- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Ransomware-Attacken und Anzeigepflicht


Juristischer Spickzettel in Sachen Ransomware
Ist eine Datenschutzverletzung entdeckt worden, sind insbesondere die Firmenjuristen, die IT-Abteilung und die Unternehmenskommunikation gefragt

- Anzeigen -





Von Andy Green, Varonis

In vielerlei Hinsicht unterscheiden sich die Reaktionen auf eine Ransomware-Attacke nicht grundlegend von dem, was grundsätzlich im Falle eines Datenschutzvorfalls zu tun ist. Kurzgefasst: jedes Unternehmen sollte einen Plan haben wie die Malware zu analysieren und zu isolieren ist, um den Schaden zu begrenzen, laufende Geschäftsprozesse müssen gegebenenfalls wiederhergestellt und die entsprechenden Aufsichts- und Strafverfolgungsbehörden in Kenntnis gesetzt werden.

Dabei sollten die verschiedenen Abteilungen eines Unternehmens Hand in Hand arbeiten. Ist eine Datenschutzverletzung entdeckt worden, sind insbesondere die Firmenjuristen, die IT-Abteilung und die Unternehmenskommunikation gefragt. Gerade den juristisch und technisch Verantwortlichen kommt eine Schlüsselrolle zu, wenn es gilt den Schaden zu begrenzen und die vorgeschriebenen Maßnahmen zu ergreifen. Soweit so gut.

Ein bisschen anders verhält es sich aber mit Ransomware doch. Anders als bei anderen Angriffsszenarien informieren die Angreifer das Opfer über die Attacke. Sie erhalten eine "Ransom Note" genannte Nachricht. Dass etwas passiert ist und was, wird also sehr viel schneller aufgedeckt als in den meisten anderen Fällen, in denen es oft Monate, wenn nicht sogar Jahre dauert bis ein Datenschutzvorfall aufgedeckt werden kann. In den allermeisten Fällen von Ransomware belassen Hacker die betreffenden Daten auf den Systemen der Opfer, wenn auch natürlich verschlüsselt. In aller Regel muss man sich also nicht sofort um einen möglichen Verlust von Kreditkartennummern oder Kontodetails sorgen.

So betrachtet hat Ransomware ihre kleinen Vorteile. Ungeachtet dessen ist mit ihr allerdings eine nicht ganz unwichtige juristische Frage verbunden.
Jemand hat offensichtlich auf die Daten zugegriffen, aber sie nicht veröffentlicht oder weiter verwendet. Heißt das nun, dass ein betroffenes Unternehmen seine Kunden und die entsprechenden Behörden nicht informieren muss (wie es sonst in einigen US-Gesetzen und Vorschriften bereits verbindlich vorgeschrieben ist, ebenso in der 2018 in Kraft tretenden EU-Datenschutzgrundverordnung)? Keine ganz triviale Frage.

Lesen Sie zum Thema "Datenschutz und Compliance" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Um bei diesem Thema etwas mehr in die Tiefe gehen zu können haben wir zusätzlich ein White Paper verfasst, das sich unter anderem mit den Hintergründen der US- und EU-Datenschutzvorgaben befasst wie sie im Health Insurance PortabilityandAccessibilityAct (HIPAA), im Gramm-Leach-BlileyAct (GLBA), diversen Bundesgesetzenund den Gesetzen innerhalb der EU festgeschrieben sind. Das White Paper richtet sich dabei in erster Linie an all diejenigen, die im Falle einer Datenschutzverletzung auf den unterschiedlichen Ebenen darauf reagieren müssen.

Einige der wichtigsten Aspekte haben wir hier zusammengefasst.

Anzeigepflicht bei Ransomware?
Der entscheidende Punkt, den es zu verifizieren gilt ist, ob bei einem nicht autorisierten Zugriff eine Anzeigepflicht gegenüber den Kunden des Unternehmensbesteht. Und tatsächlich ist das ja was Ransomware genau tut: unautorisiert auf sensible PII-Daten zugreifen.

