Juristischer “Spickzettel” in Sachen Ransomware

In vielerlei Hinsicht unterscheiden sich die Reaktionen auf eine Ransomware-Attacke nicht grundlegend von dem, was grundsätzlich im Falle eines Datenschutzvorfalls zu tun ist. Kurzgefasst: jedes Unternehmen sollte einen Plan haben wie die Malware zu analysieren und zu isolieren ist, um den Schaden zu begrenzen, laufende Geschäftsprozesse müssen gegebenenfalls wiederhergestellt und die entsprechenden Aufsichts- und Strafverfolgungsbehörden in Kenntnis gesetzt werden.

Dabei sollten die verschiedenen Abteilungen eines Unternehmens Hand in Hand arbeiten. Ist eine Datenschutzverletzung entdeckt worden, sind insbesondere die Firmenjuristen, die IT-Abteilung und die Unternehmenskommunikation gefragt. Gerade den juristisch und technisch Verantwortlichen kommt eine Schlüsselrolle zu, wenn es gilt den Schaden zu begrenzen und die vorgeschriebenen Maßnahmen zu ergreifen. Soweit so gut.

Ein bisschen anders verhält es sich aber mit Ransomware doch. Anders als bei anderen Angriffsszenarien informieren die Angreifer das Opfer über die Attacke. Sie erhalten eine „Ransom Note“ genannte Nachricht. Dass etwas passiert ist und was, wird also sehr viel schneller aufgedeckt als in den meisten anderen Fällen, in denen es oft Monate, wenn nicht sogar Jahre dauert bis ein Datenschutzvorfall aufgedeckt werden kann. In den allermeisten Fällen von Ransomware belassen Hacker die betreffenden Daten auf den Systemen der Opfer, wenn auch natürlich verschlüsselt. In aller Regel muss man sich also nicht sofort um einen möglichen Verlust von Kreditkartennummern oder Kontodetails sorgen.

So betrachtet hat Ransomware ihre kleinen Vorteile. Ungeachtet dessen ist mit ihr allerdings eine nicht ganz unwichtige juristische Frage verbunden.

Jemand hat offensichtlich auf die Daten zugegriffen, aber sie nicht veröffentlicht oder weiter verwendet. Heißt das nun, dass ein betroffenes Unternehmen seine Kunden und die entsprechenden Behörden nicht informieren muss (wie es sonst in einigen US-Gesetzen und Vorschriften bereits verbindlich vorgeschrieben ist, ebenso in der 2018 in Kraft tretenden EU-Datenschutzgrundverordnung)? Keine ganz triviale Frage.

Um bei diesem Thema etwas mehr in die Tiefe gehen zu können haben wir zusätzlich ein White Paper (in englischer Sprache vorliegend) verfasst, das sich unter anderem mit den Hintergründen der US- und EU-Datenschutzvorgaben befasst wie sie im Health Insurance Portability and Accessibility Act (HIPAA), im Gramm-Leach-Bliley Act (GLBA), diversen Bundesgesetzen und den Gesetzen innerhalb der EU festgeschrieben sind. Das White Paper richtet sich dabei in erster Linie an all diejenigen, die im Falle einer Datenschutzverletzung auf den unterschiedlichen Ebenen darauf reagieren müssen.

Einige der wichtigsten Aspekte haben wir hier zusammengefasst.

Anzeigepflicht bei Ransomware?

Der entscheidende Punkt, den es zu verifizieren gilt ist, ob bei einem nicht autorisierten Zugriff eine Anzeigepflicht gegenüber den Kunden des Unternehmens besteht. Und tatsächlich ist das ja was Ransomware genau tut: unautorisiert auf sensible PII-Daten zugreifen.

1. 1. Gesundheitswesen – HIPAA schreibt allen sogenannten Covered Entities (Krankenhäusern, Einrichtungen des Gesundheitswesens, Versicherern und so weiter) verbindlich vor sowohl Kunden/Verbraucher als auch die zuständigen Behörden zu informieren (in den USA das Department of Health and Human Services (HHS)) wenn jemand auf geschützte Gesundheitsinformationen (PHI-Daten) unautorisiert zugreifen konnte. Wenn es um die Anzeigepflicht bei Ransomware geht ist HIPAA eine der strengsten verbindlichen Regelungen überhaupt. Es gibt allerdings auch hier Ausnahmen von der Regel, die wir in unserem White Paper erläutern.

1. 2. Banken und Darlehensgeber – Gemäß GLBA, setzt die Federal Trade Commission (FTC) Datenschutzregelungen für das Bank- und Finanzwesen im Rahmen der sogenannten Safeguards Rule durch. Aus Sicht der FTC beispielsweise ist es für eine Bank oder ein anderes Institut innerhalb des Finanzwesens im Falle von Ransomware (im Übrigen auch jeder anderen Malware) nicht zwingend vorgeschrieben, den Vorfall anzuzeigen. Allerdings empfiehlt die FTC es, Kunden in so einem Fall zu benachrichtigen. Vorgeschrieben ist es aber nicht.

