Cyberangriff beim Dienstleister! Und nun?

Cyberangriff beim Dienstleister! Und nun?

Wird ein IT-Dienstleister angegriffen, können die Systeme des Kunden auch stillstehen. Ein Grund die Hände in Schoß zu legen, gibt es aber nicht. Im Gegenteil: Während die technische Aufklärung läuft, können bereits eigene Melde-, Informations- und Vertragspflichten entstehen. Ob Unternehmen diese rechtzeitig erfüllen können, entscheidet sich häufig schon lange vor dem Vorfall – bei der Vertragsgestaltung und im Incident-Response-Playbook.

Zusammenfassung (TL; DR):

• Wenn ein IT-Dienstleister von einem Cyberangriff betroffen ist, stehen oft auch die Systeme seiner Kunden still, was für diese sofortige rechtliche Melde- und Informationspflichten auslösen kann.
•  Unternehmen dürfen trotz fehlender Forensikdaten des Dienstleisters keine Zeit verlieren, da gesetzliche Fristen wie die 72-Stunden-Meldung der DSGVO bei Datenabfluss bereits laufen können.
• Um im Ernstfall handlungsfähig zu bleiben, müssen klare Informationsrechte, Meldefristen und Prozesse zur Zusammenarbeit bereits vorab fest in den IT-Verträgen und Incident-Response-Playbooks verankert sein.

Über die jüngsten kritischen PHP-Schwachstellen

Die jüngsten kritischen PHP-Schwachstellen zeigen, wie schnell Sicherheitsupdates dringlich werden können. Eine veröffentlichte Schwachstelle bedeutet aber weder einen erfolgreichen Angriff noch automatisch eine Meldepflicht. Was aber, wenn Angreifer tatsächlich in die Systeme Ihres IT-Dienstleisters eingedrungen sind? Im letzten Beitrag ging es um die CRA-Meldepflichten und die Bedeutung eines Incident-Response-Playbooks. Jetzt folgt die Bewährungsprobe: Was müssen Unternehmen rechtlich tun, wenn ihr Dienstleister einen Cyberangriff meldet?

Nicht angegriffen – und trotzdem betroffen

E-Mail, Hosting, Warenwirtschaft, Lohnabrechnung, Backups oder Kundenportale liegen häufig bei externen Anbietern. Das schafft Effizienz, aber auch Abhängigkeiten. Wird der Dienstleister angegriffen, kann sich der Vorfall unmittelbar auf Systeme und Daten seiner Kunden auswirken.

Ein funktionierendes Backup löst möglicherweise ein etwaiges Verfügbarkeitsproblem, einen möglichen Datenabfluss macht es aber nicht rückgängig. Mit anderen Worten: Entscheidend ist nicht, wo der Angriff begann, sondern welche Auswirkungen er auf das eigene Unternehmen, seine Leistungen und Daten hat.

Freitag, 16 Uhr: „Wir untersuchen einen Sicherheitsvorfall“

Ein fiktiver, aber keineswegs fernliegender Fall. Ein Unternehmen bietet über ein extern betriebenes Kundenportal digitale Produkte an. Am Freitagnachmittag meldet der IT-Dienstleister einen Cyberangriff. Ob Kundendaten betroffen sind, sei noch unklar. Weitere Informationen werde man mitteilen, sobald die forensische Untersuchung belastbare Ergebnisse liefert.

Das ist aus Sicht des Dienstleisters nachvollziehbar. Für dessen Kunden kann das Warten allerdings rechtlich riskant werden. Die Uhr läuft möglicherweise bereits, doch die Informationen fehlen. Zeit, die Hände in den Schoß zu legen, bleibt nicht. Für eine erste rechtliche Bewertung braucht es keinen abschließenden Forensikbericht, wohl aber einen belastbaren Mindeststand.

• Welche Leistung ist seit wann betroffen?
• Welche Systeme und Datenbestände kommen in Betracht?
• Gibt es Hinweise auf unbefugte Zugriffe, Manipulation oder Datenabfluss?
• Welche Maßnahmen wurden ergriffen, und wann folgt das nächste Update?

