- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Ransomware-Attacken und Anzeigepflicht


Juristischer Spickzettel in Sachen Ransomware
Ist eine Datenschutzverletzung entdeckt worden, sind insbesondere die Firmenjuristen, die IT-Abteilung und die Unternehmenskommunikation gefragt

- Anzeigen -





Von Andy Green, Varonis

In vielerlei Hinsicht unterscheiden sich die Reaktionen auf eine Ransomware-Attacke nicht grundlegend von dem, was grundsätzlich im Falle eines Datenschutzvorfalls zu tun ist. Kurzgefasst: jedes Unternehmen sollte einen Plan haben wie die Malware zu analysieren und zu isolieren ist, um den Schaden zu begrenzen, laufende Geschäftsprozesse müssen gegebenenfalls wiederhergestellt und die entsprechenden Aufsichts- und Strafverfolgungsbehörden in Kenntnis gesetzt werden.

Dabei sollten die verschiedenen Abteilungen eines Unternehmens Hand in Hand arbeiten. Ist eine Datenschutzverletzung entdeckt worden, sind insbesondere die Firmenjuristen, die IT-Abteilung und die Unternehmenskommunikation gefragt. Gerade den juristisch und technisch Verantwortlichen kommt eine Schlüsselrolle zu, wenn es gilt den Schaden zu begrenzen und die vorgeschriebenen Maßnahmen zu ergreifen. Soweit so gut.

Ein bisschen anders verhält es sich aber mit Ransomware doch. Anders als bei anderen Angriffsszenarien informieren die Angreifer das Opfer über die Attacke. Sie erhalten eine "Ransom Note" genannte Nachricht. Dass etwas passiert ist und was, wird also sehr viel schneller aufgedeckt als in den meisten anderen Fällen, in denen es oft Monate, wenn nicht sogar Jahre dauert bis ein Datenschutzvorfall aufgedeckt werden kann. In den allermeisten Fällen von Ransomware belassen Hacker die betreffenden Daten auf den Systemen der Opfer, wenn auch natürlich verschlüsselt. In aller Regel muss man sich also nicht sofort um einen möglichen Verlust von Kreditkartennummern oder Kontodetails sorgen.

So betrachtet hat Ransomware ihre kleinen Vorteile. Ungeachtet dessen ist mit ihr allerdings eine nicht ganz unwichtige juristische Frage verbunden.
Jemand hat offensichtlich auf die Daten zugegriffen, aber sie nicht veröffentlicht oder weiter verwendet. Heißt das nun, dass ein betroffenes Unternehmen seine Kunden und die entsprechenden Behörden nicht informieren muss (wie es sonst in einigen US-Gesetzen und Vorschriften bereits verbindlich vorgeschrieben ist, ebenso in der 2018 in Kraft tretenden EU-Datenschutzgrundverordnung)? Keine ganz triviale Frage.

Lesen Sie zum Thema "Datenschutz und Compliance" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Um bei diesem Thema etwas mehr in die Tiefe gehen zu können haben wir zusätzlich ein White Paper verfasst, das sich unter anderem mit den Hintergründen der US- und EU-Datenschutzvorgaben befasst wie sie im Health Insurance PortabilityandAccessibilityAct (HIPAA), im Gramm-Leach-BlileyAct (GLBA), diversen Bundesgesetzenund den Gesetzen innerhalb der EU festgeschrieben sind. Das White Paper richtet sich dabei in erster Linie an all diejenigen, die im Falle einer Datenschutzverletzung auf den unterschiedlichen Ebenen darauf reagieren müssen.

Einige der wichtigsten Aspekte haben wir hier zusammengefasst.

Anzeigepflicht bei Ransomware?
Der entscheidende Punkt, den es zu verifizieren gilt ist, ob bei einem nicht autorisierten Zugriff eine Anzeigepflicht gegenüber den Kunden des Unternehmensbesteht. Und tatsächlich ist das ja was Ransomware genau tut: unautorisiert auf sensible PII-Daten zugreifen.

