Die wichtigsten Schritte für ein effektives Management von Datenschutzverletzungen

Die Einführung eines Plans zum Umgang mit Datenschutzverletzungen stellt sicher, dass die richtigen Mitarbeiter und Verfahren vorhanden sind, um einer Bedrohung wirksam zu begegnen.

Stellen Sie sich die Panik vor, wenn ein massiver Datenmissbrauch entdeckt wird – vielleicht einer, der bereits seit Monaten andauert. Im Jahr 2017 machte Equifax die Öffentlichkeit auf den Diebstahl von mehreren Millionen Datensätzen aufmerksam, die sich in seiner Obhut befanden.

Auslöser des Diebstahls war eine Sicherheitslücke in Apache Struts, einem weit verbreiteten Entwicklungs-Framework. Equifax war über die Sicherheitslücke informiert, doch der mit der Behebung beauftragte Mitarbeiter versäumte es, diese zu schließen. Es folgte eine Kette unglücklicher Ereignisse, darunter das Versagen von Patch-Scannern bei der Erkennung weiterer Sicherheitslücken, verschärft durch mehrere menschliche Fehler seitens der Mitarbeiter.

Equifax hat seitdem rund 1,4 Milliarden US-Dollar (1 Milliarde Pfund) in die Verbesserung seiner Sicherheitsvorkehrungen investiert. Das Unternehmen wurde zudem vom britischen Information Commissioner’s Office (ICO) mit einer Geldstrafe in Höhe von einer halben Million Pfund belegt, und der ehemalige CIO von Equifax wurde zu einer viermonatigen Freiheitsstrafe verurteilt, da er die Datenschutzpanne zu seinem persönlichen Vorteil ausgenutzt hatte. Die Datenpanne bei Equifax war der Albtraum eines jeden Unternehmens.

Indem wir uns „in die Lage anderer versetzen“, können wir nachvollziehen, wie die einzelnen Bereiche einer Organisation das Management von Datenschutzverletzungen effektiv handhaben. Durch die Überlegung, wie jede Abteilung dazu beitragen kann, die Kette von Ereignissen, die zu einer Datenschutzverletzung führen, zu entschärfen, lässt sich die Offenlegung von Daten effektiver bewältigen.

Das „Wie“ und „Warum“ des Managements von Datenschutzverletzungen

Datenpannen betreffen jeden in einem Unternehmen. Ebenso kann jeder dazu beitragen, eine Datenpanne zu verhindern oder deren Auswirkungen zu minimieren. Im Folgenden werden die unterschiedlichen Zuständigkeiten in fünf Schlüsselbereichen eines Unternehmens sowie die jeweiligen Aufgaben bei der Bewältigung einer Datenpanne erläutert.

Das Team für Sicherheitsvorfälle

Das Management und die Prävention von Datenschutzverletzungen bilden das Kerngeschäft des Teams für Sicherheitsvorfälle. Dieses Team wird zunehmend in Anspruch genommen, da Datenschutzverletzungen sowohl an Zahl als auch an Schwere zunehmen. Seine Rolle ist für die Bewältigung einer Datenschutzverletzung von zentraler Bedeutung, und das Team stützt sich bei dieser Aufgabe auf einen robusten Prozess. Das Sicherheitsteam sollte auf einen Plan zur Reaktion auf Sicherheitsvorfälle sowie einen Notfallwiederherstellungsplan zurückgreifen können, um die Datenpanne einzudämmen. Diese Pläne dienen als Grundlage für die Maßnahmen, die nach dem Auftreten einer Datenpanne zu ergreifen sind.

Zu den typischen Maßnahmen zur Eindämmung und Bewältigung von Sicherheitsverletzungen gehören:

Bestätigen Sie den Verstoß

Es mag als selbstverständlicher Schritt erscheinen, doch vergewissern Sie sich, dass die Datenschutzverletzung tatsächlich stattgefunden hat und ob vertrauliche oder sensible Daten davon betroffen sind. Die im Rahmen der Analyse der Datenschutzverletzung erhobenen Daten werden benötigt, falls die Datenschutzverletzung so schwerwiegend ist, dass eine Aufsichtsbehörde benachrichtigt werden muss. Zu den Informationen, die erhoben und dokumentiert werden sollten, gehören:

• • Wie der Sicherheitsverstoß entdeckt wurde

• • Wo es sich ereignete

• • Wer ist davon betroffen (einschließlich aller Anbieter im Ökosystem)?

