Rechtliche Schritte, die Unternehmen nach einem Cyberangriff unternehmen sollten

Eingang

Cyberangriffe sind für Unternehmen längst nicht mehr nur eine technische Störung oder ein IT-Problem. Die Übernahme von Firmen-E-Mail-Konten, der Diebstahl von Kundendaten, die Verschlüsselung von Dateien durch Ransomware, das Hacken von Websites, der unbefugte Zugriff auf Zahlungssysteme, der Diebstahl von Mitarbeiterdaten oder der Diebstahl von Geschäftsgeheimnissen haben allesamt schwerwiegende rechtliche, finanzielle und reputationsbezogene Folgen.

Daher sollte die erste Reaktion eines Unternehmens, das einem Cyberangriff ausgesetzt war, nicht einfach darin bestehen, das System neu zu starten. Natürlich ist technisches Eingreifen wichtig; es müssen jedoch viele Probleme gleichzeitig angegangen werden, wie z. B. der Schutz von Beweismitteln, die Feststellung, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt, die Prüfung der Meldepflicht gegenüber der Datenschutzbehörde, die Information der betroffenen Personen, die Erstattung einer Strafanzeige bei der Staatsanwaltschaft, die Verantwortung von Lieferanten und Mitarbeitern, die Benachrichtigung der Versicherung, die Kommunikation mit den Kunden und die Beschlüsse des Vorstands.

Gemäß der Datenschutzbehörde ist der Verantwortliche für die Datenverarbeitung verpflichtet, die unrechtmäßige Verarbeitung und den unrechtmäßigen Zugriff auf personenbezogene Daten zu verhindern und deren Schutz zu gewährleisten. Zu diesem Zweck muss er technische und organisatorische Maßnahmen ergreifen, um ein angemessenes Sicherheitsniveau sicherzustellen. Werden Daten im Auftrag des Verantwortlichen von einer anderen Person oder Organisation verarbeitet, kann der Verantwortliche gemeinsam mit diesen für die erforderlichen Maßnahmen haftbar gemacht werden.

Die grundlegende Frage für ein Unternehmen, das einem Cyberangriff ausgesetzt war, lautet daher: Das Unternehmen wurde möglicherweise angegriffen; es wird jedoch auch geprüft, ob es vor dem Angriff die notwendigen Vorkehrungen getroffen hat, ob es nach dem Angriff schnell und transparent gehandelt hat und ob es seinen gesetzlichen Meldepflichten nachgekommen ist.

Erster Schritt nach einem Cyberangriff: Ein Krisenteam muss gebildet werden

Sobald ein Cyberangriff festgestellt wird, sollte umgehend ein Krisenstab im Unternehmen eingerichtet werden. Dieser sollte nicht ausschließlich aus IT-Mitarbeitern bestehen. Die Rechtsabteilung, der Datenschutzbeauftragte, die Geschäftsleitung, das IT-Sicherheitsteam, ein externer Cybersicherheitsexperte, die Personalabteilung, die Kundenbetreuung und gegebenenfalls ein Finanz- oder Versicherungsberater sollten eng zusammenarbeiten.

Die erste Bewertung sollte Antworten auf folgende Fragen liefern: Wann begann der Angriff? Welche Systeme waren betroffen? Gab es eine Verletzung des Schutzes personenbezogener Daten? Dauert der Angriff noch an? Wurden die Daten gelöscht, verschlüsselt oder kopiert? Wer sind die betroffenen Gruppen? Sind Kunden-, Mitarbeiter-, Lieferanten-, Patienten-, Studenten- oder Nutzerdaten betroffen? Wurden sensible personenbezogene Daten betroffen? Stammt der Angriff von externen Quellen oder von einem Mitarbeiter oder Lieferanten?