>> Gesundheitswesen – HIPAA schreibt allen sogenannten CoveredEntities (Krankenhäusern, Einrichtungen des Gesundheitswesens, Versicherern und so weiter) verbindlich vor sowohl Kunden/Verbraucher als auch die zuständigen Behörden zu informieren (in den USA das Department ofHealthand Human Services (HHS)) wenn jemand auf geschützte Gesundheitsinformationen (PHI-Daten) unautorisiert zugreifen konnte. Wenn es um die Anzeigepflicht bei Ransomware geht ist HIPAA eine der strengsten verbindlichen Regelungen überhaupt. Es gibt allerdings auch hier Ausnahmen von der Regel, die wir in unserem White Paper erläutern.

>> Banken und Darlehensgeber – Gemäß GLBA, setzt die Federal Trade Commission (FTC) Datenschutzregelungen für das Bank- und Finanzwesen im Rahmen der sogenannten Safeguards Rule durch. Aus Sicht der FTC beispielsweise ist es für eine Bank oder ein anderes Institut innerhalb des Finanzwesens im Falle von Ransomware (im Übrigen auch jeder anderen Malware) nicht zwingend vorgeschrieben, den Vorfall anzuzeigen. Allerdings empfiehlt die FTC es, Kunden in so einem Fall zu benachrichtigen. Vorgeschrieben ist es aber nicht.

>> Broker, Händler, Anlageberater – Die Securities and Exchange Commission (SEC) ist die in den USA zuständige Behörde für diese Gruppe von Investmentunternehmen. Im Rahmen von GBLAhat die SEC eine eigene verbindliche Regelung entwickelt die sogenannte Regulation S-P. Sie beinhaltet ein komplettes Programm, was bei einem Datenschutzvorfall genau zu tun ist. Von einer expliziten Anzeigepflicht ist nicht die Rede. Mit anderen Worten: Es ist vielleicht durchaus empfehlenswert seine Kunden in Kenntnis zu setzen, verpflichtend ist es nicht.

>> Investmentbanken, staatliche und private Geldinstitute – Für diese verbleibende Gruppe gibt es nicht nur in den USA eine ganze Reihe von Vorschriften und Branchenregularien. In diesem Fall ist von der sogenannten "affirmativen Pflicht" eines Unternehmens die Rede. Sie besagt, dass Unternehmen verpflichtet sind die Daten gegen einen unautorisierten Zugriff oder Gebrauch dieser Daten zu schützen haben. Die Anzeigepflicht ist Bestandteil dieser affirmativen Pflicht. Liest man etwas genauer, besagen die Regelungen aber auch, dass es einen nachweislichen Missbrauch der Daten gegeben haben muss. Ob die Verschlüsselung von Daten durch Ransomware nun einen solchen Missbrauch darstellt oder nicht, ist nicht ganz unumstritten. Ungeachtet dessen sehen die bestehenden Regelungen vor, dass innerhalb der Anzeigepflicht der Vorfall genau beschrieben werden muss, einschließlich dessen, welche Dateien genau betroffen sind.

>> Regelungen in den US-Bundesstaaten – Im Moment haben 48 Staaten in den USA Gesetze und Vorschriften, die die Anzeigepflicht von Datenschutzverstößen betreffen. Am Rande sei erwähnt, dass lediglich zwei Staaten, nämlich New Jersey und Connecticut, eine explizite Anzeigepflicht für einen alleinigen Zugriff auf Daten installiert haben. Sie würde ebenfalls für Ransomware greifen. Aber auch hier gibt es einige Details deren Lesart es Firmen unter bestimmten Umständen erlaubt die in ihrem Bundesstaat geltende Anzeigepflicht zu umgehen.

