- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Ransomware-Attacken und Anzeigepflicht


Juristischer Spickzettel in Sachen Ransomware
Ist eine Datenschutzverletzung entdeckt worden, sind insbesondere die Firmenjuristen, die IT-Abteilung und die Unternehmenskommunikation gefragt

- Anzeigen -





Von Andy Green, Varonis

In vielerlei Hinsicht unterscheiden sich die Reaktionen auf eine Ransomware-Attacke nicht grundlegend von dem, was grundsätzlich im Falle eines Datenschutzvorfalls zu tun ist. Kurzgefasst: jedes Unternehmen sollte einen Plan haben wie die Malware zu analysieren und zu isolieren ist, um den Schaden zu begrenzen, laufende Geschäftsprozesse müssen gegebenenfalls wiederhergestellt und die entsprechenden Aufsichts- und Strafverfolgungsbehörden in Kenntnis gesetzt werden.

Dabei sollten die verschiedenen Abteilungen eines Unternehmens Hand in Hand arbeiten. Ist eine Datenschutzverletzung entdeckt worden, sind insbesondere die Firmenjuristen, die IT-Abteilung und die Unternehmenskommunikation gefragt. Gerade den juristisch und technisch Verantwortlichen kommt eine Schlüsselrolle zu, wenn es gilt den Schaden zu begrenzen und die vorgeschriebenen Maßnahmen zu ergreifen. Soweit so gut.

Ein bisschen anders verhält es sich aber mit Ransomware doch. Anders als bei anderen Angriffsszenarien informieren die Angreifer das Opfer über die Attacke. Sie erhalten eine "Ransom Note" genannte Nachricht. Dass etwas passiert ist und was, wird also sehr viel schneller aufgedeckt als in den meisten anderen Fällen, in denen es oft Monate, wenn nicht sogar Jahre dauert bis ein Datenschutzvorfall aufgedeckt werden kann. In den allermeisten Fällen von Ransomware belassen Hacker die betreffenden Daten auf den Systemen der Opfer, wenn auch natürlich verschlüsselt. In aller Regel muss man sich also nicht sofort um einen möglichen Verlust von Kreditkartennummern oder Kontodetails sorgen.

So betrachtet hat Ransomware ihre kleinen Vorteile. Ungeachtet dessen ist mit ihr allerdings eine nicht ganz unwichtige juristische Frage verbunden.
Jemand hat offensichtlich auf die Daten zugegriffen, aber sie nicht veröffentlicht oder weiter verwendet. Heißt das nun, dass ein betroffenes Unternehmen seine Kunden und die entsprechenden Behörden nicht informieren muss (wie es sonst in einigen US-Gesetzen und Vorschriften bereits verbindlich vorgeschrieben ist, ebenso in der 2018 in Kraft tretenden EU-Datenschutzgrundverordnung)? Keine ganz triviale Frage.

Lesen Sie zum Thema "Datenschutz und Compliance" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Um bei diesem Thema etwas mehr in die Tiefe gehen zu können haben wir zusätzlich ein White Paper verfasst, das sich unter anderem mit den Hintergründen der US- und EU-Datenschutzvorgaben befasst wie sie im Health Insurance PortabilityandAccessibilityAct (HIPAA), im Gramm-Leach-BlileyAct (GLBA), diversen Bundesgesetzenund den Gesetzen innerhalb der EU festgeschrieben sind. Das White Paper richtet sich dabei in erster Linie an all diejenigen, die im Falle einer Datenschutzverletzung auf den unterschiedlichen Ebenen darauf reagieren müssen.

Einige der wichtigsten Aspekte haben wir hier zusammengefasst.

Anzeigepflicht bei Ransomware?
Der entscheidende Punkt, den es zu verifizieren gilt ist, ob bei einem nicht autorisierten Zugriff eine Anzeigepflicht gegenüber den Kunden des Unternehmensbesteht. Und tatsächlich ist das ja was Ransomware genau tut: unautorisiert auf sensible PII-Daten zugreifen.