Während das technische Team an der Inbetriebnahme des Systems arbeitet, muss das Rechtsteam Meldefristen, Beweiskraft, die Vorbereitung von Strafanzeigen und die Offenlegungsstrategie des Unternehmens prüfen. Zeitdruck ist besonders wichtig, wenn die Möglichkeit einer Verletzung des Schutzes personenbezogener Daten besteht. Das KVKK (Gesetz zum Schutz personenbezogener Daten) schreibt eindeutig vor, dass der Verantwortliche die Aufsichtsbehörde unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntnisnahme der Verletzung, benachrichtigen muss.

Das System sollte nicht formatiert werden, ohne die Beweismittel zu sichern

Einer der größten Fehler, den Unternehmen nach einem Cyberangriff begehen, ist Panik und die Formatierung aller Systeme, das Löschen von Protokollen oder der Versuch, Spuren des Angriffs zu verwischen. Zwar mag dies das System technisch gesehen schnell wieder funktionsfähig machen, kann aber aus rechtlicher und forensischer Sicht zu einem Verlust von Beweismitteln führen.

Wie der Angriff ablief, welche IP-Adressen für die Verbindungen verwendet wurden, welche Benutzerkonten genutzt wurden, welche Dateien heruntergeladen, welche Daten exportiert wurden, welche Schadsoftware auf dem System ausgeführt wurde, wie lange der Angreifer online blieb und welche Mitarbeiterkonten kompromittiert wurden, lässt sich nur anhand technischer Beweise ermitteln. Daher müssen Protokolldateien, Serverabbilder, Firewall-Protokolle, VPN-Protokolle, E-Mail-Header-Informationen, Antivirus-/EDR-Warnungen, Zugriffsprotokolle, Datenbankprotokolle und Sicherungskopien aufbewahrt werden.

Die Beweissicherung ist nicht nur für das Strafverfahren, sondern auch für Meldungen gemäß DSGVO und mögliche Schadensersatzansprüche von entscheidender Bedeutung. Meldet ein Unternehmen der Aufsichtsbehörde den Verstoß, muss es unter Umständen darlegen, wie es dazu kam, welche Daten betroffen waren, wann der Verstoß entdeckt wurde und welche Maßnahmen ergriffen wurden. Ohne Beweise kann das Unternehmen den Verstoß nicht ordnungsgemäß beurteilen.

Daher sollte nach einem Cyberangriff die Unterstützung eines IT-Forensikers in Anspruch genommen, Systemabbilder ordnungsgemäß erstellt, Protokolle mit Zeitstempeln gespeichert und ein technischer Bericht angefertigt werden. Das Unternehmen sollte den Prozess der Beweissicherung schriftlich dokumentieren.

Ob ein Verstoß gegen das Recht des Schutzes personenbezogener Daten vorliegt, muss unverzüglich geprüft werden

Nicht jeder Cyberangriff stellt eine Verletzung des Schutzes personenbezogener Daten dar. Wird beispielsweise die Website eines Unternehmens kurzzeitig einem DDoS-Angriff ausgesetzt und werden keine personenbezogenen Daten abgerufen, ist eine Meldung gemäß dem türkischen Datenschutzgesetz (KVKK) möglicherweise nicht erforderlich. Eine Verletzung des Schutzes personenbezogener Daten liegt jedoch vor, wenn Kundenlisten, Gehaltsabrechnungen von Mitarbeitern, Identitätsinformationen, Zahlungsinformationen, Gesundheitsdaten, Adressen, Telefonnummern, E-Mail-Konten, IP-Adressen, Mitgliedsinformationen oder andere sensible personenbezogene Daten in die Hände Unbefugter gelangen.

Laut der Erklärung der Behörde ist der Verantwortliche verpflichtet, die betroffene Person und die Aufsichtsbehörde unverzüglich zu benachrichtigen, wenn personenbezogene Daten auf unrechtmäßige Weise in die Hände Dritter gelangen. Darüber hinaus sollten die Datensicherheitsmaßnahmen entsprechend der Unternehmensgröße, dem Tätigkeitsbereich und der Art der verarbeiteten Daten festgelegt werden; ein einheitliches Sicherheitsmodell ist nicht vorgesehen.

