Gehackt! Und jetzt?
Ein Cyberangriff kann den Malerbetrieb ebenso wie den Grosskonzern treffen. Zum Rechtsproblem wird ein Vorfall in dem Moment, in dem Personendaten betroffen sind, zum Beispiel Kunden-, Lieferanten- oder Personaldaten.
von Fabienne von Moos und Olivia Zingg*
Erste Priorität ist, einen Cyber-angriff zu verhindern oder möglichst früh abzuwehren. Technik allein genügt dabei oft nicht. Das Einfallstor bleibt in den meisten Fällen der Mensch: eine geöffnete Rechnung im Anhang, ein Klick auf einen gefälschten Login oder ein Anruf der angeblichen IT-Abteilung. Organisatorische Massnahmen, wie Schulungen der Mitarbeitenden, gehören deshalb zu einem guten Datensicherheitskonzept.
Das Datenschutzgesetz verlangt von einem Unternehmen eine angemessene Datensicherheit. Angemessen bedeutet, dem Risiko des eigenen Geschäfts entsprechend. Eine Arztpraxis mit Patientendossiers hat strengere Massnahmen zur Datensicherheit zu treffen als eine Schreinerei, die primär nur Adressdaten bearbeitet. Massgebend sind Art und Umfang der Daten sowie die Folgen, die den betroffenen Personen bei einem Verlust drohen.
Zu beachten gilt, dass auch wer seine IT auslagert, weiterhin für die Sicherheit der Daten verantwortlich bleibt. Der Betrieb wird verschoben, nicht aber die Verantwortung. Ein Unternehmen hat seine IT-Dienstleister deshalb sorgfältig auszuwählen, zu instruieren und zu überwachen. Der Vertrag mit dem Dienstleister sollte zudem festhalten, wer im Ereignisfall wen innert welcher Frist informiert und unterstützt.
Auch bei starken Sicherheitsmassnahmen gibt es keine absolute Sicherheit. Für den Ernstfall empfiehlt es sich, einen schriftlichen Ablaufplan zu haben, der definiert, welche Sofortmassnahmen am betroffenen Gerät zu ergreifen sind, was die Mitarbeitenden zu tun haben, wer zu alarmieren ist und wer die Entscheidungskompetenzen innehat.
Erste Stunden nach Angriff
Nach der Entdeckung des Cybervorfalls geht es in einem ersten Schritt darum, den möglicherweise noch laufenden Angriff abzuwehren und die Folgen des Angriffs einzudämmen. Danach folgt die Beweissicherung, meist durch eine IT-Forensik. Wie gross der Kreis der Beteiligten ist, hängt vom Vorfall und vom Unternehmen ab. Bei grösseren Ereignissen arbeiten IT, Rechtsberatung, Kommunikation und Geschäftsleitung im selben Team, bei kleineren Vorfällen genügen oft die IT-Forensik und eine verantwortliche Person.
Die IT-Forensik klärt den Sachverhalt ab: Zum einen wird untersucht, wie der Angriff möglich war oder welche Massnahmen notwendig sind. Zum anderen wird analysiert, wie viele Daten betroffen sind, um welche Art von Daten es sich handelt, etwa um besonders schützenswerte Personendaten, wessen Daten betroffen sind und was mit den Daten geschehen ist. Das kann wenige Stunden dauern oder mehrere Tage. Die Rechtsberatung wertet die Erkenntnisse laufend aus und prüft dabei fortwährend, ob Meldepflichten entstehen.
Was ist wem zu melden?
Ein Cybervorfall ist dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich zu melden (keine fixe Stundenfrist), sofern Personendaten betroffen sind und der Vorfall voraussichtlich zu einem hohen Risiko für die betroffenen Privatpersonen führen kann. Dazu zählen etwa Identitätsmissbrauch, finanzieller Schaden oder die Offenlegung von Amts- oder Berufsgeheimnissen. Die Meldung nennt mindestens Art, Folgen und ergriffene Massnahmen. Angaben, die im Meldezeitpunkt noch nicht vorliegen, können nachgereicht werden.
Je nach Unternehmen können noch weitere Meldepflichten bestehen. Betreiberinnen kritischer Infrastrukturen melden Cyberangriffe innert 24 Stunden dem Bundesamt für Cybersicherheit (BACS). Darunter fallen unter anderem Energie- und Trinkwasserversorger oder öffentlicher Verkehr. Beaufsichtigte Finanzinstitute haben den Angriff auch der Eidgenössischen Finanzmarktaufsicht (Finma) zu melden. Weiter ist zu prüfen, ob er auch an ausländische Datenschutzbehörden zu melden ist, etwa bei Kunden oder Mitarbeitenden mit Wohnsitz in Liechtenstein oder dem EU-Raum. Hier sind strenge Meldefristen von 72 Stunden zu beachten.
Neben den Datenschutzbehörden sind auch die betroffenen Personen zu informieren, sofern es zu ihrem Schutz erforderlich ist. Massgebend ist, dass die Information den Betroffenen erlaubt, selbst etwas gegen den drohenden Schaden zu unternehmen, beispielsweise Passwörter ändern, Kontobewegungen überwachen oder auf Phishing-Versuche im Namen des angegriffenen Unternehmens zu achten. Der EDÖB kann nach Erhalt der Meldung die Information der betroffenen Personen anordnen.
Ausblick
In der Schweiz gibt es Bestrebungen, die Meldepflichten und Meldeverfahren im Bereich der Cybersicherheit einfacher anwendbar zu machen, indem sie harmonisiert und Doppelspurigkeiten vermieden werden. Davon würden vor allem KMU profitieren. Auch in der EU zeichnen sich Lockerungen ab. Mit dem «Digitalen Omnibus» will die Kommission die Meldepflicht der DSGVO entschärfen. Unter anderem soll die Meldefrist von 72 auf 96 Stunden erhöht werden und die Meldung über eine zentrale Anlaufstelle laufen. Am Kern ändert das wenig: Die Gefahr von Cyberangriffen bleibt und mit ihr die Pflicht, im Einzelfall zu beurteilen, was passiert ist und wer zu informieren ist.
*Fabienne von Moos und Olivia Zingg sind Anwältinnen bei CMS von Erlach Partners AG. Fabienne von Moos berät Mandanten in zivil- und versicherungsrechtlichen Angelegenheiten und vertritt Parteien vor staatlichen Gerichten und in internationalen Schiedsverfahren. Olivia Zingg berät und vertritt Mandanten in Angelegenheiten im Datenschutz- und IT-Recht sowie im Immaterialgüter- und Lauterkeitsrecht. Beide sind im internationalen CMS-Cyber-Incident-Response-Team engagiert.
Partner
Ihre Meinung ist uns wichtig
Partner