>> EU-Datenschutzgesetzgebung – Die bisher gültige Data Protection Directive (DPD) sieht noch keine zwingende Anzeigepflicht vor. Einige europäische Staaten, darunter auch Deutschland, haben die Anzeigepflicht allerdings in ihren nationalen Datenschutzgesetzen verankert. Für Internet Service Provider und Telekommunikationsunternehmen gelten mit der EU"e-Privacy Directive" ohnehin eigene Regelungen zur Anzeigepflicht bei Datenschutzverstößen. Innerhalb der neuen EU-Datenschutzgrundverordnung sieht das allerdings schon ein wenig anders aus. Das 2018 wirksam werdende Gesetz sieht eine Benachrichtigungspflicht innerhalb von 72 Stunden vor. Dabei muss der entsprechende Vorfall innerhalb dieser zeitlichen Vorgabe der jeweiligen lokalen "Data Protection Authority" (DPA) gemeldet werden. Verbraucher müssen dann benachrichtigt werden, wenn auf "persönliche Daten" zugegriffen wurde. Aber auch hier gibt es eine erwähnenswerte Einschränkung. Zunächst ist es wichtig zu unterscheiden, dass es im Hinblick auf den Geltungsbereich der Datenschutzgrundverordnung zwei unterschiedliche Grenzwerte zu beachten gilt: Eine Frist, innerhalb der potenziell betroffene Verbraucher benachrichtigt werden müssen und eine, die sich auf die Benachrichtigung der jeweiligen Data Protection Authority (DPA) bezieht.

Wenn bei einem Datenschutzvorfall persönliche, private Daten von Verbrauchern "wahrscheinlich betroffen" sind, müssen die Betroffenen davon in Kenntnis gesetzt werden. Dass persönliche Daten von Verbrauchern "wahrscheinlich betroffen" sind, es also ein potenzielles Risiko gibt, dass Rechte und Freiheiten eines Kunden potenziell betroffen sind, ist ein ziemlich weit gesteckter Rahmen. Spricht man mit Juristen, die sich insbesondere mit dem Thema Compliance befassen, gehören zu diesen persönlichen Daten all die Informationen anhand derer sich eine Person identifizieren lässt. Das sind beispielsweise E-Mail-Adressen, sämtliche IDs von Onlinekonten, aber auch IP-Adressen. Sie alle fallen unter die "wahrscheinlich betroffen"-Regelung. Wie es im speziellen Fall einer Ransomware-Attacke mit der Anzeigepflicht aussieht wird sehr eng mit den genauen Umständen des Einzelfalls zusammenhängen. Das ist einer der Punkte, an denen sicherlich noch Klärungsbedarf in Sachen EU-DSGVO besteht.

Im Lichte der verschiedenen US- und EU-Datenschutzvorgaben erscheint es allerdings mindestens als sehr empfehlenswert den Vorfall den entsprechenden Stellen und Strafverfolgungsbehörden anzuzeigen. (Varonis: ra)

eingetragen: 22.01.17
Home & Newsletterlauf: 01.02.17


Varonis: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Cyber Intelligence - Mehr als ein Trend?

    Cyber Intelligence, auch Cyber Threat Intelligence oder nur Threat Intelligence, ist keine neue Disziplin innerhalb der Informationssicherheit. Die US-amerikanische National Security Alliance hat gemeinsam mit dem Beratungsunternehmen Deloitte bereits 2011 (!) verlautbaren lassen, dass Cyber Intelligence tatsächlich so etwas wie die intelligentere Art und Weise ist, mit Datenschutzverletzungen und Bedrohungsszenarien umzugehen. Zitat: "The consultancy Deloitte deems cyber intelligence as a vastly more sophisticated and full set of threat management tactics (than IT security itself), providing tools to move to a more proactive, over-the-horizon threat awareness posture."

  • Vorschriften im Gesundheitswesen

    Personenbezogene Daten geheim und sicher zu halten, ist im Gesundheitssektor immens wichtig. Mittlerweile ist es bereits 21 Jahre her seit Titel I des Health Insurance Portability and Accountability Act (HIPAA) in den Vereinigten Staaten verabschiedet wurde, um den Krankenversicherungsschutz für Arbeitnehmer und Familien zu gewährleisten. 2003 wurde Titel II als nationaler Standard für elektronische Transaktionen im Gesundheitswesen und nationale Kennzeichnungsvorschriften für Versorger, Krankenversicherungen und Mitarbeiter eingerichtet. Zu diesem Zeitpunkt wurden etliche Datenschutz- und Sicherheitsregeln zum Schutz elektronischer Gesundheitsdaten (e-PHI) definiert. Vor einigen Jahren haben der US-Kongress und das Department of Health and Human Services (Gesundheitsministerium HHS) im Cybersecurity Act von 2015 die Health Care Industry Cybersecurity (HCIC) Task Force eingerichtet. Grund war die wachsende Sorge um Risiken und Bedrohungen der Cybersicherheit für das Gesundheitswesen. Erst vor kurzem hat die Task Force ihre Ergebnisse in einem sehr detaillierten Report on Improving Cybersecurity in the Health Care Industry veröffentlicht. Der Report betont die Dringlichkeit der empfohlenen Maßnahmen angesichts der wachsenden Zahl komplexer Cyberbedrohungen. Das Gesundheitswesen müsse eben diese Maßnahmen zeitnah zum Schutz von Systeme und Patienten umsetzen.

