- Anzeigen -


Sie sind hier: Home » Markt » Hintergrund

Offensichtliche Verletzung der Meldepflicht


Würde die DSGVO bereits gelten, müsste Yahoo einen großen Scheck ausstellen
Neben vielen anderen Unstimmigkeiten bei diesem Vorfall ist es durchaus verwunderlich, dass Yahoo schon im Sommer von diesem Sicherheitsvorfall wusste

- Anzeigen -





Die Datenschutz-Apokalypse bei Yahoo wird nun von zwei EU-Datenschutzbehörden unter die Lupe genommen. Die britische Datenschutzaufsichtsbehörde ICO, die das Ausmaß der Attacke als "erschütternd" bezeichnete, kündigte an, den Fall genauer zu untersuchen. Anmerkung am Rand: das ICO äußert sich übrigens eher selten in dieser Art und Weise zu aktuellen Sicherheitsereignissen.

Auch der Leiter der Datenschutzbehörde in Irland, wo sich die europäische Unternehmenszentrale von Yahoo befindet, stellt kritische Fragen. Sogar das amerikanische FBI schaltete sich ein, weil möglicherweise ein Staat (wahrscheinlich Russland) hinter dem Angriff auf Yahoo steckt.

Das aktuelle Gesetz
Neben vielen anderen Unstimmigkeiten bei diesem Vorfall ist es durchaus verwunderlich, dass Yahoo schon im Sommer von diesem Sicherheitsvorfall wusste. Nachdem nämlich die Nutzerdaten bereits im Darknet zum Verkauf angeboten wurden. Die gestohlenen Daten scheinen auf einen Angriff zurückzugehen, der sich bereits 2014 ereignete.

Es handelt sich also um eine offensichtliche Verletzung der Meldepflicht.

Oder doch nicht!?
Das einzige US-amerikanische Gesetz auf Bundesebene, das eine strikte Meldepflicht vorschreibt, gilt nur für personenbezogene medizinische Daten, die von "unter das Gesetz fallenden Einrichtungen" wie Versicherungsgesellschaften, Krankenhäusern und Gesundheitsdienstleistern gespeichert werden. Dieses Gesetz ist der Health Insurance Portability and Accountability Act, kurz HIPAA.

Die US-Regierung hat also keine Möglichkeit, Yahoo aufgrund der extrem verspäteten Meldung des Sicherheitsvorfalls zu sanktionieren.

In 47 US-Bundesstaaten gibt es Gesetze, die eine Meldepflicht vorschreiben. Diese würden hier zwar greifen, doch die Strafe hängt in der Regel vom jeweiligen Schaden für die Verbraucher ab, der sich konkret nur schwer nachweisen lässt.

Die einzige Ausnahme bildet wie immer Kalifornien, wo sich der Unternehmenssitz von Yahoo befindet. Dort müssen unbefugte Datenzugriffe sofort nach Bekanntwerden gemeldet werden. Yahoo steht also ein Besuch des Attorney General von Kalifornien ins Haus.

Man würde meinen, dass die Europäische Union Datenschutzverletzungen strenger ahndet als die USA.

Doch die aktuell gültige EU-Datenschutzrichtlinie schreibt keine Meldepflicht für Sicherheitsvorfälle vor. Dies war auch einer der Gründe für die Ausarbeitung der Datenschutz-Grundverordnung, die ab Mai 2018 gilt.

Rechtliche Konsequenzen
Möglicherweise wird Yahoo dennoch auch in der EU nicht ganz ungeschoren davonkommen: Die Datenschutzrichtlinie verlangt nämlich angemessene Sicherheitsmaßnahmen (Artikel 16). Yahoo könnte also theoretisch aufgrund unzureichender Datenschutzvorkehrungen belangt werden.

Allerdings handelt es sich bei Yahoo um ein US-Unternehmen, dessen Datenerfassungsserver sich hauptsächlich außerhalb der EU befinden. Es kann also durchaus sein, dass der lange Arm der Datenschutzrichtlinie doch nicht lang genug ist.

Die Lage ist also alles andere als eindeutig. Wenn Sie mehr dazu wissen wollen, inwieweit die aktuelle Datenschutzrichtlinie auch für Nicht-EU-Unternehmen gilt, dann finden Sie in diesen Blog-Eintrag eine gute Analyse der Rechtslage.

Aufgrund der offensichtlichen Unzulänglichkeiten tauscht die EU die aktuelle Richtlinie gegen die DSGVO aus. Diese schreibt eine Meldepflicht sowie schwindelerregende Strafen bei Verstößen vor. Außerdem vertritt sie das Prinzip der "Extraterritorialität" und gilt somit auch für Unternehmen außerhalb der EU.

Einen Überblick über die Datenschutzvorschriften in der EU, finden Sie auch in unserem Whitepaper.

Wäre die DSGVO bereits anwendbar – was erst ab dem 25. Mai 2018 der Fall sein wird – und Yahoo hätte den Diebstahl persönlicher Daten von 500 Millionen Nutzern nicht innerhalb von 72 Stunden an eine Datenschutzbehörde gemeldet, würden dem Unternehmen massive Strafen drohen.

Wie massiv?

Nachgerechnet: Strafen nach DSGVO
Ein Verstoß gegen die in Artikel 33 der DS-GVO verankerte Meldepflicht kann Strafen in Höhe von zwei Prozent des weltweiten Jahresumsatzes nach sich ziehen. Der Umsatz von Yahoo lag in den letzten Jahren jenseits der 4,5 Milliarden US-Dollar-Grenze.

Unter der Geltungspflicht der DSGVO müsste Yahoo also mindestens 90 Millionen US-Dollar an die EU überweisen.

