Source: https://www.noerr.com/de/landingpages/noerr-cyber-risks/noerr-cyber-risks-detect
Timestamp: 2019-05-20 05:17:48
Document Index: 327050793

Matched Legal Cases: ['§ 303', '§ 303', '§ 202', '§ 202', '§ 303', '§ 303', '§ 253', '§ 97', '§ 826']

DETECT - Noerr LLP
Noerr Noerr Cyber Risks Noerr-Cyber-risks-detect
Noerr Cyber Risks: Detect
Im Falle eines Cyber-Angriffs ist rasche Reaktion existentiell. Hier ist es wichtig, alle wesentlichen Schutzmaßnahmen, insbesondere zur Daten- und Beweissicherung und zur Verfolgung von Schadensersatzansprüchen, schnell zu ergreifen. Hier ist technischer Support entscheidend, aber nicht ausreichend. Wirklicher Schutz kann nur gelingen mit einem erfahrenen Partner, der nicht nur die konkrete Krisensituation vor Augen hat, sondern auch die langfristige Schadensminimierung durch Sicherung und Verfolgung von Ansprüchen. Auch bestehen im Angriffsfall vielfältige regulatorische Anforderungen, etwa Notifizierungspflichten, die wegen des drohenden Haftungsszenarios mindestens ebenso wichtig sind wie die Anspruchssicherung. Neben besonderen Anforderungen für Betreiber kritischer Infrastruktur, digitaler Dienste oder für Unternehmen in regulierten Industrien ist hier insbesondere die Prüfung einer Zusammenarbeit mit Strafverfolgungsbehörden, etwaige Notifizierungspflichten für KRITIS-Unternehmen oder aus dem allgemeinen Datenschutzrecht sowie Publizitätspflichten für börsennotierte Unternehmen hervorzuheben.
Wir unterstützen Sie durch unsere schnelle Reaktionsgruppe, die eine ganzheitliche Expertise zu allen rechtlichen Fragen, die sich im Zuge eines Cyber-Angriffs stellen, vereint. Das sind insbesondere die Folgenden:
Eine Absicherung Ihres Unternehmens gegen Cyberabgriffe wird immer die Unterstützung durch technische Experten erfordern. Hier zählt oft jede Sekunde. Wir unterstützen bei der raschen und maßgeschneiderten Auswahl technischer Dienstleister.
Die Inanspruchnahme dieser Dienstleistungen hat eine Reihe von juristischen Implikationen, die von Anfang an berücksichtigt werden müssen, damit sie nicht später zu Stolperfallen werden. Zum einen ist schon die Vertragsgestaltung mit den entsprechenden technischen Dienstleistern durchaus juristisch komplex. Hierbei gilt es z.B. datenschutzrechtliche und haftungsrechtliche Aspekte bestmöglich zu regeln. Auch im Hinblick auf Laufzeiten, Kündigungsmöglichkeiten und Gewährleistungsansprüche sind die Besonderheiten des sensiblen Bereichs Cyberangriffe zu berücksichtigen. Für eine umfassende Absicherung vor Cyberangriffen ist es zudem zwingend notwendig sicherzustellen, dass die technischen Maßnahmen mit den rechtlichen Anforderungen korrespondieren. Dabei ist insbesondere darauf zu achten, dass nicht nur die unmittelbar IT-bezogenen Vorschriften berücksichtigt werden, sondern auch ggf. produkt- oder dienstleistungsbezogene Vorschriften für das Business Ihres Unternehmens vollumfänglich eingehalten werden.
Im Falle eines endeckten Angriffs muss es schnell gehen. Hier geht es dann vor allem darum, möglichst rasch Beweise zu sichern, verlorene Daten zurückzuerhalten und wirtschaftliche Ansprüche gegen die Schädiger oder Dritte durchzusetzen und zu sichern.
