Ransomware und Cyberangriff: das Unternehmen als Opfer
Ein Verschlüsselungsangriff macht ein Unternehmen zum Geschädigten, erzeugt aber zugleich eigene Pflichten und Risiken. Neben der Anzeige laufen die Meldefristen des Datenschutzrechts, und die Frage, ob ein Lösegeld gezahlt werden darf, ist rechtlich nicht neutral. Die Entscheidungen der ersten achtundvierzig Stunden bestimmen alles Weitere.
Das Wichtigste in Kürze
- Der Angriff selbst ist eine Straftat, das Unternehmen ist Geschädigter.
- Daneben bestehen eigene Meldepflichten mit kurzen Fristen.
- Sind personenbezogene Daten betroffen, ist die Aufsichtsbehörde zu unterrichten.
- Betroffene Personen sind bei hohem Risiko selbst zu benachrichtigen.
- Eine Zahlung an die Angreifer wirft eigene rechtliche Fragen auf.
- Die Sicherung der Spuren entscheidet über die Aufklärung.
- Die Anzeige sollte früh und mit technischer Dokumentation erfolgen.
Die ersten achtundvierzig Stunden
| Aufgabe | Anmerkung |
|---|---|
| Eindämmung | Trennung betroffener Systeme, ohne Spuren zu zerstören |
| Sicherung der Beweise | Abbilder der Systeme, Protokolle, Zeitstempel |
| Bewertung des Datenschutzvorfalls | welche Daten, wie viele Personen, welches Risiko |
| Meldung an die Aufsichtsbehörde | innerhalb der vorgesehenen kurzen Frist |
| Benachrichtigung der Betroffenen | bei hohem Risiko für die Personen |
| Strafanzeige | mit technischer Dokumentation |
| Meldung an Versicherung und Vertragspartner | nach Vertrag, oft mit eigenen Fristen |
Die zweite Zeile steht in Spannung zur ersten und wird deshalb häufig falsch gelöst. Der Reflex, betroffene Systeme neu aufzusetzen, um schnell wieder zu arbeiten, vernichtet genau die Spuren, die für Aufklärung und für den Nachweis gegenüber Behörde und Versicherung gebraucht werden.
Die richtige Reihenfolge lautet: sichern, dann wiederherstellen. Wer die Reihenfolge umdreht, steht später ohne Nachweis da, was tatsächlich abgeflossen ist — und muss im Zweifel vom schlimmsten Fall ausgehen.
Die Frage der Zahlung
Sie wird meist als rein wirtschaftliche behandelt und ist es nicht. Zu prüfen sind mehrere Ebenen:
- Sanktionsrecht. Eine Zahlung an Empfänger, die von Sanktionen erfasst sind, ist unzulässig — und die Identität der Empfänger ist in diesen Fällen unbekannt.
- Geldwäsche. Die Herkunft und der Weg der Mittel werfen eigene Fragen auf, besonders bei Zahlung in Kryptowerten.
- Pflichten der Organe. Eine Zahlung ohne saubere Entscheidungsgrundlage kann gegenüber der Gesellschaft haftungsrelevant sein.
- Dokumentation. Was entschieden wurde und weshalb, muss nachvollziehbar sein.
Praktisch heißt das nicht, dass eine Zahlung stets ausgeschlossen ist — es heißt, dass sie nicht durch einen einzelnen Verantwortlichen unter Zeitdruck beschlossen werden sollte. Die Einbindung eines Beraters vor der Entscheidung schützt auch die handelnden Personen.
Die Anzeige
Sie sollte früh erstattet werden und technisch unterlegt sein: Zeitpunkt und Art des Zugriffs, betroffene Systeme, Art der Verschlüsselung, Kommunikation der Angreifer, Zahlungsaufforderungen mit Adressen.
Zwei Gründe sprechen dafür, auch wenn die Aufklärungsaussichten begrenzt erscheinen. Erstens ermöglicht sie Maßnahmen, die dem Unternehmen allein nicht offenstehen — Auskünfte bei Anbietern, Sicherstellungen, internationale Zusammenarbeit. Zweitens ist sie gegenüber Versicherung, Vertragspartnern und Aufsicht der Nachweis, dass angemessen reagiert wurde.
Wenn das Unternehmen selbst in den Blick gerät
Ein Punkt, der überrascht: aus einem Angriff kann ein Verfahren gegen das geschädigte Unternehmen entstehen. Anknüpfungspunkte sind unzureichende technische und organisatorische Maßnahmen zum Schutz der Daten sowie versäumte Meldungen.
Geprüft wird dabei nicht, ob der Angriff verhindert werden konnte — das kann er selten —, sondern ob die Schutzmaßnahmen dem Stand entsprachen und ob nach dem Vorfall richtig gehandelt wurde. Deshalb ist die Dokumentation der eigenen Sicherheitsorganisation der wichtigste Bestand, den ein Unternehmen in dieser Lage hat: Konzepte, Prüfungen, Schulungen, Behebung bekannter Schwachstellen.
Der Fall aus dem Inneren
Ein erheblicher Teil dieser Vorfälle hat einen Bezug zu Personen mit legitimen Zugängen. Wird das vermutet, gilt der Grundsatz von der Seite zur Überwachung am Arbeitsplatz: nicht still auswerten, sondern zuerst prüfen lassen, welche Erkenntnisquellen zulässig sind.
Andernfalls verliert das Unternehmen die Verwertbarkeit dessen, was es findet — und handelt sich neben dem Angriff ein zweites Verfahren ein.
Häufige Fragen
Was ist als Erstes zu tun?
Eindämmen, ohne Spuren zu zerstören, und die Beweise sichern: Abbilder der Systeme, Protokolle, Zeitstempel. Erst danach wiederherstellen.
Warum ist die Reihenfolge so wichtig?
Weil das Neuaufsetzen betroffener Systeme genau die Spuren vernichtet, die für Aufklärung und Nachweis gebraucht werden. Ohne sie muss vom schlimmsten Fall ausgegangen werden.
Welche Meldepflichten bestehen?
Sind personenbezogene Daten betroffen, ist die Aufsichtsbehörde innerhalb der vorgesehenen kurzen Frist zu unterrichten; bei hohem Risiko sind auch die betroffenen Personen zu benachrichtigen.
Darf ich das Lösegeld zahlen?
Das ist keine rein wirtschaftliche Frage. Zu prüfen sind Sanktionsrecht, geldwäscherechtliche Fragen und die Pflichten der Organe; die Entscheidung sollte nicht allein unter Zeitdruck fallen.
Lohnt eine Anzeige überhaupt?
Ja. Sie ermöglicht Maßnahmen, die dem Unternehmen nicht offenstehen, und sie ist gegenüber Versicherung, Vertragspartnern und Aufsicht der Nachweis angemessener Reaktion.
Kann sich das Verfahren gegen uns richten?
Möglich sind Vorwürfe wegen unzureichender Schutzmaßnahmen oder versäumter Meldungen. Geprüft wird nicht, ob der Angriff vermeidbar war, sondern ob die Organisation dem Stand entsprach.
Wir vermuten einen Innentäter.
Dann nicht still auswerten. Zuerst ist zu prüfen, welche Erkenntnisquellen zulässig sind; andernfalls sind die Ergebnisse unverwertbar und es entsteht ein zweites Verfahren.