Nach dem Hackerangriff: Welche Meldungen jetzt Pflicht sind – und welche nicht

Müssen wir die Datenschutzaufsicht informieren?

Fast jeder Angriff auf Server oder E-Mail-Konten berührt personenbezogene Daten von Beschäftigten, Kunden oder Lieferanten. Liegt eine Verletzung des Schutzes personenbezogener Daten vor, meldet der Verantwortliche sie nach Art. 33 Abs. 1 DSGVO „unverzüglich und möglichst binnen 72 Stunden“, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde – es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Eine spätere Meldung ist zu begründen, Informationen dürfen schrittweise nachgereicht werden (Art. 33 Abs. 4). Unabhängig von einer Meldung ist jede Verletzung intern zu dokumentieren (Art. 33 Abs. 5).

Hat die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen zur Folge, etwa weil Gesundheits- oder Kontodaten abgeflossen sein können, sind auch sie unverzüglich zu benachrichtigen (Art. 34 Abs. 1). Ausnahmen gelten unter anderem, wenn die Daten durch Verschlüsselung für Unbefugte unzugänglich waren (Art. 34 Abs. 3). Ob ein Risiko besteht, ist eine Bewertung im Einzelfall. Halten Sie die Gründe auch dann fest, wenn Sie sich gegen eine Meldung entscheiden.

Gilt für uns zusätzlich die NIS2-Meldepflicht?

Die Meldepflicht nach § 32 BSIG trifft nur besonders wichtige und wichtige Einrichtungen im Sinne von § 28 BSIG: vor allem Unternehmen bestimmter Einrichtungsarten aus den Anlagen 1 und 2 ab den Größenschwellen, daneben einige größenunabhängig erfasste Einrichtungen wie Betreiber kritischer Anlagen. Für Telekommunikations- und Energienetzbetreiber mit eigenem Regelwerk sowie bestimmte Finanzunternehmen gilt § 32 nach § 28 Abs. 5 und 6 nicht. Erfasste Einrichtungen melden erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und spätestens einen Monat danach eine Abschlussmeldung (§ 32 Abs. 1 Nr. 1, 2 und 4). Dauert der Vorfall dann noch an, tritt zunächst eine Fortschrittsmeldung an ihre Stelle (§ 32 Abs. 2). Das BSI nimmt diese Meldungen nach eigenen Angaben über das BSI-Portal entgegen.

Erheblich ist ein Vorfall nach § 2 Nr. 11 BSIG unter anderem, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann. Ein Produktionsstillstand durch Verschlüsselung kann diese Schwelle erreichen. Für Unternehmen außerhalb des Anwendungsbereichs gilt § 32 BSIG nicht; die Datenschutzmeldung bleibt davon unberührt. Beide Verfahren laufen getrennt, mit unterschiedlichen Empfängern und Fristen.

Was muss die Geschäftsführung jetzt selbst veranlassen?

In erfassten Einrichtungen muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG) und regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3). Verletzt sie diese Pflichten, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach dem Gesellschaftsrecht (§ 38 Abs. 2). Für den GmbH-Geschäftsführer gilt ohnehin der Maßstab des § 43 Abs. 1 GmbHG, die Sorgfalt eines ordentlichen Geschäftsmannes. Auch außerhalb von NIS2 gehört ein Cyberangriff deshalb sichtbar auf den Tisch der Geschäftsführung.

Praktisch heißt das: Entscheidungen mit Uhrzeit protokollieren, Beweise sichern, bevor Systeme neu aufgesetzt werden, den Versicherer nach den Vertragsbedingungen informieren und eine Strafanzeige erwägen. Hinzu kommen oft vertragliche Meldepflichten gegenüber Kunden, etwa aus Sicherheitsanhängen in Lieferverträgen, mit eigenen Fristen.

Was Sie jetzt vorbereiten können

• Zeitpunkt der Kenntnis dokumentieren – daran hängen alle Fristen
• Betroffenheit nach § 28 BSIG und den Anlagen 1 und 2 prüfen oder vorhandene Einordnung heranziehen
• Datenschutzverletzung bewerten und gegebenenfalls binnen 72 Stunden melden, Gründe festhalten
• Bei NIS2-Betroffenheit Erheblichkeit nach § 2 Nr. 11 BSIG prüfen, dann Erstmeldung binnen 24 Stunden und Folgemeldung binnen 72 Stunden
• Benachrichtigung der Betroffenen nach Art. 34 DSGVO prüfen
• Vertragliche Meldepflichten gegenüber Kunden und Versicherer prüfen
• Beweise sichern und Strafanzeige erwägen