Incident Response nach einem Cyberangriff

Die ersten 72 Stunden der Incident Response

Incident Response nach einem Cyberangriff ist ein Wettlauf gegen mehrere Uhren zugleich.

Ein Unternehmen in Deutschland, das von Ransomware oder Datendiebstahl betroffen ist, muss den Angriff eindämmen, den Betrieb wiederherstellen und Beweise sichern und zugleich Meldefristen einhalten, die laufen, sobald es von dem Vorfall Kenntnis erlangt: 24 Stunden für eine frühe Erstmeldung an das Bundesamt für Sicherheit in der Informationstechnik (BSI) nach § 32 BSIG, wenn es sich um eine wichtige oder besonders wichtige Einrichtung nach NIS2 handelt, 72 Stunden für die Meldung an die Datenschutzaufsichtsbehörde nach Art. 33 der DSGVO, wenn personenbezogene Daten betroffen sind, und gegebenenfalls weitere Fristen nach dem KRITIS-Dachgesetz, dem Cyber Resilience Act, DORA oder dem Kapitalmarktrecht.

Eine wirksame Incident Response hängt daher von der Vorbereitung ab. Am besten bewältigen Unternehmen einen Angriff, die einen Incident-Response-Plan, einen Krisenstab mit klaren Rollen, vorab ausgewählte externe Forensiker und Rechtsberater, getestete Backups und vorformulierte Meldungen haben. Fehlt dies, gehen die ersten und besonders wertvollen Stunden mit Organisation verloren statt mit der eigentlichen Bewältigung des Vorfalls.

Sofortmaßnahmen

In der ersten Phase der Incident Response geht es vor allem darum, die Kontrolle über die Lage zurückzugewinnen:

1. Krisenstab aktivieren: Geschäftsleitung, IT und Informationssicherheit, Recht, Datenschutzbeauftragter, Kommunikation, Personal und gegebenenfalls Betriebsrat und Investor Relations.
2. Angriff eindämmen: betroffene Systeme isolieren, kompromittierte Konten sperren, Zugangsdaten ändern und nötigenfalls Netzwerkverbindungen trennen – ohne Beweise zu vernichten.
3. Spezialisten einbinden: Forensiker zur Ermittlung von Angriffsvektor und Umfang sowie Rechtsberater zur Steuerung von Meldungen, Vertraulichkeit und Haftungsfragen.
4. Beweise sichern: Protokolle, Abbilder betroffener Systeme und die Kommunikation mit den Angreifern sichern und alle Schritte mit Zeitstempeln dokumentieren.
5. Meldepflichten prüfen: ermitteln, welche Regelwerke gelten und wann die jeweilige Frist zu laufen begonnen hat.
6. Versicherer informieren: Cyber- und D&O-Policen verlangen in der Regel eine unverzügliche Anzeige; nach § 30 des Versicherungsvertragsgesetzes (VVG) hat der Versicherungsnehmer den Eintritt des Versicherungsfalls dem Versicherer unverzüglich anzuzeigen.
7. Kommunizieren: Beschäftigte, Kunden und Geschäftspartner nach Bedarf informieren, abgestimmt mit der rechtlichen Beratung.

Kommunikation und Verträge

Die Kommunikation muss während der gesamten Incident Response über alle Kanäle hinweg einheitlich sein. Erklärungen gegenüber Kunden, Presse und Beschäftigten sollten den Meldungen an Behörden nicht widersprechen und vorschnelle Aussagen über Ursache oder Umfang vermeiden, die sich später als falsch erweisen und eine Haftung begründen können. Börsennotierte Unternehmen müssen zusätzlich prüfen, ob der Vorfall eine Insiderinformation darstellt, die eine Ad-hoc-Mitteilung nach Art. 17 der Marktmissbrauchsverordnung erfordert.

Verträge spielen bei der Bewältigung eines Angriffs in beide Richtungen eine Rolle. Auftragsverarbeiter müssen ihre Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten informieren (Art. 33 Abs. 2 DSGVO), und viele Kunden- und Lieferverträge enthalten eigene Benachrichtigungspflichten, häufig mit kurzen Fristen. Unternehmen, die wegen eines Angriffs nicht leisten können, sollten vor der Information ihrer Kunden Klauseln zu höherer Gewalt und Service-Level-Regelungen prüfen und dokumentieren, warum die Leistung unmöglich war. Umgekehrt sollten eigene vertragliche Benachrichtigungs-, Mitwirkungs- und Prüfrechte frühzeitig ausgeübt werden, wenn der Angriff über einen Dienstleister erfolgte.

Meldepflichten im Überblick

Die Regelwerke überschneiden sich in vielen Punkten, sind aber nicht identisch. Ein Ransomware-Angriff auf ein Logistikunternehmen kann eine Meldung nach dem BSIG, eine Meldung nach der DSGVO und eine Ad-hoc-Mitteilung erfordern, jeweils mit unterschiedlichem Inhalt. Im BSIG-Regime muss die frühe Erstmeldung angeben, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht oder grenzüberschreitende Auswirkungen haben könnte; die Meldung muss eine erste Bewertung von Schweregrad und Auswirkungen und, soweit verfügbar, Kompromittierungsindikatoren enthalten.

