Erstmal in Ruhe prüfen reicht nicht

Nach dem Angriff auf das Berliner Landesnetz tauchen immer weitere Daten im Darknet auf. Was bedeutet es datenschutzrechtlich, wenn Daten in die Hände Cyberkrimineller gelangen? Felix Glocker und Anna Lena Füllsack erklären, was nach einem Sicherheitsvorfall zu tun ist.

Zwischen dem 7. und 12. August verschafften sich Cyberkriminelle zunächst unbemerkt Zugriff auf Teile des Berliner Landesnetzes und exfiltrierten große Datenmengen. Nach der Entdeckung am 14. August trennte das Land Berlin die beiden betroffenen Senatsverwaltungen vorübergehend vom Berliner Landesnetz. Die Hauptstadt richtete zudem einen Notfallstab ein und beauftragte externe IT-Forensikerinnen und -Forensiker.

Ende August bekannte sich dann die Gruppe "Rhysida" zu dem Angriff. Sie behauptete, 5,7 Terabyte Daten erbeutet zu haben, und forderte dafür 30 Bitcoin (etwa zwei Millionen Euro). Der regierende Bürgermeister Wegner sprach von einer "schweren Straftat" und betonte, Berlin werde sich nicht erpressen lassen. 

Die Eskalation folgte am 4. September, als die Cyberkriminellen-Gruppe nach Ablauf des Ultimatums große Teile der entwendeten Daten im Darknet veröffentlichte. Medienauswertungen zufolge umfasste das online gestellte Datenpaket rund 1,4 Millionen Dateien – darunter Personalakten, Scans von Ausweisen, Gehaltsabrechnungen, Vertragsunterlagen und mehr als 100.000 E-Mails. In den folgenden Tagen machte die Gruppe mindestens ein weiteres Datenpaket im Darknet zugänglich. Welche Personen und Daten betroffen sind, wird aktuell noch ausgewertet.

Hohe Datenschutzanforderungen an öffentliche Stellen

Naturgemäß stellt sich nach Vorfällen solcher Größenordnung die Frage: Wer ist dafür verantwortlich und haftet den Betroffenen im Zweifel?

Die DS-GVO nimmt nicht nur Private, sondern auch öffentliche Stellen in die Pflicht. Dass ein Cyberangriff erfolgreich war, bedeutet indes noch nicht, dass die Berliner Stellen gegen ihre Verpflichtung aus Art. 32 DS-GVO verstoßen haben. Verantwortliche müssen nach Art. 32 DS-GVO angemessene technische und organisatorische Maßnahmen treffen. Der Maßstab ist risikobasiert. Bei der Abwägung sind zu berücksichtigen: der Stand der Technik, die Implementierungskosten, Art und Umfang der Verarbeitung sowie Eintrittswahrscheinlichkeit und mögliche Schäden. Ein erfolgreicher Angriff genügt also für sich genommen nicht, um Sicherheitsmaßnahmen als unangemessen einzustufen (EuGH, C-340/21, Natsionalna agentsia za prihodite). Die DS-GVO verlangt Risikomanagement, keinen absoluten Schutz vor Sicherheitsvorfällen.

Bei einer Landesverwaltung sind die Anforderungen nach Art. 32 DS-GVO aber hoch. Denn sie verarbeitet große Mengen zum Teil sensibler Beschäftigten- und Bürgerdaten, deren Offenlegung erhebliche Folgen haben kann. Behörden sind zudem ein attraktives Angriffsziel wegen ihrer zentralen gesellschaftlichen Funktionen und ihrer umfangreichen Datenbestände. Diesem Risikoprofil müssen Behörden durch belastbare Sicherheitsmaßnahmen begegnen.

Hinzu kommen Vorgaben des Berliner Landesrechts. Nach § 23 Abs. 1 EGovG Bln müssen alle Behörden der Berliner Verwaltung ein Informationssicherheits-Managementsystem nach den Standards des BSI aufbauen und weiterentwickeln.

Einmal drin, alles hin

Ob die betroffenen Behörden dieser Schutzverantwortung nachgekommen sind, wird noch aufzuklären sein. Dass unter den veröffentlichten Daten nach Medienberichten auch im Klartext gespeicherte Passwörter zu finden waren, wirft jedoch Fragen hinsichtlich der konkreten Umsetzung angemessener Sicherheitsmaßnahmen auf. 

Entscheidend ist dabei nicht nur, wie die Cyberkriminellen in das System eindringen konnten, sondern auch der sogenannte "Blast Radius": Warum konnten sie nach dem Eindringen auf so viele Daten zugreifen? Da sich ein erfolgreicher erster Zugriff nie vollständig ausschließen lässt, muss Informationssicherheit nach dem Stand der Technik auch darauf gerichtet sein, die Ausbreitung und die Folgen des Zugriffs etwa durch Segmentierung und Zugriffsbeschränkungen zu begrenzen.

