- Anzeigen -


Sie sind hier: Home » Markt » Hintergrund

Offensichtliche Verletzung der Meldepflicht


Würde die DSGVO bereits gelten, müsste Yahoo einen großen Scheck ausstellen
Neben vielen anderen Unstimmigkeiten bei diesem Vorfall ist es durchaus verwunderlich, dass Yahoo schon im Sommer von diesem Sicherheitsvorfall wusste

- Anzeigen -





Die Datenschutz-Apokalypse bei Yahoo wird nun von zwei EU-Datenschutzbehörden unter die Lupe genommen. Die britische Datenschutzaufsichtsbehörde ICO, die das Ausmaß der Attacke als "erschütternd" bezeichnete, kündigte an, den Fall genauer zu untersuchen. Anmerkung am Rand: das ICO äußert sich übrigens eher selten in dieser Art und Weise zu aktuellen Sicherheitsereignissen.

Auch der Leiter der Datenschutzbehörde in Irland, wo sich die europäische Unternehmenszentrale von Yahoo befindet, stellt kritische Fragen. Sogar das amerikanische FBI schaltete sich ein, weil möglicherweise ein Staat (wahrscheinlich Russland) hinter dem Angriff auf Yahoo steckt.

Das aktuelle Gesetz
Neben vielen anderen Unstimmigkeiten bei diesem Vorfall ist es durchaus verwunderlich, dass Yahoo schon im Sommer von diesem Sicherheitsvorfall wusste. Nachdem nämlich die Nutzerdaten bereits im Darknet zum Verkauf angeboten wurden. Die gestohlenen Daten scheinen auf einen Angriff zurückzugehen, der sich bereits 2014 ereignete.

Es handelt sich also um eine offensichtliche Verletzung der Meldepflicht.

Oder doch nicht!?
Das einzige US-amerikanische Gesetz auf Bundesebene, das eine strikte Meldepflicht vorschreibt, gilt nur für personenbezogene medizinische Daten, die von "unter das Gesetz fallenden Einrichtungen" wie Versicherungsgesellschaften, Krankenhäusern und Gesundheitsdienstleistern gespeichert werden. Dieses Gesetz ist der Health Insurance Portability and Accountability Act, kurz HIPAA.

Die US-Regierung hat also keine Möglichkeit, Yahoo aufgrund der extrem verspäteten Meldung des Sicherheitsvorfalls zu sanktionieren.

In 47 US-Bundesstaaten gibt es Gesetze, die eine Meldepflicht vorschreiben. Diese würden hier zwar greifen, doch die Strafe hängt in der Regel vom jeweiligen Schaden für die Verbraucher ab, der sich konkret nur schwer nachweisen lässt.

Die einzige Ausnahme bildet wie immer Kalifornien, wo sich der Unternehmenssitz von Yahoo befindet. Dort müssen unbefugte Datenzugriffe sofort nach Bekanntwerden gemeldet werden. Yahoo steht also ein Besuch des Attorney General von Kalifornien ins Haus.

Man würde meinen, dass die Europäische Union Datenschutzverletzungen strenger ahndet als die USA.

Doch die aktuell gültige EU-Datenschutzrichtlinie schreibt keine Meldepflicht für Sicherheitsvorfälle vor. Dies war auch einer der Gründe für die Ausarbeitung der Datenschutz-Grundverordnung, die ab Mai 2018 gilt.

Rechtliche Konsequenzen
Möglicherweise wird Yahoo dennoch auch in der EU nicht ganz ungeschoren davonkommen: Die Datenschutzrichtlinie verlangt nämlich angemessene Sicherheitsmaßnahmen (Artikel 16). Yahoo könnte also theoretisch aufgrund unzureichender Datenschutzvorkehrungen belangt werden.

Allerdings handelt es sich bei Yahoo um ein US-Unternehmen, dessen Datenerfassungsserver sich hauptsächlich außerhalb der EU befinden. Es kann also durchaus sein, dass der lange Arm der Datenschutzrichtlinie doch nicht lang genug ist.

Die Lage ist also alles andere als eindeutig. Wenn Sie mehr dazu wissen wollen, inwieweit die aktuelle Datenschutzrichtlinie auch für Nicht-EU-Unternehmen gilt, dann finden Sie in diesen Blog-Eintrag eine gute Analyse der Rechtslage.

Aufgrund der offensichtlichen Unzulänglichkeiten tauscht die EU die aktuelle Richtlinie gegen die DSGVO aus. Diese schreibt eine Meldepflicht sowie schwindelerregende Strafen bei Verstößen vor. Außerdem vertritt sie das Prinzip der "Extraterritorialität" und gilt somit auch für Unternehmen außerhalb der EU.

Einen Überblick über die Datenschutzvorschriften in der EU, finden Sie auch in unserem Whitepaper.

Wäre die DSGVO bereits anwendbar – was erst ab dem 25. Mai 2018 der Fall sein wird – und Yahoo hätte den Diebstahl persönlicher Daten von 500 Millionen Nutzern nicht innerhalb von 72 Stunden an eine Datenschutzbehörde gemeldet, würden dem Unternehmen massive Strafen drohen.

Wie massiv?

Nachgerechnet: Strafen nach DSGVO
Ein Verstoß gegen die in Artikel 33 der DS-GVO verankerte Meldepflicht kann Strafen in Höhe von zwei Prozent des weltweiten Jahresumsatzes nach sich ziehen. Der Umsatz von Yahoo lag in den letzten Jahren jenseits der 4,5 Milliarden US-Dollar-Grenze.

Unter der Geltungspflicht der DSGVO müsste Yahoo also mindestens 90 Millionen US-Dollar an die EU überweisen.