>> Gesundheitswesen – HIPAA schreibt allen sogenannten CoveredEntities (Krankenhäusern, Einrichtungen des Gesundheitswesens, Versicherern und so weiter) verbindlich vor sowohl Kunden/Verbraucher als auch die zuständigen Behörden zu informieren (in den USA das Department ofHealthand Human Services (HHS)) wenn jemand auf geschützte Gesundheitsinformationen (PHI-Daten) unautorisiert zugreifen konnte. Wenn es um die Anzeigepflicht bei Ransomware geht ist HIPAA eine der strengsten verbindlichen Regelungen überhaupt. Es gibt allerdings auch hier Ausnahmen von der Regel, die wir in unserem White Paper erläutern.

>> Banken und Darlehensgeber – Gemäß GLBA, setzt die Federal Trade Commission (FTC) Datenschutzregelungen für das Bank- und Finanzwesen im Rahmen der sogenannten Safeguards Rule durch. Aus Sicht der FTC beispielsweise ist es für eine Bank oder ein anderes Institut innerhalb des Finanzwesens im Falle von Ransomware (im Übrigen auch jeder anderen Malware) nicht zwingend vorgeschrieben, den Vorfall anzuzeigen. Allerdings empfiehlt die FTC es, Kunden in so einem Fall zu benachrichtigen. Vorgeschrieben ist es aber nicht.

>> Broker, Händler, Anlageberater – Die Securities and Exchange Commission (SEC) ist die in den USA zuständige Behörde für diese Gruppe von Investmentunternehmen. Im Rahmen von GBLAhat die SEC eine eigene verbindliche Regelung entwickelt die sogenannte Regulation S-P. Sie beinhaltet ein komplettes Programm, was bei einem Datenschutzvorfall genau zu tun ist. Von einer expliziten Anzeigepflicht ist nicht die Rede. Mit anderen Worten: Es ist vielleicht durchaus empfehlenswert seine Kunden in Kenntnis zu setzen, verpflichtend ist es nicht.

>> Investmentbanken, staatliche und private Geldinstitute – Für diese verbleibende Gruppe gibt es nicht nur in den USA eine ganze Reihe von Vorschriften und Branchenregularien. In diesem Fall ist von der sogenannten "affirmativen Pflicht" eines Unternehmens die Rede. Sie besagt, dass Unternehmen verpflichtet sind die Daten gegen einen unautorisierten Zugriff oder Gebrauch dieser Daten zu schützen haben. Die Anzeigepflicht ist Bestandteil dieser affirmativen Pflicht. Liest man etwas genauer, besagen die Regelungen aber auch, dass es einen nachweislichen Missbrauch der Daten gegeben haben muss. Ob die Verschlüsselung von Daten durch Ransomware nun einen solchen Missbrauch darstellt oder nicht, ist nicht ganz unumstritten. Ungeachtet dessen sehen die bestehenden Regelungen vor, dass innerhalb der Anzeigepflicht der Vorfall genau beschrieben werden muss, einschließlich dessen, welche Dateien genau betroffen sind.

>> Regelungen in den US-Bundesstaaten – Im Moment haben 48 Staaten in den USA Gesetze und Vorschriften, die die Anzeigepflicht von Datenschutzverstößen betreffen. Am Rande sei erwähnt, dass lediglich zwei Staaten, nämlich New Jersey und Connecticut, eine explizite Anzeigepflicht für einen alleinigen Zugriff auf Daten installiert haben. Sie würde ebenfalls für Ransomware greifen. Aber auch hier gibt es einige Details deren Lesart es Firmen unter bestimmten Umständen erlaubt die in ihrem Bundesstaat geltende Anzeigepflicht zu umgehen.