Das Unternehmen muss daher innerhalb der ersten 24 Stunden einen Bericht zur Bewertung der Datenschutzverletzung erstellen. Dieser Bericht sollte die Art der Verletzung, die betroffenen Systeme, den Zugriff auf personenbezogene Daten, die betroffenen Datenkategorien, die geschätzte Anzahl der Betroffenen, den Status der Verletzung sowie die ergriffenen ersten Maßnahmen detailliert beschreiben. Sind noch nicht alle Details bekannt, muss dies klar angegeben werden; Unsicherheit darf jedoch nicht dazu missbraucht werden, die Meldepflicht zu verzögern.

Die 72-Stunden-Benachrichtigungspflicht gemäß dem Datenschutzgesetz sollte nicht vergessen werden

Wenn ein Cyberangriff eine Verletzung des Schutzes personenbezogener Daten darstellt, kann das Unternehmen verpflichtet sein, die Datenschutzbehörde zu benachrichtigen. Aus den jüngsten Bekanntmachungen der Behörde geht eindeutig hervor, dass Datenverantwortliche gemäß Beschluss Nr. 2019/10 der Behörde vom 24. Januar 2019 verpflichtet sind, die Behörde unverzüglich und innerhalb von maximal 72 Stunden nach Kenntnisnahme der Verletzung zu benachrichtigen.

Diese 72-Stunden-Frist bedeutet nicht, dass das Unternehmen den Angriff bis ins kleinste Detail aufklären muss. Wichtig ist, den Vorfall nach seiner Entdeckung zeitnah zu melden. Falls eine technische Untersuchung läuft, kann der erste Bericht bereits verfügbare Informationen enthalten; nachfolgende Berichte können zusätzliche Informationen und Aktualisierungen beinhalten. Im Meldeformular des Unternehmens muss zudem eine Begründung für die verspätete Meldung angegeben werden, falls mehr als 72 Stunden vergangen sind.

Die Meldung sollte Angaben zum Zeitpunkt des Vorfalls, zum Zeitpunkt seiner Entdeckung, zu den betroffenen Datenkategorien, zur Anzahl der potenziell betroffenen Personen, zu den möglichen Folgen des Vorfalls, zu den ergriffenen Maßnahmen, zur Benachrichtigung der relevanten Personen sowie zu den Kontaktdaten enthalten. Eine unvollständige, verspätete oder fehlerhafte Meldung kann zudem das Risiko von Verwaltungsstrafen für das Unternehmen erhöhen.

Die betroffenen Personen sollten klar und einfach benachrichtigt werden

Personen, deren personenbezogene Daten von einem Cyberangriff betroffen sind, müssen gegebenenfalls ebenfalls benachrichtigt werden. Zu diesen Personen können Kunden, Mitarbeiter, ehemalige Mitarbeiter, Vertreter von Lieferanten, Mitglieder, Patienten, Studierende, Bewerber oder Plattformnutzer gehören.

Gemäß Beschluss des Ausschusses für den Schutz personenbezogener Daten vom 18. September 2019 mit der Nummer 2019/271 muss die Benachrichtigung der betroffenen Person über eine Datenschutzverletzung in klarer und einfacher Sprache erfolgen; sie muss mindestens folgende Angaben enthalten: wann die Verletzung aufgetreten ist, welche Kategorien personenbezogener Daten betroffen waren, die möglichen Folgen der Verletzung, die zur Minderung der negativen Auswirkungen ergriffenen oder empfohlenen Maßnahmen sowie die Ansprechpartner oder Kommunikationskanäle, über die Informationen eingeholt werden können.

