wird.
Besonders zu beachten ist diesbezüglich, dass es sich insofern nicht um besonders sensible Daten (Gesundheitsdaten, Religionszugehörigkeit, etc.) handeln muss. Es reicht bereits, wenn Bestands- oder Nutzungsdaten (Passwort, IP-Adresse, etc.) betroffen sind, sofern § 42a BDSG im Wege der Verweisung des Telemediengesetzes zur Anwendung kommt.
c) Meldepflicht nach der EU-DSGVO
Auch die kürzlich beschlossene DSGVO (Datenschutzgrundverordnung), welche mit einer Übergangszeit von zwei Jahren Ende Mai 2018 Anwendung finden wird, verpflichtet Unternehmen in Fällen von Datenschutzverletzungen zu einer Benachrichtigung der Behörden und Betroffenen. Hervorzuheben sind diesbezüglich die verschärften Bußgeldvorschriften.
Diese Bußgelder ergeben sich aus Art. 79 EU-DSGVO und können im Extremfall insbesondere für kleinere Unternehmen existenzgefährdend sein. So können die Aufsichtsbehörden Bußgelder bis zu 20 Millionen Euro oder vier Prozent des Jahresumsatzes verhängen, wobei das Bußgeld „in jedem Einzelfall wirksam, verhältnismäßig und abschreckend“ sein soll. Die Übergangszeit sollten Unternehmen nutzen, um sich mit den neuen Regelungen der Datenschutzgrundverordnung intensiv auseinander zu setzen und das Sicherheitsmanagement gegebenenfalls anzupassen.
Weitere Meldepflichten ergeben sich außerdem für Unternehmen aus dem Bereich der Telekommunikation aus dem Telekommunikationsgesetz (TKG).
Ob eine Meldepflicht nach dem BDSG, dem TMG oder der Datenschutzgrundverordnung vorliegt, ist allerdings stets im Einzelfall zu prüfen. Zudem sollte festgestellt werden, ob eine Informationspflicht der Betroffenen erforderlich ist. Da die Prüfung des Vorliegens einer Meldepflicht in Einzelfällen sehr komplex sein kann, sollte stets der Rat eines Juristen hinzugezogen werden. Denn bei Versäumnis von Meldepflichten bei deren Vorliegen kann es in den genannten Punkten zu hohen Bußgeldern der Datenschutzbehörden kommen.
Schadensersatzanspruch der Betroffenen und Haftung
Sofern sie schuldhaft, also vorsätzlich oder fahrlässig erfolgt, kann eine Datenpanne, also ein Verlust oder eine Offenbarung von Daten, einen Schadensersatzanspruch des Betroffenen nach §§ 7 f. BDSG und §§ 823 ff. BGB auslösen. Dieser ist – neben den bereits zuvor dargestellten bußgeldbewehrten Meldepflichtverletzungen – der zweite „schmerzhafte“ finanzielle Aspekt, der im Rahmen einer möglichen Datenpanne zu beachten ist.
Wenn das Unternehmen nun von einer Cyber-Attacke betroffen ist, gilt es mit allen Möglichkeiten den Vorwurf des Vorsatzes und der Fahrlässigkeit auszuräumen. Da das Unternehmen unter einer sog. Sorgfaltspflicht steht, hat es durch rechtskonformes Verhalten diese Sorgfalt nachzuweisen.
Nur so kann ein schuldhaftes Verhalten ausgeschlossen werden. Im Einzelnen bedeutet dies, dass das Unternehmen im konkreten Fall darlegen muss, dass die erforderlichen Maßnahmen getroffen wurden, um eine datenschutzkonforme Verarbeitung personenbezogener Daten zu ermöglichen.
Möglichkeit der Haftungsbeschränkung
Damit Unternehmen im Falle einer Datenpanne ihre eigene Haftung beschränken können, müssen sie die benannte Sorgfaltspflicht nachweisen. Das Unternehmen muss darlegen können, dass es trotz gesetzmäßigem und sorgfältigem Handeln den Verlust der Daten nicht hätte verhindern können.
Die getroffene Sorgfaltspflicht kann auch durch sog. ISO-Zertifizierungen sowie Audits nachgewiesen werden. Für die Frage, wie hoch der Aufwand hier sein sollte, ist darauf zu verweisen, dass für die notwendigen Sicherheitsvorkehrungen der IT-Systeme eine Investition von ca. zehn Prozent des Jahresumsatzes als angemessen verstanden wird.
Die Digitalisierung bringt neben neuen IT-Entwicklungen auch immer neue und vielseitigere Gefahren der Netzkriminalität mit sich: Daher muss und kann nur eine größtmögliche IT-Sicherheit das Ziel sein, um dieser Bedrohung entgegen zu treten.
Der erste Schritt ist es dabei für Unternehmen, dieses Risiko zu erkennen und sich diesem zu stellen. Komplett auszuschließen ist die Gefahr, Opfer einer Cyberattacke zu werden, leider nicht. Daher sollte man sich rechtzeitig mit ihren Gefahren, den Wegen der Vorbeugung sowie der Dringlichkeit einer Auseinandersetzung mit den notwendigen Meldepflichten für den Ernstfall befassen.
IT-Unternehmen sollten daher eine qualifizierte Beratung in Erwägung ziehen. So kann schon im Vorfeld die größtmögliche IT- und Datensicherheit gewährleistet werden, damit das Unternehmen auf den Fall der Fälle vorbereitet ist und den Möglichkeiten der Haftung, hohen Bußgeldern und drohenden Imageschäden entgehen kann.
Simone Rosenthal (Bild: ISiCO Datenschutz GmbH)
Simone Rosenthal ist Partnerin bei Schürmann Wolschendorf Dreyer und hat sich als Expertin für Datenschutz, IT-Recht und Wettbewerbsrecht etabliert. Ihre Schwerpunkte liegen insbesondere in der nationalen und internationalen Vertragsgestaltung, der Beratung von Unternehmen der Neuen Medien und der Digitalwirtschaft in Fragen des IT- und Datenschutzrechts.
Neben ihrer anwaltlichen Tätigkeit ist sie als Geschäftsführerin der ISiCO Datenschutz GmbH tätig, einem Unternehmen, das Analyse, Auditierung, Beratung und Mitarbeiterschulung in den Bereichen Datenschutz, Datenschutz-Compliance und IT-Sicherheit anbietet. Darüber hinaus arbeitet sie als Dozentin an der deutschen Presseakademie und der Hochschule für Technik und Wirtschaft Berlin.
Unternehmen und Gesetze zur IT-Sicherheit NIS-Richtlinie, IT-Sicherheitsgesetz und die Folgen
Datenschutz und Datenanalyse Scoring und die DSGVO
Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44184268 / Compliance und Datenschutz )
AdobeStock_166421308; ©AndSus_AdobeStock_216253518; Brian Jackson - Fotolia.com; ISiCO Datenschutz GmbH; Pixabay; kebox - stock.adobe.com; Bild: Archiv; geralt - Pixabay; pichetw - Fotolia.com; Varonis Systems (Deutschland) GmbH; Vogel IT-Medien; Zerto; Vogel IT;