Meldepflichten unter Zeitdruck und die Frage des Lösegelds

Eine andere Frage ist die, ob die Berliner Verwaltung den Vorfall schnell genug gemeldet hat. Denn Art. 33 DS-GVO schreibt vor, dass nach einem Datenleck der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, den Vorfall der zuständigen Aufsichtsbehörde melden muss. 

Zehn Tage nach Entdeckung des Angriffs war noch immer unklar, welche Daten tatsächlich abgeflossen waren. Am 24. August hieß es im Berliner Innenausschuss, nach damaligem Stand hätten die Angreiferinnen und Angreifer nur ohnehin öffentlich zugängliche Geodaten erlangt. Zwei Tage später folgte die Korrektur: Weitere Datenabflüsse seien festgestellt worden, teilte die Senatskanzlei mit. Nun könnten auch personenbezogene oder sonstige nichtöffentliche Daten betroffen sein.

Für eine Meldung an die Datenschutzaufsicht muss der Vorfall jedoch nicht vollständig aufgeklärt sein. Die 72-Stunden-Frist des Art. 33 DS-GVO beginnt, sobald der Verantwortliche hinreichende Gewissheit darüber hat, dass eine Verletzung des Schutzes personenbezogener Daten vorliegt. Fehlende Einzelheiten können nach Art. 33 Abs. 4 DS-GVO nachgereicht werden. Wann diese Schwelle bei den jeweils verantwortlichen Berliner Stellen erreicht war, lässt sich anhand der öffentlich bekannten Informationen nicht abschließend beurteilen. Ein unklares Lagebild lässt den Beginn der Frist jedoch nicht beliebig hinauszögern. Hinzu kam der Zeitdruck durch die Lösegeldforderung: Während Umfang und Sensibilität des betroffenen Datenbestands noch untersucht wurden, drohte Rhysida mit der Veröffentlichung der Daten.

Eine Pflicht zur Zahlung eines solchen folgt aus der DS-GVO jedoch nicht. Für die datenschutzrechtliche Risikobewertung war die drohende Veröffentlichung gleichwohl relevant, weil sie die Risiken für die Betroffenen nochmals erheblich erhöhen konnte. Bei bereits kopierten Daten lässt sich weder kontrollieren, ob sie bereits weitergegeben wurden, noch ob die Daten tatsächlich gelöscht werden. Das BSI rät deshalb grundsätzlich davon ab, Lösegeld zu zahlen.

Wann Betroffene informiert werden müssen

Doch nicht nur die Datenschutzaufsicht soll zügig informiert werden. Auch Betroffene haben ein Recht, zu erfahren, wenn ihre Daten unkontrolliert im Netz landen. Die Benachrichtigungspflicht nach Art. 34 DS-GVO greift auch nicht erst bei einer Veröffentlichung: Betroffene sind zu informieren, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat. Eine solche Pflicht kann daher bereits mit dem Datenabfluss an die Cyberkriminellen entstanden sein. Die Veröffentlichung verschärfte die Risikolage jedoch erheblich. Angesichts der inzwischen bekannt gewordenen sensiblen Daten liegt ein hohes Risiko jedenfalls für einen Teil der Betroffenen nahe. 

Greift keine Ausnahme nach Art. 34 Abs. 3 DS-GVO, sind die betroffenen Personen unverzüglich zu informieren. Nach dem Stand vom 7. September war der veröffentlichte Datenbestand noch nicht vollständig ausgewertet. Nach Angaben des Senats sollen identifizierte Betroffene "risikobasiert" und nach Maßgabe der gesetzlichen Vorgaben informiert werden. 

Dass die Auswertung noch läuft, lässt eine bestehende Benachrichtigungspflicht jedoch nicht entfallen. Ist eine individuelle Mitteilung nur mit unverhältnismäßigem Aufwand möglich, verlangt Art. 34 Abs. 3 lit. c DS-GVO eine öffentliche Bekanntmachung oder eine vergleichbar wirksame Maßnahme.

Bürgerdaten verdienen besonderen Schutz

Wer einen Personalausweis beantragt, eine Steuererklärung abgibt oder Sozialleistungen in Anspruch nimmt, kann sich nicht aussuchen, welcher Behörde er teilweise höchst sensible Daten überlässt. Aus dieser besonderen Stellung und dem hohen Risikoprofil staatlicher Datenverarbeitung folgt eine erhebliche Schutzverantwortung für Bürger- und Beschäftigtendaten.

Der Berliner Fall zeigt zugleich, dass moderne IT-Sicherheit nicht allein darauf ausgerichtet sein kann, jeden erfolgreichen Angriff zu verhindern. Gerade in großen und historisch gewachsenen IT-Landschaften muss man damit rechnen, dass Hacker die Schutzmechanismen überwinden. Umso wichtiger sind Strukturen, die Angriffe frühzeitig erkennen, ihre Ausbreitung begrenzen und eine rasche Reaktion und Wiederherstellung ermöglichen. Art. 32 DS-GVO verlangt damit nicht nur Prävention, sondern auch Resilienz. Der Berliner Fall zeigt, wie groß die Folgen werden können, wenn ein erfolgreicher Zugriff nicht rechtzeitig begrenzt wird.