Diese Informationen sollten vorliegen. Zugleich sind die erste Mitteilung, weitere Erkenntnisse und die darauf beruhenden Entscheidungen zu dokumentieren. Bestätigte Tatsachen, Verdachtsmomente und offene Fragen müssen klar voneinander getrennt bleiben. Schließlich kann der Zeitpunkt der Kenntniserlangung gesetzliche Meldefristen auslösen.

Nicht jede Störungsmeldung setzt bereits eine gesetzliche Meldefrist in Gang. Sie darf aber auch nicht unbearbeitet im Support-Postfach liegen bleiben (oder gar im Spam landen). Aus der ersten Nachricht muss ein Prüf- und Eskalationsprozess werden. Nicht erst aus dem abschließenden Forensikbericht.

Klingt überdramatisiert? Die Erfahrung sagt: Nein!

Technik lässt sich auslagern. Die eigene rechtliche Handlungsfähigkeit nicht. Verarbeitet der Dienstleister personenbezogene Daten im Auftrag für den Kunden, muss er dem Verantwortlichen eine ihm bekannt gewordene Datenschutzverletzung nach Art. 33 Abs. 2 DS-GVO unverzüglich melden. Die Prüfung einer eigenen Meldung an die Aufsichtsbehörde verbleibt grundsätzlich beim Verantwortlichen.

Nach Art. 33 Abs. 1 DS-GVO ist eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden, es sei denn, dass sie voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen begründet. Soweit dürfte das bekannt sein.

Allerdings stellt nicht jeder Vorfall eine Verletzung des Schutzes personenbezogener Daten dar und nicht jede solche Verletzung löst automatisch eine Meldepflicht aus. Wie wir Juristen in solchen Fällen gerne zum Leidwesen der Zuhörer sagen (oder weil wir es grade nicht selbst besser wissen): Es kommt darauf an. Worauf? Darauf, ob personenbezogene Daten beeinträchtigt wurden und welches Risiko daraus entsteht. Das muss der Verantwortliche bewerten können, obwohl die Forensik beim Dienstleister noch läuft.

Weitere Pflichten: Nicht alles trifft jeden

Eine vollständige Darstellung aller denkbaren Meldepflichten würde hier den Rahmen sprengen. Die CRA-Meldepflichten habe ich bereits im letzten Beitrag behandelt. Daneben sollten Unternehmen insbesondere die Meldepflichten nach § 32 BSIG im Blick behalten. Hinzu kommen möglicherweise Informationspflichten aus eigenen Kundenverträgen und Anzeigeobliegenheiten gegenüber Cyberversicherern.

Die entscheidende Frage lautet also nicht, ob irgendwo ein Cyberangriff stattgefunden hat, sondern welche eigenen Pflichten dadurch ausgelöst werden und ob überhaupt über die notwendigen Informationen verfügt wird, um die eigenen Pflichten rechtzeitig prüfen und gegebenenfalls erfüllen zu können.

Und wenn der Dienstleister trotzdem schweigt?

Das Fallbeispiel zeigt das Problem: Der Kunde muss seine rechtlichen Pflichten bewerten und gegebenenfalls erfüllen. Die dafür erforderlichen Informationen liegen aber beim Dienstleister. Was aber, wenn dieser die benötigten Informationen nicht oder nur unvollständig bereitstellt?

Das bedeutet zunächst, fehlende Angaben konkret und nachweisbar anzufordern, gegebenenfalls unter Fristsetzung. Dabei sollte dokumentiert werden, welche Informationen fehlen und welche Folgen das für die eigene rechtliche Bewertung hat. Welche Informationen der Kunde verlangen kann, richtet sich nach den bestehenden gesetzlichen und vertraglichen Pflichten. Neben den Regelungen einer Auftragsverarbeitung können auch vertragliche Rücksichtnahmepflichten nach § 241 Abs. 2 BGB eine Rolle spielen. Daraus folgt allerdings kein pauschaler Anspruch auf sämtliche internen Forensikunterlagen des Dienstleisters.