Fallbeispiel

Fallbeispiel (hypothetisch): An einem Montagmorgen stellt ein deutsches Maschinenbauunternehmen mit 800 Beschäftigten, eine wichtige Einrichtung nach dem BSIG, fest, dass sein ERP-System und seine Dateiserver verschlüsselt sind, und findet eine Lösegeldforderung, in der behauptet wird, Kunden- und Beschäftigtendaten seien gestohlen worden. Der Krisenstab tritt binnen einer Stunde zusammen, isoliert das Netzwerk und beauftragt Forensiker und Rechtsberater. Bis Dienstagmorgen ist die frühe Erstmeldung an das BSI abgegeben, in der ein krimineller Angriff vermutet wird.

Am Mittwoch folgt die 72-Stunden-Meldung mit einer ersten Bewertung des Schweregrads, und der Datenschutzaufsichtsbehörde wird die Verletzung gemeldet. Als die Angreifer in der folgenden Woche Beschäftigtendaten auf einer Leak-Seite veröffentlichen, informiert das Unternehmen die betroffenen Beschäftigten nach Art. 34 DSGVO und stimmt Unterstützungsmaßnahmen mit dem Betriebsrat ab. Die Abschlussmeldung an das BSI ist einen Monat nach der 72-Stunden-Meldung fällig.

Datenschutzrechtliche Aspekte der Incident Response

Die meisten Cyberangriffe betreffen in der einen oder anderen Form auch personenbezogene Daten. Der Verantwortliche muss der Datenschutzaufsichtsbehörde eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für natürliche Personen (Art. 33 DSGVO). Hat die Verletzung voraussichtlich ein hohes Risiko zur Folge, sind auch die betroffenen Personen zu benachrichtigen (Art. 34 DSGVO). Jede Verletzung ist intern zu dokumentieren (Art. 33 Abs. 5 DSGVO). Wurden Daten von Angreifern abgezogen und veröffentlicht, wird häufig ein hohes Risiko vorliegen. Unvollständige Informationen können der Behörde schrittweise nachgereicht und ergänzt werden.

Betroffene Personen können Schadensersatz nach Art. 82 DSGVO verlangen. Nach der Rechtsprechung des EuGH kann die Befürchtung eines Datenmissbrauchs einen immateriellen Schaden darstellen, und deutsche Gerichte haben sich nach Datenschutzverletzungen mit zahlreichen Ansprüchen befasst. Siehe unsere Beiträge zur Meldung von Datenschutzverletzungen und zum DSGVO-Schadensersatz.

Beweissicherung, Vertraulichkeit und Strafverfahren

Die Incident Response erzeugt sensible Unterlagen: forensische Berichte, interne Bewertungen, Kommunikation mit den Angreifern. In Deutschland schützt das Anwaltsgeheimnis Unterlagen im Gewahrsam eines Verteidigers eines Mandanten, der Beschuldigter ist, der Schutz von Material aus internen Untersuchungen ist aber begrenzt. Mit Beschluss vom 27.6.2018 – 2 BvR 1405/17 hat das Bundesverfassungsgericht die Beschlagnahme von Unterlagen aus einer internen Untersuchung bestätigt, die sich bei den externen Rechtsanwälten des Unternehmens befanden.

Auch die forensische Arbeit selbst muss im Rahmen der Incident Response den Datenschutz beachten. Die Auswertung von Postfächern, Geräten und Protokolldaten der Beschäftigten ist eine Verarbeitung personenbezogener Daten, die eine Rechtsgrundlage benötigt und verhältnismäßig sein muss. Ist die private Nutzung der betrieblichen IT erlaubt, können zusätzliche Beschränkungen gelten, und Betriebsvereinbarungen über IT-Systeme regeln häufig den Zugriff auf Beschäftigtendaten. Externe Forensikdienstleister sollten durch Auftragsverarbeitungsverträge und Vertraulichkeitspflichten gebunden werden.

Unternehmen sollten Untersuchungen von Vorfällen daher sorgfältig strukturieren, die tatsächliche forensische Arbeit von rechtlichen Bewertungen trennen und die Verbreitung sensibler Schlussfolgerungen begrenzen.

Unternehmen sollten Cyberangriffe bei der Polizei anzeigen; die Landespolizeien verfügen über spezialisierte Zentrale Ansprechstellen Cybercrime. Eine Strafanzeige ist kein Selbstzweck: Sie kann Versicherungsansprüche stützen und hilft den Strafverfolgungsbehörden, die Angreifer zu ermitteln. Die Staatsanwaltschaft kann Daten und Beweismittel anfordern, sodass die Zusammenarbeit mit der rechtlichen Beratung abgestimmt werden sollte.