>> Gesundheitswesen – HIPAA schreibt allen sogenannten CoveredEntities (Krankenhäusern, Einrichtungen des Gesundheitswesens, Versicherern und so weiter) verbindlich vor sowohl Kunden/Verbraucher als auch die zuständigen Behörden zu informieren (in den USA das Department ofHealthand Human Services (HHS)) wenn jemand auf geschützte Gesundheitsinformationen (PHI-Daten) unautorisiert zugreifen konnte. Wenn es um die Anzeigepflicht bei Ransomware geht ist HIPAA eine der strengsten verbindlichen Regelungen überhaupt. Es gibt allerdings auch hier Ausnahmen von der Regel, die wir in unserem White Paper erläutern.

>> Banken und Darlehensgeber – Gemäß GLBA, setzt die Federal Trade Commission (FTC) Datenschutzregelungen für das Bank- und Finanzwesen im Rahmen der sogenannten Safeguards Rule durch. Aus Sicht der FTC beispielsweise ist es für eine Bank oder ein anderes Institut innerhalb des Finanzwesens im Falle von Ransomware (im Übrigen auch jeder anderen Malware) nicht zwingend vorgeschrieben, den Vorfall anzuzeigen. Allerdings empfiehlt die FTC es, Kunden in so einem Fall zu benachrichtigen. Vorgeschrieben ist es aber nicht.

>> Broker, Händler, Anlageberater – Die Securities and Exchange Commission (SEC) ist die in den USA zuständige Behörde für diese Gruppe von Investmentunternehmen. Im Rahmen von GBLAhat die SEC eine eigene verbindliche Regelung entwickelt die sogenannte Regulation S-P. Sie beinhaltet ein komplettes Programm, was bei einem Datenschutzvorfall genau zu tun ist. Von einer expliziten Anzeigepflicht ist nicht die Rede. Mit anderen Worten: Es ist vielleicht durchaus empfehlenswert seine Kunden in Kenntnis zu setzen, verpflichtend ist es nicht.

>> Investmentbanken, staatliche und private Geldinstitute – Für diese verbleibende Gruppe gibt es nicht nur in den USA eine ganze Reihe von Vorschriften und Branchenregularien. In diesem Fall ist von der sogenannten "affirmativen Pflicht" eines Unternehmens die Rede. Sie besagt, dass Unternehmen verpflichtet sind die Daten gegen einen unautorisierten Zugriff oder Gebrauch dieser Daten zu schützen haben. Die Anzeigepflicht ist Bestandteil dieser affirmativen Pflicht. Liest man etwas genauer, besagen die Regelungen aber auch, dass es einen nachweislichen Missbrauch der Daten gegeben haben muss. Ob die Verschlüsselung von Daten durch Ransomware nun einen solchen Missbrauch darstellt oder nicht, ist nicht ganz unumstritten. Ungeachtet dessen sehen die bestehenden Regelungen vor, dass innerhalb der Anzeigepflicht der Vorfall genau beschrieben werden muss, einschließlich dessen, welche Dateien genau betroffen sind.

>> Regelungen in den US-Bundesstaaten – Im Moment haben 48 Staaten in den USA Gesetze und Vorschriften, die die Anzeigepflicht von Datenschutzverstößen betreffen. Am Rande sei erwähnt, dass lediglich zwei Staaten, nämlich New Jersey und Connecticut, eine explizite Anzeigepflicht für einen alleinigen Zugriff auf Daten installiert haben. Sie würde ebenfalls für Ransomware greifen. Aber auch hier gibt es einige Details deren Lesart es Firmen unter bestimmten Umständen erlaubt die in ihrem Bundesstaat geltende Anzeigepflicht zu umgehen.