Auch wenn der Dienstleister schweigt, muss das Unternehmen anhand der verfügbaren Erkenntnisse entscheiden, ob eigene Meldepflichten bestehen. Die fehlenden Informationen sind dabei ebenso zu dokumentieren wie die Gründe für die getroffene Entscheidung.

Die typische Lücke liegt im Vertrag

Ob und wann diese Informationen bereitgestellt werden müssen, sollte deshalb nicht erst während eines Cyberangriffs diskutiert werden. Viele IT-Verträge regeln Verfügbarkeit, Reaktionszeiten und Wiederherstellungsfristen. Ein Service-Level-Agreement (SLA) kann beispielsweise vorsehen, dass ein kritisches Ticket innerhalb einer Stunde bearbeitet wird. Daraus folgt aber noch nicht, wann der Kunde über einen möglichen Datenabfluss informiert wird oder welche Informationen er für seine eigenen Behördenmeldungen erhält.

Bei Auftragsverarbeitung gibt es gesetzliche Mitteilungs- und Unterstützungspflichten (Art. 33 Abs. 2, Art. 28 Abs. 3 lit. f DS-GVO). Aber auch sie müssen vertraglich konkretisiert werden und decken nicht jeden sicherheitsrelevanten Vorfall ab. AVV, SLA und weitere IT-vertragliche Vereinbarungen sollten deshalb ineinandergreifen.

Verträge mit (kritischen) IT-Dienstleistern sollten deshalb bereits festlegen, welche Sicherheitsvorfälle zu melden sind, innerhalb welcher Fristen die Information erfolgen muss und welche Angaben der Dienstleister bereitzustellen hat. Das sollte auch konkrete Verdachtsfälle erfassen. Ebenso müssen die weitere Zusammenarbeit bei der Aufklärung, die Unterstützung bei gesetzlichen Meldepflichten und die Einbindung von Unterauftragnehmern geregelt sein.

Nicht jede Einzelheit lässt sich im Voraus festlegen. Wohl aber ein verbindliches Verfahren, das verhindert, dass Zuständigkeiten, Informationsrechte und Kommunikationswege erst während des Angriffs ausgehandelt werden. Das ist nicht nur für die Erfüllung eigener Meldepflichten von Bedeutung, sondern auch für mögliche Ansprüche gegen den Dienstleister.

Je nach Vertragsgestaltung und konkreter Pflichtverletzung kommen auch Schadensersatzansprüche nach § 280 Abs. 1 BGB in Betracht. Der Cyberangriff allein begründet grundsätzlich noch keine Haftung. Anders kann es aussehen, wenn der Dienstleister schuldhaft vereinbarte Sicherheits- oder Informationspflichten verletzt und dadurch ein zurechenbarer Schaden entsteht.

Der Vertrag allein genügt nicht

Was vertraglich geregelt ist, muss auch organisatorisch funktionieren. Hier schließt sich der Kreis zum Incident-Response-Playbook. Intern muss feststehen, wer die Meldung des Dienstleisters entgegennimmt, fehlende Informationen anfordert und die gesetzlichen Meldepflichten bewertet. Ebenso muss geklärt sein, wer über die Kommunikation mit Behörden, Kunden und Cyberversicherern entscheidet.

Der beste Vertrag nützt wenig, wenn die entscheidende Meldung am Freitagnachmittag im falschen Postfach landet und niemand weiß, was zu tun ist.

Fazit

Ein Cyberangriff auf einen IT-Dienstleister bleibt nicht zwingend dessen internes Problem. Wer seine eigenen rechtlichen Pflichten erfüllen muss, braucht dafür rechtzeitig verlässliche Informationen. Deshalb sollte die Vorbereitung auf einen Cybervorfall nicht bei technischen Schutzmaßnahmen enden. Sie beginnt auch bei der Gestaltung der Verträge und endet bei einem Playbook, das die vereinbarten Prozesse im Ernstfall tatsächlich umsetzt.

Häufige Fragen (FAQ)