Und dann ist noch Verizon mit einem Jahresumsatz von mehr als 130 Milliarden US-Dollar gerade dabei, Yahoo zu kaufen. Wäre die Übernahme bereits vollzogen, dann müsste Verizon mit einer Strafe von zwei Prozent der 134 Milliarden, also etwa 268 Millionen US-Dollar, rechnen.

Was lernen wir daraus? Große multinationale und US-Unternehmen mit einer weltweiten Internetpräsenz sollten jetzt für den Fall eines Yahoo-ähnlichen Sicherheitsvorfalls nach dem 25. Mai 2018 vorsorgen. (Varonis: ra)

eingetragen: 20.12.16
Home & Newsletterlauf: 20.01.17


Varonis: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -



Meldungen: Hintergrund

  • Phishing-Attacken gegen Mitarbeiter

    Erfolgreiche Angriffe erfolgen nicht über Zero-Day-Exploits, weit mehr Angriffe nutzen bekannte Schwachstellen. F-Secure Radar zeigt Unternehmen mit einem einzigartigen Web Topologie Mapping was andere Tools zur Schwachstellenerkennung nicht können: die komplette Angriffsfläche, sowohl für interne wie externe Systeme. Unternehmen suchen stets nach neuen Ansätzen, um sich gegen digitale Angriffe zu schützen. Dabei wird den beiden häufigsten Angriffsmethoden allerdings oft zu wenig Bedeutung beigemessen. Experten von fanden F-Secure heraus, dass der Großteil digitaler Einbrüche in Firmen auf zwei Angriffsarten zurückzuführen ist.

  • Industrie 4.0 ein Sicherheitsrisiko?

    Der digitale Wandel und die damit einhergehende Vernetzung halten Einzug in die Unternehmen und Fabriken. Zahlreiche Hard- und Softwarelösungen zur Umsetzung der Industrie 4.0-Anforderungen kommen derzeit auf den Markt. Viele Anbieter entwickeln eigene Systeme und Lösungen, die keinem Standard entsprechen. Die Folge sind zunehmende heterogene und proprietäre IT-Landschaften, die kaum zu kontrollieren sind. Die Blue Frost Security GmbH, Spezialist für IT-Sicherheitsanalysen, zeigt Risiken und Lösungsansätze auf. Generell gilt: Die häufigsten Gründe, weshalb Firmennetzwerke gehackt werden, sind unsichere Konfigurationen, unsichere Passwörter, unsichere Netzwerkarchitekturen, fehlende Updates bzw. mangelhaftes Updatemanagement sowie unsichere Produkte/Software. Gegen letzteres können Unternehmen sich kaum schützen - lediglich durch Sicherheitsanalysen vor dem produktiven Einsatz.

  • Phishing auf dem Vormarsch

    Übermäßiges Vertrauen in die Technologie macht Unternehmen anfällig für Phishing und andere Angriffe, die auf Menschen abzielen. Untersuchungen vom F-Secure Red Team zufolge, haben 52 Prozent der Mitarbeiter bereits auf einen Link in einer gefälschten E-Mail geklickt. Cyberangreifer nehmen konsequent Unternehmen ins Visier, die sich Sicherheitsexperten zufolge oftmals in Sicherheit wiegen und sich zu sehr auf Technologie zu verlassen, um ihre Netzwerke zu verteidigen. Die Warnung kommt von einem Sprecher vom Red Team von F-Secure. Diese Expertengruppe für Cybersicherheit übt nachgeahmte Angriffe auf Unternehmen aus, um die Stärken und Schwächen ihrer Sicherheit zu verdeutlichen.

  • Immer wieder neue Varianten der Malware

    Kaspersky Lab stellt die Ergebnisse einer mehr als einjährigen Untersuchung der Aktivitäten der Lazarus-Gruppe vor. Die berüchtigte Hackergruppe wird für den Diebstahl von 81 Millionen US-Dollar von der Zentralbank in Bangladesch im Jahr 2016 verantwortlich gemacht. Über eine forensische Analyse von Artefakten, die die Gruppe in den Systemen südostasiatischer und europäischer Banken hinterlassen hatte, konnte Kaspersky Lab tiefe Einblicke darüber gewinnen, welche schädlichen Werkzeuge die Gruppe verwendet und wie ihre weltweiten Angriffe auf Finanzinstitutionen, Spielcasinos, Software-Entwickler für Anlagegesellschaften sowie Unternehmen im Kryptowährungsbereich ablaufen. Mit Hilfe dieser Erkenntnisse wurden mindestens zwei weitere Operationen und damit der Diebstahl hoher Geldsummen bei Finanzinstituten vereitelt. Laut den Erkenntnissen von Kaspersky Lab ist die Gruppe nach wie vor aktiv.

  • Ransomware wird dauerhafte Lockware

    Alles fängt mal klein an. Auch Ransomware steckte vor zehn Jahren noch in den Kinderschuhen, stieg dann aber rasant die Karriereleiter zur Super-Malware hinauf. Immer raffinierter, jedes Mal krimineller, mit kontinuierlich wachsendem Opferkreis: Ransomware erscheint grenzenlos. Was tun? Sophos-Experte Michael Veit kennt den Feind und empfiehlt eine mehrschichtige Abwehrstrategie. Für viele Internetnutzer scheint die heute weit verbreitete Ransomware-Welle aus dem Blauen heraus zu kommen. Doch erste Vertreter der Erpresser-Malware wie z.B. der Trojaner "Cryzip" sorgten bereits 2006 für Ärger - damals allerdings noch mit einem sehr kleinen und regional begrenzten Aktionsradius. Erst 2013 setzte sich die Schädlingsart mit dem Auftreten des ersten globalen Superstars "CryptoLocker" in den Köpfen fest.