Diese Benachrichtigung sollte weder Panik auslösen noch den Vorfall verharmlosen. Eine vage Aussage wie „Es gab eine technische Störung in unserem System“ ist beispielsweise unzureichend. Falls Namen, Telefonnummern, E-Mail-Adressen, Adressen, Benutzernamen, Passwort-Hashes, Bestellhistorie oder Finanzinformationen betroffen sind, müssen diese ausdrücklich offengelegt werden. Nutzern sollten konkrete Empfehlungen gegeben werden, wie z. B. das Ändern ihrer Passwörter, Vorsicht vor Phishing-E-Mails, die Überwachung ihrer Bankkonten oder die Kontaktaufnahme mit dem Kundensupport.

Es sollte eine Strafanzeige bei der Staatsanwaltschaft erstattet werden

Cyberangriffe gelten in den meisten Fällen als Straftaten gemäß dem türkischen Strafgesetzbuch. Insbesondere der unbefugte Zugriff auf ein Unternehmenssystem, das Kopieren von Datenbanken, das Löschen von Dateien, das Unbrauchbarmachen des Systems, die Verschlüsselung von Daten mittels Ransomware oder die Übertragung von Daten an Dritte können strafrechtliche Ermittlungen nach sich ziehen.

Artikel 243 des türkischen Strafgesetzbuches (TCK) regelt das unbefugte Eindringen in oder den unbefugten Aufenthalt in einem Informationssystem, sei es ganz oder teilweise. Artikel 244 TCK hingegen bestraft Handlungen wie die Behinderung oder Störung des Betriebs eines Informationssystems, die Beschädigung, Zerstörung, Veränderung, Unzugänglichkeit, das Einfügen von Daten in das System oder die Übermittlung vorhandener Daten an Dritte.

Eine Strafanzeige muss fachlich fundiert und konkret formuliert sein. Die bloße Aussage „Unser Unternehmen wurde gehackt“ genügt nicht. Die Anzeige sollte das Datum der Entdeckung des Angriffs, die betroffenen Systeme, die Angriffsmethode, IP-Adressen und Logdateien, die Forderungen des Angreifers, Lösegeldforderungen, Malware-Beispiele, mutmaßliche Datenschutzverletzungen, betroffene Server und technische Berichte enthalten. Die Anzeige sollte die Staatsanwaltschaft auffordern, die IP-Adressen zu untersuchen, Daten von relevanten Dienstanbietern anzufordern, die im Angriff verwendeten Domainnamen und Kryptowährungs-Wallet-Adressen zu prüfen und den/die Täter zu identifizieren.

Die Entscheidung, bei Ransomware-Angriffen Lösegeld zu zahlen, sollte einer rechtlichen Überprüfung unterliegen

Bei Ransomware-Angriffen werden die Dateien eines Unternehmens verschlüsselt, und der Angreifer fordert die Zahlung eines bestimmten Kryptowährungsbetrags. In manchen Fällen werden die Daten nicht nur verschlüsselt, sondern auch veröffentlicht, und der Angreifer droht mit deren Veröffentlichung im Internet, falls die Zahlung ausbleibt. Dadurch steigen sowohl die technischen als auch die rechtlichen Risiken erheblich.

Das Unternehmen muss vor der Zahlung des Lösegelds eine gründliche rechtliche Prüfung durchführen. Die Zahlung garantiert weder die Wiederherstellung der Daten noch, dass der Angreifer die Daten kopiert, weiterverkauft oder veröffentlicht. Darüber hinaus stärkt die Zahlung des Lösegelds allein nicht die zukünftige Verteidigung des Unternehmens mit der Begründung, „alle notwendigen Vorkehrungen getroffen zu haben“.

Bei Ransomware-Angriffen gehören die Wiederherstellung von Daten aus Backups, die Systemisolierung, die Entfernung der Schadsoftware, die Analyse von Datenlecks, die Meldung gemäß DSGVO und die Erstattung einer Anzeige bei der Staatsanwaltschaft zu den wichtigsten Maßnahmen. Korrespondenz mit dem Angreifer, Adressen von Kryptowährungs-Wallets, Lösegeldforderungen und Zahlungsaufforderungen sollten als Beweismittel gesichert werden. Besteht eine Cyberversicherung, sollten Meldefrist und Deckungsumfang mit dem Versicherer abgeklärt werden.