Die meisten Angriffe stellen nach deutschem Recht Straftaten dar. So können Denial of Service-Attacken strafbar sein als Computersabotage nach § 303b Abs. 1 Nr. 2 StGB bzw. als Datenveränderung nach § 303a Abs. 1 StGB, Hacking als Ausspähen von Daten nach § 202a StGB, Malware wie Trojaner und Ransomware können ebenfalls als Ausspähen von Daten nach § 202a StGB, als Datenveränderung nach § 303a StGB, Computersabotage nach § 303b StGB oder als Erpressung nach § 253 StGB strafbar sein. In diesen Fällen bietet sich Unterstützung durch die Strafverfolgungsbehörden an. So haben inzwischen die meisten Bundesländern, darunter Nordrhein-Westfalen, Bayern, Baden-Württemberg oder Hessen, Schwerpunktstaatsanwaltschaft und eigene Einheiten bei den Landeskriminalämtern gebildet, die technisch ausgebildet sind, große Erfahrung bei Cyber-Angriffen besitzen und die im Rahmen von Ermittlungsverfahren schnell und trotzdem behutsam eingreifen, also die Arbeitsfähigkeit der IT des Unternehmens weiterhin gewährleisten.
Zudem bietet das deutsche Strafverfahrensrecht seit 2017 sehr viel schneidigere Möglichkeiten der Anspruchssicherung und –durchsetzung, als das nach altem Rech der Fall war. Staatsanwaltschaften sind nunmehr im Ermittlungsverfahren weitgehend verpflichtet Vermögenswerte schon frühzeitig einzufrieren. Der Zugriff auf so gesicherte Vermögenswerte für den Geschädigten ist deutlich erleichtert worden.
Wir stehen in engem Austausch mit entsprechenden Ermittlungsbehörden und können in dem Fall eines Angriffs beurteilen, ob deren Inanspruchnahme angezeigt ist. In einem solchen Fall begleiten wir das Strafverfahren, um die Interessen des geschädigten Unternehmens bestmöglich sichern und durchsetzen zu können.
Nach Eintritt eines erfolgreichen Cyberangriffs muss das Unternehmen unverzüglich – im Regelfall binnen 72 Stunden – prüfen, ob und wem der Vorfall gemeldet werden muss und den Angriff ggf. innerhalb vorgenannter Frist den zuständigen Behörden mitteilen.
Eine solche Notifikationspflicht ergibt sich regelmäßig aus den geltenden Datenschutzgesetzen, beispielsweise aus der EU-Datenschutzgrundverordnung (DS-GVO). Für einzelne Branchen bestehen zudem Meldepflichten aufgrund von Spezialgesetzen (z.B. für Betreiber Kritischer Infrastrukturen).
Letztlich muss das Unternehmen auch stets damit rechnen, dass ein Cyberangriff, insbesondere wenn personenbezogenen Daten von Verbrauchern betroffen sind, schnell in der Öffentlichkeit bekannt werden kann. Eine proaktive Bekanntgabe kann daher – in gegebenenfalls enger Abstimmung mit beauftragten Dienstleistern für strategische Rechtskommunikation – aus Reputationsgründen und zur Minimierung potenzieller weiterer Schäden der richtige Schritt sein. Wir unterstützen bei der Bewertung der Notifizierungspflichten und ggf. bei deren Umsetzung.
Meldepflichten für Betreiber kritischer
Betreiber Kritischer Infrastrukturen, die gemäß der BSI-KRITIS-Verordnung unter das BSI-Gesetz fallen, treffen besondere Notifizierungspflichten. Sie sind gesetzlich verpflichtet, erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer IT-Systeme, -Komponenten und -Prozesse (IT-Störung), die zu einem Ausfall oder einer Beeinträchtigung der von ihnen betriebenen Kritischen Infrastrukturen führen könnten oder bereits geführt haben, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Eine Meldung ist beispielsweise immer dann erforderlich, wenn es bereits zu einem Ausfall oder zu einer Beeinträchtigung der betriebenen Kritischen Infrastruktur gekommen ist. Ist ein Ausfall oder eine Beeinträchtigung zwar möglich, aber (noch) nicht eingetreten, so kann eine Meldung im Einzelfall dennoch erforderlich sein, wenn es sich z.B. um eine außergewöhnliche IT-Störung handelt. Die Erstmeldung muss unverzüglich erfolgen – hier gilt daher ausnahmsweise der Grundsatz: Schnelligkeit vor Vollständigkeit. Kommt das Unternehmen diesen Verpflichtungen nicht nach, drohen Bußgelder und ggf. weitere behördliche Maßnahmen.