>> EU-Datenschutzgesetzgebung – Die bisher gültige Data Protection Directive (DPD) sieht noch keine zwingende Anzeigepflicht vor. Einige europäische Staaten, darunter auch Deutschland, haben die Anzeigepflicht allerdings in ihren nationalen Datenschutzgesetzen verankert. Für Internet Service Provider und Telekommunikationsunternehmen gelten mit der EU"e-Privacy Directive" ohnehin eigene Regelungen zur Anzeigepflicht bei Datenschutzverstößen. Innerhalb der neuen EU-Datenschutzgrundverordnung sieht das allerdings schon ein wenig anders aus. Das 2018 wirksam werdende Gesetz sieht eine Benachrichtigungspflicht innerhalb von 72 Stunden vor. Dabei muss der entsprechende Vorfall innerhalb dieser zeitlichen Vorgabe der jeweiligen lokalen "Data Protection Authority" (DPA) gemeldet werden. Verbraucher müssen dann benachrichtigt werden, wenn auf "persönliche Daten" zugegriffen wurde. Aber auch hier gibt es eine erwähnenswerte Einschränkung. Zunächst ist es wichtig zu unterscheiden, dass es im Hinblick auf den Geltungsbereich der Datenschutzgrundverordnung zwei unterschiedliche Grenzwerte zu beachten gilt: Eine Frist, innerhalb der potenziell betroffene Verbraucher benachrichtigt werden müssen und eine, die sich auf die Benachrichtigung der jeweiligen Data Protection Authority (DPA) bezieht.

Wenn bei einem Datenschutzvorfall persönliche, private Daten von Verbrauchern "wahrscheinlich betroffen" sind, müssen die Betroffenen davon in Kenntnis gesetzt werden. Dass persönliche Daten von Verbrauchern "wahrscheinlich betroffen" sind, es also ein potenzielles Risiko gibt, dass Rechte und Freiheiten eines Kunden potenziell betroffen sind, ist ein ziemlich weit gesteckter Rahmen. Spricht man mit Juristen, die sich insbesondere mit dem Thema Compliance befassen, gehören zu diesen persönlichen Daten all die Informationen anhand derer sich eine Person identifizieren lässt. Das sind beispielsweise E-Mail-Adressen, sämtliche IDs von Onlinekonten, aber auch IP-Adressen. Sie alle fallen unter die "wahrscheinlich betroffen"-Regelung. Wie es im speziellen Fall einer Ransomware-Attacke mit der Anzeigepflicht aussieht wird sehr eng mit den genauen Umständen des Einzelfalls zusammenhängen. Das ist einer der Punkte, an denen sicherlich noch Klärungsbedarf in Sachen EU-DSGVO besteht.

Im Lichte der verschiedenen US- und EU-Datenschutzvorgaben erscheint es allerdings mindestens als sehr empfehlenswert den Vorfall den entsprechenden Stellen und Strafverfolgungsbehörden anzuzeigen. (Varonis: ra)

eingetragen: 22.01.17
Home & Newsletterlauf: 01.02.17


Varonis: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Mehr wissen: Insider versus Algorithmus?

    Russische Hacker? Eher nicht. Nach Informationen des Nachrichtenmagazins Spiegel vermutet die Bundespolizei nach ihren Ermittlungen, dass im Bundestag möglicherweise ein sogenannter "Maulwurf" - also ein Insider - sitzt und die Daten aus dem Untersuchungsausschuss an die Enthüllungsplattform WikiLeaks weitergegeben hat. Nach Angaben von WikiLeaks sollen die rund 2.400 Dokumente zum NSA-Ausschuss aus verschiedenen Quellen stammen und nachweisen, dass die amerikanischen National Security Agency (NSA) und der BND zusammengearbeitet haben. Noch vor einigen Wochen hatte die "Frankfurter Allgemeine Sonntagszeitung" einen hohen Sicherheitsbeamten mit den Worten zitiert, "es gebe eine "hohe Plausibilität" dafür, dass die von WikiLeaks veröffentlichten Geheimakten beim Cyberangriff auf den Bundestag erbeutet wurden. Für den Angriff machten Sicherheitskreise russische Hacker verantwortlich."