• • Wer hat den Verstoß gemeldet?

• • Das Datum bzw. die Daten, an denen etwaige Verstöße auftraten

• • Welches Risiko stellt der Vorfall für das Unternehmen, die Kunden usw. dar?

• • Ist der Vorfall nun vollständig unter Kontrolle?

Wie kam es zu dem Sicherheitsverstoß?

Eine Analyse des Datenlecks ist nicht nur aus Compliance-Gründen erforderlich, sondern kann auch dazu beitragen, künftige Datenrisiken zu mindern. Die Dynamik von Datenlecks ist vielfältig. Daten können durch eine Vielzahl von Mechanismen offengelegt werden, die sowohl versehentlich als auch böswillig erfolgen können. Identifizieren Sie diese Mechanismen: Handelte es sich um eine versehentliche Offenlegung durch einen Mitarbeiter oder um einen böswilligen Hackerangriff? Das Verständnis der verwendeten Angriffsvektoren und Taktiken kann dazu beitragen, das Risiko zu verringern und die Auswirkungen des Angriffs abzumildern.

Die Art der betroffenen Daten

Die Ermittlung des Risikograds der betroffenen Daten ist sowohl für die Meldung von Datenschutzverletzungen und die Einhaltung gesetzlicher Vorschriften als auch für das Verständnis der Gesamtauswirkungen auf das Unternehmen von entscheidender Bedeutung. Dokumentieren Sie die Art und den Risikograd der von der Datenschutzverletzung betroffenen Daten. Ein Unternehmen sollte bereits über ein Klassifizierungssystem verfügen, das auf einer Norm wie ISO 27001 basiert. Diese Norm legt vier Datenkategorien fest:

1. 1. Vertraulich (Zugriff nur für die Geschäftsleitung)

1. 1. Eingeschränkt (die meisten Mitarbeiter haben Zugriff)

1. 1. Intern (alle Mitarbeiter haben Zugriff)

1. 1. Öffentlich zugängliche Informationen (für jedermann zugänglich)

Eindämmung und Wiederherstellung

Sobald eine Sicherheitsverletzung festgestellt wurde, ist es von entscheidender Bedeutung, diese so schnell wie möglich einzudämmen. Die im Rahmen der Analyse der Sicherheitsverletzung ergriffenen Maßnahmen ermöglichen die Entwicklung einer Strategie zur Eindämmung. Bei Sicherheitsverletzungen, an denen Mitarbeiter beteiligt sind, kann eine Überprüfung der Schulungen zum Sicherheitsbewusstsein erforderlich sein. Bei Sicherheitsverletzungen, die durch externe böswillige Hacker verursacht wurden, sind eine eingehendere Untersuchung der Systeme sowie Abhilfemaßnahmen erforderlich. Es müssen Wiederherstellungspläne erstellt werden, um die Auswirkungen der Sicherheitsverletzung so gering wie möglich zu halten.

Recht und Compliance

Alle zu dem Datenschutzvorfall zusammengetragenen Belege werden von den Rechts- und Compliance-Abteilungen zur Bewältigung der Folgen des Vorfalls herangezogen. Die Rechts- und Compliance-Teams entscheiden, ob der Vorfall unter die Meldepflicht für Datenschutzvorfälle fällt; So muss beispielsweise gemäß § 67 des britischen Datenschutzgesetzes von 2018 (DPA 2018) eine Meldung der Datenschutzverletzung innerhalb von 72 Stunden, nachdem das Unternehmen von der Verletzung Kenntnis erlangt hat, an die ICO erfolgen. Alle vom Sicherheitsteam gesammelten dokumentierten Nachweise zur Datenschutzverletzung – einschließlich der Angaben zu Ort, Ursache und Art der Abhilfemaßnahmen – werden bei dieser Offenlegung herangezogen. Möglicherweise besteht zudem die Verpflichtung, die betroffene Person über die Datenschutzverletzung zu informieren. Dies kann die Veröffentlichung eines umfassenden öffentlichen Offenlegungsschreibens auf der Website des Unternehmens erfordern.