USOM und sektorale Meldungen sollten bewertet werden

Nicht jedes Unternehmen ist gleichermaßen verpflichtet, Cybervorfälle an USOM zu melden. Je nach Ausmaß des Angriffs, Branche, Art der kritischen Infrastruktur und ob es sich um elektronische Kommunikation, Finanzen, Energie, Gesundheitswesen, öffentliche Dienstleistungen oder branchenspezifische Regulierungen handelt, kann jedoch eine Abstimmung mit USOM und den zuständigen branchenspezifischen SOME-Strukturen (Security Operations Center) erforderlich sein.

Laut der türkischen Behörde für Informations- und Kommunikationstechnologien (BTK) wurde das Nationale Zentrum für die Reaktion auf Cybervorfälle (USOM) eingerichtet, um Bedrohungen für die Cybersicherheit der Türkei zu identifizieren, die Auswirkungen potenzieller Cyberangriffe und -vorfälle zu mindern oder zu beseitigen und rund um die Uhr nationale und internationale Koordinierungsmaßnahmen durchzuführen. Das USOM arbeitet mit Justizbehörden und Strafverfolgungsbehörden zusammen, wenn es auf strafbare Handlungen stößt.

In einigen Sektoren, wie beispielsweise der elektronischen Kommunikation, sind Betreiber verpflichtet, Vorkehrungen gegen Cyberangriffe zu treffen, unternehmensweite Sicherheitszentralen (Corporate Security Operations Centers, COOCs) einzurichten und mit branchenspezifischen COOCs zusammenzuarbeiten. Die Stellungnahme der BTK (Behörde für Informations- und Kommunikationstechnologien) zu branchenspezifischen COOCs besagt, dass Betreiber in Abstimmung mit dem USOM (Nationales Zentrum für Cybersicherheit) die notwendigen Vorkehrungen gegen DoS/DDoS-Angriffe, die Verbreitung von Schadsoftware und ähnliche Angriffe treffen müssen.

Unternehmen, die einem Cyberangriff ausgesetzt waren, sollten daher nicht nur das Datenschutzgesetz (KVKK) beachten, sondern je nach Tätigkeitsbereich auch die Hinweise der branchenspezifischen Aufsichtsbehörden.

Mitteilungen an Kunden und Geschäftspartner müssen sorgfältig formuliert werden

Die Kommunikation nach einem Cyberangriff ist von entscheidender Bedeutung. Die Aussagen eines Unternehmens gegenüber Kunden, Geschäftspartnern, Mitarbeitern und der Öffentlichkeit haben sowohl rechtliche als auch reputationsbezogene Konsequenzen. Unzureichende Erklärungen können zu einem Vertrauensverlust führen, während übermäßige und unklare Erklärungen unnötige Panik auslösen oder den Eindruck erwecken können, dass das Unternehmen die Verantwortung übernimmt.

Bei der Abgabe einer Stellungnahme muss ein ausgewogenes Verhältnis gefunden werden: Das Unternehmen sollte den Vorfall nicht verheimlichen, aber auch keine unbestätigten technischen Informationen als unumstößliche Wahrheit darstellen. Wird behauptet, dass „keine Daten betroffen waren“, muss dies durch einen technischen Bericht belegt werden. Wird behauptet, dass „nur eine begrenzte Gruppe von Nutzern betroffen war“, muss erläutert werden, wie diese Gruppe bestimmt wurde.

Benachrichtigungen an relevante Stellen gemäß dem französischen Datenschutzgesetz (KVKK) sind nicht mit öffentlichen Erklärungen zu verwechseln. KVKK-Benachrichtigungen sollten konkreter sein, sich auf spezifische Kategorien personenbezogener Daten beziehen und der betroffenen Person Orientierung bieten. Eine öffentliche Erklärung hingegen sollte die allgemeine Haltung des Unternehmens zu dem Thema, die ergriffenen Maßnahmen und die genutzten Kommunikationskanäle darlegen.