>> EU-Datenschutzgesetzgebung – Die bisher gültige Data Protection Directive (DPD) sieht noch keine zwingende Anzeigepflicht vor. Einige europäische Staaten, darunter auch Deutschland, haben die Anzeigepflicht allerdings in ihren nationalen Datenschutzgesetzen verankert. Für Internet Service Provider und Telekommunikationsunternehmen gelten mit der EU"e-Privacy Directive" ohnehin eigene Regelungen zur Anzeigepflicht bei Datenschutzverstößen. Innerhalb der neuen EU-Datenschutzgrundverordnung sieht das allerdings schon ein wenig anders aus. Das 2018 wirksam werdende Gesetz sieht eine Benachrichtigungspflicht innerhalb von 72 Stunden vor. Dabei muss der entsprechende Vorfall innerhalb dieser zeitlichen Vorgabe der jeweiligen lokalen "Data Protection Authority" (DPA) gemeldet werden. Verbraucher müssen dann benachrichtigt werden, wenn auf "persönliche Daten" zugegriffen wurde. Aber auch hier gibt es eine erwähnenswerte Einschränkung. Zunächst ist es wichtig zu unterscheiden, dass es im Hinblick auf den Geltungsbereich der Datenschutzgrundverordnung zwei unterschiedliche Grenzwerte zu beachten gilt: Eine Frist, innerhalb der potenziell betroffene Verbraucher benachrichtigt werden müssen und eine, die sich auf die Benachrichtigung der jeweiligen Data Protection Authority (DPA) bezieht.

Wenn bei einem Datenschutzvorfall persönliche, private Daten von Verbrauchern "wahrscheinlich betroffen" sind, müssen die Betroffenen davon in Kenntnis gesetzt werden. Dass persönliche Daten von Verbrauchern "wahrscheinlich betroffen" sind, es also ein potenzielles Risiko gibt, dass Rechte und Freiheiten eines Kunden potenziell betroffen sind, ist ein ziemlich weit gesteckter Rahmen. Spricht man mit Juristen, die sich insbesondere mit dem Thema Compliance befassen, gehören zu diesen persönlichen Daten all die Informationen anhand derer sich eine Person identifizieren lässt. Das sind beispielsweise E-Mail-Adressen, sämtliche IDs von Onlinekonten, aber auch IP-Adressen. Sie alle fallen unter die "wahrscheinlich betroffen"-Regelung. Wie es im speziellen Fall einer Ransomware-Attacke mit der Anzeigepflicht aussieht wird sehr eng mit den genauen Umständen des Einzelfalls zusammenhängen. Das ist einer der Punkte, an denen sicherlich noch Klärungsbedarf in Sachen EU-DSGVO besteht.

Im Lichte der verschiedenen US- und EU-Datenschutzvorgaben erscheint es allerdings mindestens als sehr empfehlenswert den Vorfall den entsprechenden Stellen und Strafverfolgungsbehörden anzuzeigen. (Varonis: ra)

eingetragen: 22.01.17
Home & Newsletterlauf: 01.02.17


Varonis: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • KI: Kein Ersatz für IT-Sicherheitsteams

    Ob Spear-Phishing, Ransomware oder Zero-Day-Exploits, Netzwerke sind ständig in Gefahr gehackt zu werden. Die wachsende Bedrohung geht einher mit immer komplexeren IT-Landschaften, mehr Daten und weniger IT-Personal. Um ihre Netzwerke unter diesen schwierigen Umständen effektiver zu schützen, setzen viele Unternehmen inzwischen auf Technologien wie KI-basierte Verhaltensüberwachung. Sie nutzt die Möglichkeiten von Datenanalyse und maschinellem Lernen um einen der größten Risikofaktoren im Netzwerk zu minimieren: den Benutzer. Nutzer sind die Einfallstore, die sensible Unternehmensdaten gefährden, sei es ein kompromittiertes Nutzerkonto im Netzwerk, ein Insider-Angriff oder unbedachtes Verhalten eines Mitarbeiters.