Benachrichtigungsregeln

Entscheidend für die rechtlich korrekte Handhabung einer Datenschutzverletzung ist eine fundierte Entscheidung darüber, ob und wann die Aufsichtsbehörde über die Verletzung informiert werden soll. Fragen wie beispielsweise, ob eine gesetzliche Meldepflicht für den Vorfall besteht, können nur von qualifiziertem, sachkundigem Personal beantwortet werden. Diese Entscheidung kann erfordern, dass der Vorfall öffentlich bekannt gegeben wird: Dies hat offensichtlich langfristige Auswirkungen auf den Ruf des Unternehmens und wird wahrscheinlich die Marketingabteilung einbeziehen, um die Auswirkungen auf die Marke so gering wie möglich zu halten. Hier sind einige Beispiele für öffentliche Bekanntmachungen von Datenschutzverletzungen:

Datenschutzverletzung bei Equifax

Datenschutzverletzung bei CapitalOne

Datenpanne bei Twitter

Die Vorschriften zur Meldung von Datenschutzverletzungen variieren je nach Rechtsordnung. So muss beispielsweise gemäß der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union die Meldung einer Datenschutzverletzung innerhalb von 72 Stunden nach Feststellung des Vorfalls erfolgen. Gemäß den „Privacy and Electronic Communications Regulations“ (PECR, eine Verordnung, die für Internet- und Telekommunikationsdienstleister gilt) muss eine Verletzung des Schutzes personenbezogener Daten jedoch spätestens 24 Stunden nach ihrer Feststellung der ICO gemeldet werden.

Die Mitarbeiter

Indem die Mitarbeiter in den Prozess des Vorfallmanagements eingebunden werden, werden sie zu einer wichtigen Kraft an vorderster Front im Kampf gegen Cyberangriffe. Mitarbeiter und Sicherheitsmaßnahmen decken ein breites Spektrum potenzieller Schwachstellen ab – von der versehentlichen Offenlegung von Daten über Phishing bis hin zur Komplizenschaft mit externen Hackern.

Laut dem „Data Breach Investigation Report 2020“ (DBIR) von Verizon lassen sich rund 17 % der Datenschutzverletzungen schlicht auf Fehler zurückführen. So stellt es beispielsweise eine mangelhafte Sicherheitspraxis dar, wenn Mitarbeiter Passwörter weitergeben oder diese in mehreren Anwendungen wiederverwenden.

Phishing ist nach wie vor die bevorzugte Waffe der Cyberkriminellen; Phisher ahmen gerne Marken wie Microsoft nach, um Nutzer dazu zu verleiten, ihre Unternehmenszugangsdaten preiszugeben. In Schulungen zur Sensibilisierung für Sicherheitsfragen lernen Mitarbeiter, auf welche vielfältigen positiven Weisen sie dazu beitragen können, ein hohes Sicherheitsniveau im Unternehmen aufrechtzuerhalten.

Im Hinblick auf das Datenschutzverletzungsmanagement muss das Bewusstsein der Mitarbeiter so weit reichen, dass sie ihre Verantwortlichkeiten im Rahmen verschiedener Vorschriften verstehen, beispielsweise die Gewährleistung, dass Kundendaten im Einklang mit gesetzlichen Bestimmungen wie dem DPA 2018 und der DSGVO behandelt und genutzt werden. Indem ein Unternehmen versteht, wo es zu einem Datenschutzverstoß kommen könnte, und welche Verantwortlichkeiten sich aus den verschiedenen einschlägigen Vorschriften ergeben, kann es die Mitarbeiter in den Prozess des Datenschutzverstoßmanagements einbinden.

Es ist jedoch wichtig, das Personal entsprechend zu schulen. Bestimmte Mitarbeiter, wie beispielsweise technische Angestellte, benötigen möglicherweise eine spezielle Sicherheitsschulung und/oder müssen eine Zertifizierung absolvieren.

Neue Mitarbeiter müssen vom ersten Tag an in die Schulungsprogramme zur Sensibilisierung für Sicherheitsfragen des Unternehmens eingebunden werden. Regelmäßige Überprüfungen der Schulungen zur Sensibilisierung für Sicherheitsfragen der Mitarbeiter in Bereichen wie:

• • Phishing

• • Sicherheitshygiene

• • Bewusstsein für die Verantwortung im Bereich der Datensicherheit

…sollte fortlaufend erfolgen, um wirksam zu bleiben.