Bei Angriffen, die von Lieferanten ausgehen, sollten Verträge überprüft werden

Viele Cyberangriffe gehen nicht direkt von den Systemen des Unternehmens aus, sondern über einen Lieferanten oder externen Dienstleister. Ein Cloud-Service-Anbieter, E-Mail-Anbieter, CRM-Unternehmen, Softwareanbieter, Zahlungsinstitut, Callcenter, Personalverwaltungssoftware oder Buchhaltungsprogramm kann die Quelle des Angriffs sein.

Die Datenschutzbehörde stellt fest, dass der Verantwortliche gemeinsam mit den Personen, die die personenbezogenen Daten verarbeiten, für die Einhaltung der erforderlichen Sicherheitsvorkehrungen verantwortlich ist. Daher kann sich das Unternehmen nicht der Verantwortung entziehen, indem es sagt: „Die Daten, die vom Lieferanten durchgesickert sind, gehen uns nichts an.“.

Lieferantenverträge sollten nach einem Cyberangriff umgehend überprüft werden. Enthalten die Verträge Bestimmungen zu Datensicherheitspflichten, Meldefristen bei Datenschutzverletzungen, Protokollweitergabe, Prüfrechten, Nutzung durch Unterauftragnehmer, Datentransfer ins Ausland, Entschädigung, Haftungsbeschränkungen und Versicherung? Hat der Lieferant den Angriff unverzüglich gemeldet? Hat er die notwendigen Sicherheitsmaßnahmen ergriffen? Diese Fragen sind sowohl für die Entschädigung als auch für die Geltendmachung von Ansprüchen von entscheidender Bedeutung.

Bei Verstößen durch aktuelle oder ehemalige Mitarbeiter müssen arbeitsrechtliche Verfahren eingeleitet werden

Ein Cyberangriff wird nicht immer von einem externen Hacker verursacht. Auch ein missbrauchter Mitarbeiter, ein ehemaliger Mitarbeiter, ein Mitarbeiter, dessen Zugangsdaten nach seinem Ausscheiden aus dem Unternehmen nicht gesperrt wurden, ein Abteilungsleiter mit einem schwachen Passwort oder ein Mitarbeiter, der auf eine Phishing-E-Mail klickt, können zu dem Datenleck beitragen.

In diesem Fall muss das Unternehmen auch die arbeitsrechtlichen Aspekte des Vorfalls prüfen. Dabei sind die Absicht und Fahrlässigkeit des Mitarbeiters, seine Schulungsbefugnisse, die Einhaltung der Unternehmensrichtlinien, die Frage, ob seine Zugriffsrechte übermäßig waren, und die vom Arbeitgeber getroffenen notwendigen Vorkehrungen zu untersuchen. Hat der Mitarbeiter Daten vorsätzlich gestohlen, können strafrechtliche Konsequenzen, die Kündigung und Schadensersatzansprüche die Folge sein.

Fehler einzelner Mitarbeiter entbinden das Unternehmen jedoch nicht automatisch von der Verantwortung. Auch die Frage nach der Schuld des Unternehmens ist berechtigt, wenn es keine Schulungen zur Informationssicherheit für Mitarbeiter angeboten, keine Multi-Faktor-Authentifizierung eingesetzt, keine Berechtigungen für Aufgaben eingeschränkt, ehemaligen Mitarbeitern den Zugriff entzogen oder keine Protokolle geführt hat.

Der Vorstand und die Geschäftsleitung müssen das Verfahren schriftlich festhalten

Cyberangriffe fallen in den Bereich des betrieblichen Risikomanagements. Daher sollte der Vorstand oder ein anderes zuständiges Gremium bei schwerwiegenden Vorfällen den Ablauf schriftlich dokumentieren. Ergriffene technische Maßnahmen, Entscheidungen zur DSGVO-Meldung, Beauftragung externer Experten, Anzeigen bei der Staatsanwaltschaft, Benachrichtigungen an Kunden und Versicherungen sowie Lieferantenbewertungen sind in den Managemententscheidungen festzuhalten.