Und dann ist noch Verizon mit einem Jahresumsatz von mehr als 130 Milliarden US-Dollar gerade dabei, Yahoo zu kaufen. Wäre die Übernahme bereits vollzogen, dann müsste Verizon mit einer Strafe von zwei Prozent der 134 Milliarden, also etwa 268 Millionen US-Dollar, rechnen.

Was lernen wir daraus? Große multinationale und US-Unternehmen mit einer weltweiten Internetpräsenz sollten jetzt für den Fall eines Yahoo-ähnlichen Sicherheitsvorfalls nach dem 25. Mai 2018 vorsorgen. (Varonis: ra)

eingetragen: 20.12.16
Home & Newsletterlauf: 20.01.17


Varonis Systems: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.



Meldungen: Hintergrund

  • Neue Vertriebsstrategie im Dark Web

    Das Konto von Anwender zu hacken ist wie der Einbruch in ein Haus: Entweder man verschafft sich gewaltsam Zutritt oder sucht nach dem Ersatzschlüssel unter der Fußmatte. In der Cyberwelt scheint letztere Vorgehensweise so einfach wie nie. Die Zahl der exponierten Zugangsdaten im Open, Deep und Dark Web hat einen neuen Höchststand erreicht. Allein auf der Website Haveibeenpwned können Betroffene in über 8 Mrd. Datensätze nach geleakten Logindaten suchen. Das Repository von Digital Shadows umfasst über 16 Mrd. Anmeldeinformationen - ein Wachstumsende ist nicht in Sicht. Cyberkriminelle gelangen auf unterschiedlichen Wegen zu Login/Passwort-Kombinationen. Dazu gehört neben Phishing, Malware und Harvesting Bots auch der Großeinkauf auf kriminellen Foren. Das Photon Research Team hat hier eine neue Masche beim Verkauf von sogenannten Combolisten aufgedeckt. Gewöhnlich handelt es sich dabei um lange Textdateien, die Millionen von Benutzernamen- und Passwortkombinationen enthalten. Bekanntestes Beispiel ist die 2017 entdeckte "The Anti Public Combo List", die mehr als 562 Mio. Zugangsdaten enthielt und sich aus unterschiedlichen Datenleaks zusammensetzte.

  • Neue Sextortion-Masche

    Forscher von Kaspersky haben ein neues Erpressungsschema aufgedeckt: Cyberkriminelle geben sich als korrupte CIA-Beamte aus und fordern 10.000 US-Dollar in Bitcoins von den Opfern, deren Namen angeblich bei Untersuchungen im Zusammenhang mit Online-Pädophilie aufgetaucht sind. Bis dato ist unklar, wie viele Personen von diesem Betrug betroffen sind. Sextortion, also Erpressungsversuche, die damit drohen, das vermeintliche Interesse an Online-Pornographie zu enthüllen, ist nicht neu. Private Informationen, die aus früheren Datenlecks stammen, dienen meist als Grundlage für eingeblendete Informationen. Typischerweise sind solche falschen Erpresser-E-Mails aufgrund ihrer mangelhaften Aufmachung und der fehlerhaften Sprache leicht zu identifizieren. Die nun von Kaspersky entdeckte "CIA-Sextortion"-E-Mail wurde jedoch sorgfältig formuliert und ist mit einem kopierten CIA-Logo versehen.

  • Statische Angriffstaktiken sind Vergangenheit

    Vor einigen Tagen jährte sich der erste bekannte Fall einer Cyberangriffsmethode, die Unternehmen jeglicher Branche und Größe auch weiterhin in Atem hält. Am 22. Juli 1999 wurde ein Computer der University of Minnesota in den USA von einem Netzwerk 114 weiterer Rechner attackiert - auf ihnen lief das Programm Trin00, welches später immer wieder für die Lancierung von DDoS-Attacken genutzt wurde. Damals veranlasste der schadhafte Code auf den betroffenen Computern diese schließlich dazu, das Netzwerk der Forschungseinrichtung mit Datenpaketen zu bombardieren. Dies führte zur Überlastung der Rechner und legitime Anfragen konnten nicht mehr bearbeitet werden. Das System der Universität lag zwei Tage lahm. Der Vorfall in den Vereinigten Staaten stellte die erste Distribued-Denial-of-Service-Attacke dar.

  • IT-Security 2019: die Zwischenbilanz

    Die erste Halbzeit ist vorbei: Wie lautet der Zwischenstand für das Jahr 2019 im Bereich IT-Sicherheit? Dies soll aus fünf Perspektiven betrachtet werden: Datenschutz-Verletzungen, Cloud Computing, Domain Name System (DNS), mobile Geräte und Bots. Durch Cyberangriffe, Ransomware und Datenschutz-Verletzungen wurden von Januar bis April 2019 etwa 5,9 Milliarden Datensätze offengelegt. Fast jeder Privatnutzer erhält inzwischen Erpressungs-Mails von Cyberkriminellen, weil sie im Besitz seines Passworts oder der E-Mail-Adresse seien. Ob Gesundheitswesen, Automobilbranche, öffentliche Hand, Einzelhandel oder IT-Sektor: Auch Unternehmen jeder Branche werden heute angegriffen.

  • Angreifer erhalten erhebliche Angriffsfläche

    Mit bis zu 6 Millionen betroffenen Bürgern war die Attacke der SamSam-Gruppe auf Atlanta im Jahr 2018 der wohl bisher folgenreichste Ransomware-Angriff auf eine einzelne Stadt. Auch andere Großstädte wie Cincinnati oder Baltimore waren bereits Opfer von Ransomware-Angriffen. Deutlich häufiger jedoch sind derartige Attacken laut Radware auf kleinere Gemeinden, Kreise oder Bezirke.