  • Cyber-Erpressung auf Bestellung

    CryptoLocker, GoldenEye, Locky, WannaCry - Ransomware hat mit der Geiselnahme von Dateien durch Verschlüsselung in den letzten Jahren eine beachtliche und unrühmliche Karriere hingelegt. Und da sich Kriminelle auch bei Digitalisierungstrends wie as-a-Service-Angeboten nicht lumpen lassen, hat die Untergrundökonomie mit Ransomware-as-a-Service (RaaS) rasch ein lukratives Geschäftsmodell für sich entdeckt, das in kürzester Zeit enormes Wachstum erlebt hat. Das Prinzip ist denkbar einfach - wie in der legalen Wirtschaft sind die Dienstleistungen ganz auf die Bedürfnisse einer möglichst breiten Kundschaft zugeschnitten: Auf Ransomware-as-a-Service-Plattformen können nun auch technisch wenig versierte Kriminelle ins Cyber-Erpressergeschäft einsteigen und sich von Schadware-Entwicklern die entsprechende Service-Leistung gegen Abgabe einer festen Gebühr oder einer Provision basierend auf den Lösegeldeinnahmen besorgen.

  • Investitionen in IT-Sicherheit legitimieren

    Wenn man so oft direkt mit unterschiedlichen Unternehmen und Menschen zu tun hat wie der Vertrieb, erkennt man schnell bestimmte Reaktionsschemata. Ebenso wie zuverlässig wiederkehrende Schwierigkeiten beim Implementieren von IT-Sicherheitsmaßnahmen. Den größten Teil unserer Zeit verbringen wir damit zu erläutern warum Cybersicherheit derart wichtig ist und wie ein Unternehmen von bestimmten Maßnahmen am besten profitiert. Trotzdem erhält man regelmäßig dieselben Antworten: "Ich verstehe absolut wovon Sie sprechen, und ich gebe Ihnen sogar Recht. Nur, wie soll ich die zusätzlichen Ausgaben gegenüber der Geschäftsleitung rechtfertigen?" Es gibt allerdings einige grundlegende Argumente die Kunden helfen, Sicherheitsansätze und Lösungen gegenüber der Geschäftsführung oder anderen Zeichnungsbefugten plausibel zu machen.

  • PKI ist im 21. Jahrhundert angekommen

    Um ein IoT-Ökosystem sicher aufzubauen und zu entwickeln, braucht man zwingend Tools und Architekturen, um IoT-Geräte zu identifizieren, zu kontrollieren und zu verwalten. Dieser Prozess beginnt mit dem Festlegen einer starken Identität für jedes IoT-Gerät. Der folgende Beitrag beschäftigt sich mit einigen der Möglichkeiten, wie man die Authentizität von IoT-Geräten verifizieren kann, bevor man sie integriert.

  • Tor-Browser, um IP-Adressen zu verschleiern

    Trotz ausgereifter Sicherheitstechnologien bleiben Anwender für Unternehmen eine empfindliche Schwachstelle, insbesondere deshalb, weil Cyberkriminelle ihre Social Engineering-Angriffe immer weiter verfeinern. Vor allem Phishing zählt zu den Angriffsvektoren, die Unternehmen gegenwärtig Kopfschmerzen bereiten. So werden E-Mails im Namen von Payment-Services, Shopanbietern oder E-Mailservice-Hosts von den kriminellen Hintermännern täuschend echt nachgeahmt, mit dem Ziel, durch das Abfischen von Logindaten weitere sensible, persönliche Daten zu erbeuten. Doch wie sehen die Konsequenzen aus, wenn Nutzerdaten von Mitarbeitern in die falschen Hände geraten und welche Auswirkungen hätte dies auf das Unternehmen? Das Forschungsteam von Bitglass hat versucht, mithilfe eines Experiments unter dem Namen "Cumulus" den Verbreitungswegen illegal erbeuteter Daten auf die Spur zu kommen.