Dieser Ansatz ist wichtig, um die Sorgfaltspflicht des Unternehmens künftig nachzuweisen. Im Falle einer Untersuchung durch den Aufsichtsrat, einer Kundenklage, eines Haftungsstreits zwischen Gesellschaftern oder eines Versicherungsstreits kann das Unternehmen schriftlich belegen, dass es den Angriff ernst genommen, umgehend gehandelt und seinen rechtlichen Verpflichtungen nachgekommen ist.

Das Risiko von Verwaltungsstrafen und Entschädigungszahlungen gemäß dem Gesetz zum Schutz personenbezogener Daten (KVKK) sollte bewertet werden

Ein Unternehmen, das Opfer eines Cyberangriffs geworden ist, kann gemäß dem Datenschutzgesetz (KVKK) mit Bußgeldern belegt werden. Das KVKK veröffentlicht eine offizielle Tabelle, in der die erhöhten Bußgelder nach Artikel 18 des Gesetzes Nr. 6698 für die Jahre 2017–2026 auf Grundlage der angepassten Beträge aufgeführt sind.

Entscheidend ist hierbei, dass ein Verstoß gegen die Datenschutzbestimmungen an sich noch keine Bestrafung rechtfertigt. Geprüft werden kann jedoch, ob das Unternehmen die erforderlichen technischen und organisatorischen Maßnahmen ergriffen, den Verstoß fristgerecht gemeldet, die betroffenen Parteien ordnungsgemäß informiert und nach dem Verstoß Korrekturmaßnahmen durchgeführt hat. Die Aufsichtsbehörde erklärt, dass der Vorstand nach Erfüllung der Meldepflicht durch den Verantwortlichen eine Untersuchung einleiten kann.

Darüber hinaus können Kunden, Mitarbeiter oder andere Beteiligte Schadensersatz für materielle und immaterielle Schäden geltend machen. Beispielsweise können Schadensersatzansprüche entstehen, wenn ein Kunde, dessen Identitätsdaten offengelegt wurden, betrogen wurde, wenn einer Person, deren Gesundheitsdaten offengelegt wurden, ein immaterieller Schaden entstanden ist oder wenn Gehaltsabrechnungen von Mitarbeitern veröffentlicht wurden. Daher sollte sich das Unternehmen nach einem Datenschutzverstoß nicht mit einer rein administrativen Benachrichtigung begnügen, sondern auch mögliche zivilrechtliche Haftungsansprüche in Betracht ziehen.

Dokumente, die ein Unternehmen nach einem Cyberangriff vorbereiten muss

Nach einem Cyberangriff sollte das Unternehmen eine umfassende Akte führen. Diese Akte sollte den Vorfallsbericht, den vorläufigen technischen Untersuchungsbericht, Protokolldateien, Systemabbildinformationen, Beschlüsse des Krisenteams, eine Bewertung gemäß DSGVO, die Benachrichtigung des Vorstands, Musterbenachrichtigungen an relevante Personen, die Strafanzeige bei der Staatsanwaltschaft, die Korrespondenz mit Lieferanten, Kundenkommunikationstexte, die ergriffenen technischen Maßnahmen und einen Abschlussbericht enthalten.

Der Abschlussbericht ist von besonderer Bedeutung. Er sollte die Ursache des Angriffs, die betroffenen Systeme, die betroffenen Datenkategorien, die ergriffenen Sofortmaßnahmen, die dauerhaften Sicherheitsverbesserungen, die Maßnahmen zur Verhinderung eines erneuten Auftretens sowie die Verantwortlichen darlegen. Das Unternehmen muss dem Vorstand oder Gericht nachweisen, dass es seit dem Vorfall Verbesserungen erzielt hat.