  • Rohde & Schwarz Cybersecurity

    Cyber-Attacken nehmen zu, werden raffinierter und kosten Unternehmen inzwischen Milliarden. Herkömmliche Sicherheitskonzepte sind zunehmend machtlos. Die Digitalisierung vieler Branchen sowie die Themen Internet of Things und Industrie 4.0 verschärfen die Notwendigkeit nach wirksamen und praktikablen Sicherheitslösungen. Wer sich schützen will muss umdenken. 51 Milliarden Euro - so hoch ist laut Bitkom der Schaden, der deutschen Unternehmen durch Plagiate und den Verlust der Wettbewerbsfähigkeit in Folge von Cyber-Angriffen in einem einzigen Jahr entstanden ist. Cybercrime ist inzwischen ein lukratives Geschäftsmodell und in seiner finanziellen Dimension vergleichbar mit dem weltweiten Drogenhandel. Die Zahl der Angriffe steigt stetig - eine manuelle Bewältigung ist unmöglich. Volkswagen beispielsweise beziffert die Cyber-Attacken auf sein IT-Netz mit rund 6.000 pro Tag.

  • Code Signing-Attacken verhindern

    Das Certification Authority Security Council (CASC) hat seine neuen Minimum Requirements für öffentlich vertrauenswürdige Code- Signing-Zertifikate offiziell bekannt gegeben. Zum ersten Mal sind Zertifizierungsstellen (CAs) damit an eine Reihe von standardisierten Ausstellungs- und Managementrichtlinien gebunden, die speziell für das Code Signing entwickelt wurden. Die Requirements gehen ausführlich auf CA-Richtlinien ein und behandeln Themen wie Zertifikatinhalte, Widerruf- und Statusprüfungen, Verifizierungspraktiken und vieles mehr. Zertifizierungsstellen haben hinter den Kulissen schon recht eifrig daran gearbeitet das Anforderungsprofil umzusetzen. Was aber heißt das für die Benutzer? Wir wollen einen Blick darauf werfen, welche Anforderungen die User betreffen, die überhaupt Zertifikate zum Signieren von Code benutzen.

  • Ransomware-Attacken und Anzeigepflicht

    In vielerlei Hinsicht unterscheiden sich die Reaktionen auf eine Ransomware-Attacke nicht grundlegend von dem, was grundsätzlich im Falle eines Datenschutzvorfalls zu tun ist. Kurzgefasst: jedes Unternehmen sollte einen Plan haben wie die Malware zu analysieren und zu isolieren ist, um den Schaden zu begrenzen, laufende Geschäftsprozesse müssen gegebenenfalls wiederhergestellt und die entsprechenden Aufsichts- und Strafverfolgungsbehörden in Kenntnis gesetzt werden. Dabei sollten die verschiedenen Abteilungen eines Unternehmens Hand in Hand arbeiten. Ist eine Datenschutzverletzung entdeckt worden, sind insbesondere die Firmenjuristen, die IT-Abteilung und die Unternehmenskommunikation gefragt. Gerade den juristisch und technisch Verantwortlichen kommt eine Schlüsselrolle zu, wenn es gilt den Schaden zu begrenzen und die vorgeschriebenen Maßnahmen zu ergreifen. Soweit so gut.

  • Bewusstsein für Cybersicherheitsfragen entwickeln

    Was haben das ukrainische Stromnetz, die Zentralbank von Bangladesch und die Welt-Antidoping-Agentur gemeinsam? Alle wurden in den vergangenen Monaten Opferhochkarätiger Cyberangriffe, die finanzielle Folgen wie auch Imageprobleme auslösten. Darüber hinaus kehrten 2016ältere Angriffsarten zurück, um Unternehmen erneut heimzusuchen: sowohl LinkedIn als auch Yahoo! erleben die Auswirkungen historischer Diebstähle Hunderter Millionen von Nutzernamen, Passwörtern und mehr. Wieder hatten es die Cyberkriminellen auf die Nutzerdaten abgesehen und wieder tauchten Datensätze auf einschlägig bekannten Plattformen im Darkweb auf.