Schulungen zur Sensibilisierung für Sicherheitsfragen sollten als Teil eines Prozesses zum Umgang mit Datenschutzverletzungen in die Sicherheitsrichtlinie des Unternehmens integriert werden.

Drittanbieter

Lieferanten-Ökosysteme können komplex sein und auch vierte und fünfte Parteien umfassen. Ein aktueller Bericht von Accenture mit dem Titel„State of Cyber Resilience 2020“ergab, dass 40 % aller Sicherheitsverletzungen mit indirekten Angriffen auf Ebene der Lieferkette beginnen. Das Lieferantenrisikomanagement ist Teil eines effektiven Managements von Datenschutzverletzungen. Lieferantenbezogene Datenschutzverletzungen erfordern eine Betrachtung in zwei Richtungen. Neben der Durchführung einer Schwachstellenanalyse der Lieferantenverbindungen zur Abwehr von Cyberangriffen muss im Falle einer Datenschutzverletzung das Lieferanten-Ökosystem analysiert werden, um festzustellen, ob die Verletzung Auswirkungen auf den Lieferanten hat.

Der Vorstand

Ein Bericht der britischen Regierung mit dem Titel„Cyber Security Breaches Survey 2021“ergab, dass 77 % der Unternehmen der Ansicht sind, dass Cybersicherheit für ihre Vorstände oder Führungskräfte hohe Priorität hat. Aufgrund der großen Aufmerksamkeit, die Datenpannen derzeit erhalten, gehören mittlerweile in immer mehr Vorständen Experten aus dem Bereich Sicherheit an. Wenn es zu einem Datenleck kommt, kann ein sachkundiger Vorstand den Rest des Unternehmens bei der Bewältigung des Vorfalls unterstützen, die Einhaltung gesetzlicher Vorschriften sicherstellen und dafür sorgen, dass Mittel zur Verfügung stehen, um das Datenleck zu bewältigen und weitere Angriffe abzuwehren.

Wissen Ihre Mitarbeiter, wie sie sich im Falle einer Datenpanne verhalten sollen?

Die Einführung von Maßnahmen zum Management von Datenschutzverletzungen ist eine unternehmensweite Aufgabe. Einer der wichtigsten Aspekte für ein effektives Management von Datenschutzverletzungen ist die Art und Weise, wie Sie Ihre Mitarbeiter schulen. Relevanz ist entscheidend dafür, dass das Vorfallmanagement in Ihrem Unternehmen funktioniert. Jede Organisation muss ihren eigenen, relevanten und individuellen Ansatz für die Meldung und das Management von Sicherheitsverletzungen entwickeln.

Die detaillierte Analyse zur Optimierung des Bewusstseins beginnt auf der Ebene der Mitarbeiter und der Prozesse. Jeder Aspekt – vom kleinsten Detail bis hin zum Gesamtbild – muss gründlich genug behandelt werden, um sicherzustellen, dass Ihre Richtlinien zur Reaktion auf Vorfälle robust und für alle Mitarbeiter verständlich sind. Dazu gehören:

Kommunikation: Von den verwendeten Telefonnummern bis hin zur E-Mail-Adresse oder jedem anderen System, das zur Meldung eines Datenschutzverstoßes genutzt wird

Rollen und Zuständigkeiten: Aufzeigen der zuständigen Einsatzleiter und ihrer Zuständigkeiten

Maßnahmen: Wer übernimmt welche Aufgaben, wann und wie erfüllt er bzw. sie seine bzw. ihre Rolle bei der Bewältigung einer Datenpanne?

Abhilfemaßnahmen: Wie die Sicherheitslücke behoben werden kann und welche Lehren daraus zu ziehen sind, einschließlich etwaiger Aktualisierungen der Schulungen zur Sensibilisierung für Sicherheitsfragen

In größeren multinationalen Unternehmen müssen sich diese Kommunikationswege durch die gesamte Organisation ziehen und die verschiedenen Abteilungen und Niederlassungen des Unternehmens miteinander verbinden.

Alle müssen sich mit diesem Plan identifizieren – von den Mitarbeitern über die Führungskräfte bis hin zu den Vorstandsmitgliedern.