Rechtliche Präventivmaßnahmen, die vor einem Cyberangriff ergriffen werden sollten

Die Vorbereitung auf einen Angriff ist genauso wichtig wie die Maßnahmen nach einem Cyberangriff. Unternehmen sollten ein Dateninventar erstellen, eine Datensicherheitsrichtlinie, eine Zugriffsberechtigungsmatrix, Datenschutzverpflichtungen für Mitarbeiter, Lieferantenverträge, einen Notfallplan für Datenschutzverletzungen, regelmäßige Schulungen, eine Datensicherungsrichtlinie und Cybersicherheitsaudits durchführen.

Technische Maßnahmen und rechtliche Bestimmungen müssen übereinstimmen. Wenn die DSGVO-Datenschutzerklärung die sichere Datenverarbeitung bestätigt, muss das Unternehmen dies durch entsprechende technische Maßnahmen gewährleisten. Enthält der Lieferantenvertrag eine Klausel, die die Meldung einer Datenschutzverletzung innerhalb von 24 Stunden vorschreibt, muss der Lieferant auf die Umsetzung dieses Prozesses vorbereitet sein. Wird behauptet, dass Mitarbeiter Schulungen zur Informationssicherheit absolviert haben, müssen die Schulungsnachweise aufbewahrt werden.

Abschluss

Die rechtlichen Schritte, die Unternehmen nach Cyberangriffen unternehmen müssen, beschränken sich nicht auf technische Maßnahmen. Das Unternehmen muss zunächst ein Krisenteam einrichten, Beweise sichern, prüfen, ob ein Verstoß gegen die Rechte personenbezogener Daten vorliegt, gegebenenfalls innerhalb von 72 Stunden die Datenschutzbehörde benachrichtigen, betroffene Personen klar und verständlich informieren, Strafanzeige bei der Staatsanwaltschaft erstatten, die Verantwortlichkeit von Lieferanten und Mitarbeitern untersuchen, Versicherungs- und Vertragsangelegenheiten regeln und den gesamten Vorgang schriftlich dokumentieren.

Gemäß dem KVKK (Gesetz zum Schutz personenbezogener Daten) ist der Verantwortliche für die Datenverarbeitung verpflichtet, die erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen, um die unrechtmäßige Verarbeitung und den unrechtmäßigen Zugriff auf personenbezogene Daten zu verhindern, die Datenspeicherung zu gewährleisten und ein angemessenes Sicherheitsniveau sicherzustellen. Werden personenbezogene Daten auf unrechtmäßige Weise erlangt, besteht eine Benachrichtigungspflicht für die Behörde und die betroffenen Personen.

Aus strafrechtlicher Sicht können Cyberangriffe Straftaten gemäß Artikel 243 des türkischen Strafgesetzbuches (TCK) wegen unbefugten Zugriffs auf ein Informationssystem und gemäß Artikel 244 wegen Behinderung, Störung, Zerstörung, Veränderung oder Unzugänglichmachung von Daten innerhalb eines Systems darstellen. Daher sollte das Unternehmen keine Strafanzeige erstatten, ohne technische Beweismittel zu sichern. Es muss seinen Antrag an die Staatsanwaltschaft mit IP-Adressen, Protokollen, Schadsoftware, Ransomware-Nachrichten, Kryptowährungs-Wallet-Adressen und technischen Berichten untermauern.

Zusammenfassend lässt sich sagen, dass die beste Vorgehensweise für Unternehmen, die von einem Cyberangriff betroffen sind, darin besteht, technische und rechtliche Krisen gleichzeitig zu bewältigen. Unternehmen, die schnell und fundiert handeln, Fristen der DSGVO einhalten, die relevanten Personen ordnungsgemäß informieren, die Strafverfolgung mit technischen Berichten unterstützen und nach dem Angriff dauerhafte Sicherheitsverbesserungen implementieren, können das Risiko von Bußgeldern, Schadensersatzforderungen und Reputationsschäden reduzieren.