Hat das Unternehmen eine Cyberversicherung abgeschlossen, muss es während der Laufzeit der Versicherung und insbesondere im Versicherungsfall bestimmte versicherungsvertragliche Verhaltenspflichten erfüllen, die sogenannten versicherungsrechtlichen Obliegenheiten. Diese sind zu beachten, damit der Versicherungsschutz erhalten bleibt. Typischerweise hat das Unternehmen dem Versicherer einen Cyberangriff unverzüglich anzuzeigen, nachdem ein solcher dem Unternehmen bekannt geworden ist.
Hier steht das Unternehmen im Krisenfall vor der Herausforderung, den Versicherer zutreffend und umfassend über alle Tatsachen zu informieren, die für die Beurteilung des Schadensfalls und der rechtlichen Implikationen notwendig sind. Dazu muss das Unternehmen oftmals binnen spätestens einer Woche z.B. auch alle Tatsachen anzeigen, die seine Verantwortung gegenüber einem Dritten zur Folge haben könnten, also versicherte Haftpflichtansprüche auslösen könnten. Aufgrund der Komplexität besteht insbesondere die Gefahr, dass das Unternehmen potentielle Haftungsrisiken gegenüber Geschäftspartnern und Dritten dem Versicherer nicht meldet, weil es sie nicht erkennt. Liegt eine Obliegenheitsverletzung vor, kann sich der Versicherer von seiner Leistungsverpflichtung gänzlich oder zum Teil freisprechen – je nach dem Grad des Verschuldens des Versicherten.
Soweit das von einem Cyberangriff betroffene Unternehmen börsennotiert ist, hat es einen Cyberangriff unverzüglich zu melden, soweit der Angriff eine Insiderinformation darstellt. Insiderinformationen sind gemäß Marktmissbrauchsverordnung (MMVO) nicht öffentlich bekannte präzise Informationen, die direkt oder indirekt einen Emittenten betreffen und die, wenn sie öffentlich bekannt würden, geeignet wären, den Kurs dieser Finanzinstrumente erheblich zu beeinflussen. Bei Angriffen beispielsweise auf Yahoo oder Equifax war zu sehen, dass die Angriffe deutliche Auswirkungen auf die jeweiligen Kurse hatten. Zur Vermeidung weiterer Schäden wie einer Schadensersatzpflicht aus § 97 WpHG ist eine unverzügliche Information des Kapitalmarkts erforderlich. Der Emittent hat daher organisatorische Maßnahmen zu treffen, um eine notwendige Veröffentlichung unverzüglich herbeizuführen. Ein Aufschub der Veröffentlichung ist nur innerhalb enger Grenzen zulässig. Ein Verstoß kann auch mit einem Bußgeld durch die BaFin sanktioniert werden und bei vorsätzlichen Verstößen sogar die persönliche Haftung des Vorstands nach § 826 BGB zur Folge haben. In dem Zusammenhang stehen auch andere Veröffentlichungspflichten wie Notifikationspflichten gemäß DS-GVO.
Eine geordnete Kommunikation des Kapitalmarkts, der zuständigen Aufsichtsbehörden und auch von Kunden und Lieferanten durch professionelle Krisen-PR ist daher im Falle eines Cyberangriffs dringend geboten. Letztere Pflichten gelten auch für nicht börsengelistete Unternehmen. Der richtige Zeitpunkt der Kommunikation ist dann im Unternehmen festzulegen. Es sollten durch verfrühte Information auch keine unvollständigen oder falschen Informationen herausgegeben werden. Hier ist die Abstimmung von IT-Experten mit Krisen-Kommunikatoren wichtig.