  • Datensicherheit und Datenschutz

    Im Mai 2018 wird das EU-Regelwerk zum Datenschutz scharf gestellt. Unternehmen bleibt nicht viel Zeit, ihre IT für einen gesetzeskonformen Umgang mit personenbezogenen Daten umzubauen. Dabei ist mehr als Datenklassifizierung, Risikoanalyse und Dokumentation gefragt. Die gute Nachricht: Es ist noch nicht zu spät. Der Datenschutz in Europa wird vereinheitlicht. Darauf zielt die EU-Datenschutz-Grundverordnung (DSGVO) ab. Das Regelwerk, die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, wurde im April 2016 im EU-Parlament verabschiedet und am 4. Mai 2016 im EU-Amtsblatt veröffentlicht. Die 28 EU-Mitgliedstaaten haben bis zum 25. Mai 2018 Zeit, alle Vorgaben umzusetzen. In Europa gibt es Richtlinien, die von den EU-Staaten in nationales Recht umgesetzt werden müssen und Verordnungen, die unmittelbar geltendes Recht sind.

  • Googeln für Hacker

    Google ist die Suchmaschine schlechthin, auch wenn die Datensammelwut des Weltkonzerns aus Mountainview immer wieder kontrovers diskutiert wird. Fast 80 Prozent der Suchanfragen weltweit gehen an Google, während andere Suchmaschinen noch nicht einmal die 10-Prozent-Hürde schaffen. Bei Mobilgeräten liegt der Anteil von Google sogar bei mehr als 96 Prozent. Das ist selbst für Laien keine Überraschung. Weniger verbreitet ist das Wissen, dass Google sich auch bei Hackern großer Beliebtheit erfreut. Verschiedene versteckte Funktionen ermöglichen es Eingeweihten, sehr schnell an umfangreiche Listen potenzieller Opfer zu kommen. Versehentlich freigegebene Dokumente ausspähen, verwundbare Log-in-Seiten finden oder sich in schlecht geschützte Webcams einloggen - Google liefert bequem die einfachsten Ziele. Das ist nicht alles: durch verschiedene Tricks kann sich ein Angreifer quasi hinter der "harmlosen" Suchmaschine verstecken und so gezielt seine Spuren verwischen.

  • Ransomware: Es kommt schlimmer

    Seit ich im Jahr 2014 meine erste Keynote zu diesem Thema gehalten habe beschäftige ich mich mit Ransomware-Prognosen. Seinerzeit wagte ich etwa ein Dutzend Vorhersagen und tatsächlich sind alle eingetroffen. Vor kurzem wurde ich gebeten einen Beitrag für das ITSP Magazine beizusteuern. Und dieses Mal sollten die Prognosen nicht nur spezifischer sein, sondern die Sache auf die Spitze treiben. Sprich, welche Prognosen kommen dabei heraus, wenn man die aktuellen Szenarien bis zu Ende denkt. Soviel lässt sich sagen, alle sind einigermaßen beängstigend. Soeben hat eine Analyse von @David Formby eine der schlimmsten Befürchtungen bestätigt: Kritische Infrastrukturen geraten zunehmend ins Visier von Ransomware-Attacken (Targeting Critical Infrastructure for Ransom). Im letzten Frühjahr litten vornehmlich Krankenhäuser unter der sogenannten SamSam-Ransomware, und im Rahmen unserer Incident Containment-Methode haben wir drei Dinge übereinstimmend festgestellt.