Lösegeldforderungen

Ob mit Ransomware-Angreifern verhandelt oder an sie gezahlt wird, ist eine unternehmerische Entscheidung mit rechtlichen Grenzen. Zahlungen an Personen oder Organisationen, die EU-Sanktionen unterliegen, sind in jedem Fall verboten, und die Zuordnung von Ransomware-Gruppen ist oft unsicher. Die Geschäftsleitung muss die Interessen des Unternehmens sorgfältig abwägen und die Entscheidung dokumentieren, einschließlich der geprüften Alternativen, der eingeholten Beratung und der Einbindung der Strafverfolgungsbehörden. Versicherungspolicen können besondere Bedingungen oder Ausschlüsse für Lösegeldzahlungen enthalten, die vor einer Entscheidung geprüft werden sollten. Eine Zahlung befreit nicht von den Meldepflichten, und Daten können dennoch veröffentlicht werden. Es gibt zudem keinerlei Garantie, dass die Angreifer ein funktionierendes Entschlüsselungswerkzeug liefern.

Wiederanlauf und Lehren aus dem Vorfall

Mit der Wiederherstellung der Systeme ist die Incident Response noch nicht abgeschlossen. Die Abschlussmeldung nach dem BSIG verlangt eine ausführliche Beschreibung des Vorfalls, seiner grundlegenden Ursache, der ergriffenen Abhilfemaßnahmen und grenzüberschreitender Auswirkungen.

Die Geschäftsleitung sollte eine Nachbetrachtung des Vorfalls in Auftrag geben, die bewertet, was schiefgelaufen ist, welche Maßnahmen versagt haben und wie das Risikomanagementsystem nach § 30 BSIG verbessert werden muss. Nach § 38 BSIG muss die Geschäftsleitung die Umsetzung dieser Verbesserungen überwachen. Ansprüche gegen IT-Dienstleister, Softwareanbieter oder Versicherer sollten frühzeitig geprüft und die maßgeblichen Verjährungsfristen notiert werden. Wurde der Vorfall durch ein fehlerhaftes Produkt oder eine Vertragsverletzung eines Dienstleisters verursacht, sind eine frühzeitige Beweissicherung und rechtzeitige Mängelrügen für einen späteren Regress oft entscheidend. Siehe unseren Beitrag zur Geschäftsleiterhaftung nach NIS2.

Nach einem Angriff stellen sich zudem regelmäßig auch arbeitsrechtliche Fragen: Hat das Verhalten eines Beschäftigten zu dem Vorfall beigetragen, etwa durch Missachtung von Sicherheitsrichtlinien, sind Disziplinarmaßnahmen sorgfältig zu prüfen, unter Berücksichtigung der Rechte des Betriebsrats und der eigenen Organisationsverantwortung des Unternehmens.

Angriffe über die Lieferkette

Viele Vorfälle gehen nicht vom betroffenen Unternehmen selbst, sondern von seinen Dienstleistern aus: ein kompromittiertes Software-Update, ein Managed Service Provider mit privilegiertem Zugang oder eine von vielen Kunden genutzte Cloud-Plattform. In solchen Fällen ist das betroffene Unternehmen häufig auf Informationen des Dienstleisters angewiesen, um seine eigenen Meldepflichten zu beurteilen. Verträge sollten Dienstleister daher verpflichten, Vorfälle unverzüglich zu melden, Kompromittierungsindikatoren und forensische Erkenntnisse zu teilen und mit Behörden zusammenzuarbeiten. Die Sicherheit der Lieferkette gehört zu den Mindestmaßnahmen nach § 30 BSIG, und die Behörden werden erwarten, dass Unternehmen die Sicherheit ihrer wichtigsten Dienstleister bewertet haben.

Vorbereitung auf den nächsten Vorfall

Regelmäßige Übungen sind die wirksamste Vorbereitung auf den Ernstfall. Sogenannte Planspiele mit der Geschäftsleitung, in denen ein realistisches Szenario in Echtzeit durchgespielt wird, decken Lücken bei Entscheidungen, Kommunikation und Meldeprozessen auf. Technische Übungen testen dagegen Backups und die tatsächlichen Wiederherstellungszeiten. Die Ergebnisse dieser Übungen sollten unmittelbar in den Plan für die Incident Response einfließen, der mindestens jährlich und nach jedem erheblichen Vorfall aktualisiert werden sollte. Für Einrichtungen, die unter das BSIG fallen, belegen dokumentierte Übungen zudem, dass die Geschäftsleitung ihre Überwachungspflichten erfüllt.

So unterstützt TRW & Co bei der Incident Response

Wir unterstützen Unternehmen bei der Incident Response nach Cyberangriffen: mit Beratung des Krisenstabs, der Prüfung von Meldepflichten nach BSIG, DSGVO, KRITIS-Dachgesetz, Cyber Resilience Act und Kapitalmarktrecht, dem Entwurf von Meldungen, der Abstimmung mit Forensikdienstleistern und Behörden und der Abwicklung von Versicherungsfällen. Wir verteidigen in Datenschutzverfahren und gegen Schadensersatzansprüche, nehmen Regress bei Dienstleistern und helfen der Geschäftsleitung, Entscheidungen zu dokumentieren. Außerdem erstellen wir Pläne für die Incident Response und führen Übungen durch. Siehe unsere Seiten zu Cybersicherheit und NIS2 und zu internen Untersuchungen oder kontaktieren Sie uns.