1. 3. Broker, Händler, Anlageberater – Die Securities and Exchange Commission (SEC) ist die in den USA zuständige Behörde für diese Gruppe von Investmentunternehmen. Im Rahmen von GBLA hat die SEC eine eigene verbindliche Regelung entwickelt die sogenannte Regulation S-P. Sie beinhaltet ein komplettes Programm, was bei einem Datenschutzvorfall genau zu tun ist. Von einer expliziten Anzeigepflicht ist nicht die Rede. Mit anderen Worten: Es ist vielleicht durchaus empfehlenswert seine Kunden in Kenntnis zu setzen, verpflichtend ist es nicht.

1. 4. Investmentbanken, staatliche und private Geldinstitute – Für diese verbleibende Gruppe gibt es nicht nur in den USA eine ganze Reihe von Vorschriften und Branchenregularien. In diesem Fall ist von der sogenannten „affirmativen Pflicht“ eines Unternehmens die Rede. Sie besagt, dass Unternehmen verpflichtet sind die Daten gegen einen unautorisierten Zugriff oder Gebrauch dieser Daten zu schützen haben. Die Anzeigepflicht ist Bestandteil dieser affirmativen Pflicht. Liest man etwas genauer, besagen die Regelungen aber auch, dass es einen nachweislichen Missbrauch der Daten gegeben haben muss. Ob die Verschlüsselung von Daten durch Ransomware nun einen solchen Missbrauch darstellt oder nicht, ist nicht ganz unumstritten. Ungeachtet dessen sehen die bestehenden Regelungen vor, dass innerhalb der Anzeigepflicht der Vorfall genau beschrieben werden muss, einschließlich dessen, welche Dateien genau betroffen sind.

1. 5. Regelungen in den US-Bundesstaaten – Im Moment haben 48 Staaten in den USA Gesetze und Vorschriften, die die Anzeigepflicht von Datenschutzverstößen betreffen. Am Rande sei erwähnt, dass lediglich zwei Staaten, nämlich New Jersey und Connecticut, eine explizite Anzeigepflicht für einen alleinigen Zugriff auf Daten installiert haben. Sie würde ebenfalls für Ransomware greifen. Aber auch hier gibt es einige Details deren Lesart es Firmen unter bestimmten Umständen erlaubt die in ihrem Bundesstaat geltende Anzeigepflicht zu umgehen.

1. 6. EU-Datenschutzgesetzgebung – Die bisher gültige Data Protection Directive (DPD) sieht noch keine zwingende Anzeigepflicht vor. Einige europäische Staaten, darunter auch Deutschland, haben die Anzeigepflicht allerdings in ihren nationalen Datenschutzgesetzen verankert. Für Internet Service Provider und Telekommunikationsunternehmen gelten mit der EU „e-Privacy Directive“ ohnehin eigene Regelungen zur Anzeigepflicht bei Datenschutzverstößen. Innerhalb der neuen EU-Datenschutzgrundverordnung sieht das allerdings schon ein wenig anders aus. Das 2018 wirksam werdende Gesetz sieht eine Benachrichtigungspflicht innerhalb von 72 Stunden vor. Dabei muss der entsprechende Vorfall innerhalb dieser zeitlichen Vorgabe der jeweiligen lokalen „Data Protection Authority“ (DPA) gemeldet werden. Verbraucher müssen dann benachrichtigt werden, wenn auf „persönliche Daten“ zugegriffen wurde. Aber auch hier gibt es eine erwähnenswerte Einschränkung. Zunächst ist es wichtig zu unterscheiden, dass es im Hinblick auf den Geltungsbereich der Datenschutzgrundverordnung zwei unterschiedliche Grenzwerte zu beachten gilt: Eine Frist, innerhalb der potenziell betroffene Verbraucher benachrichtigt werden müssen und eine, die sich auf die Benachrichtigung der jeweiligen Data Protection Authority (DPA) bezieht.
Wenn bei einem Datenschutzvorfall persönliche, private Daten von Verbrauchern „wahrscheinlich betroffen“ sind, müssen die Betroffenen davon in Kenntnis gesetzt werden. Dass persönliche Daten von Verbrauchern „wahrscheinlich betroffen“ sind, es also ein potenzielles Risiko gibt, dass Rechte und Freiheiten eines Kunden potenziell betroffen sind, ist ein ziemlich weit gesteckter Rahmen. Spricht man mit Juristen, die sich insbesondere mit dem Thema Compliance befassen, gehören zu diesen persönlichen Daten all die Informationen anhand derer sich eine Person identifizieren lässt. Das sind beispielsweise E-Mail-Adressen, sämtliche IDs von Onlinekonten, aber auch IP-Adressen. Sie alle fallen unter die „wahrscheinlich betroffen“-Regelung. Wie es im speziellen Fall einer Ransomware-Attacke mit der Anzeigepflicht aussieht wird sehr eng mit den genauen Umständen des Einzelfalls zusammenhängen. Das ist einer der Punkte, an denen sicherlich noch Klärungsbedarf in Sachen EU-DSGVO besteht.

Im Lichte der verschiedenen US- und EU-Datenschutzvorgaben erscheint es allerdings mindestens als sehr empfehlenswert den Vorfall den entsprechenden Stellen und Strafverfolgungsbehörden anzuzeigen.