Im Mai 2018 tritt die europäische Datenschutzgrundverordnung (DSGVO) in Kraft. Danach drohen Unternehmen, die den Diebstahl personenbezogener Daten nicht rechtzeitig melden, Strafen in Millionenhöhe. Sind Sie auf den Ernstfall gut vorbereitet?
Cyberkriminalität hat viele Gesichter. Es gibt spektakuläre Fälle, in denen Hacker Anlagen stilllegen oder große Geldbeträge stehlen. Meistens läuft eine Cyberattacke jedoch im Stillen ab, besonders dann, wenn es um Industriespionage oder den Diebstahl personenbezogener Daten geht. Experten schätzen, dass es im Schnitt 200 Tage dauert bis ein mittelständisches Unternehmen bemerkt, dass sein Computersystem gehackt wurde. So wichtig es ist, Sicherheitslücken zu schließen, um einem Cyberangriff vorzubeugen, es ist mindestens genauso wichtig, Prozesse zu schaffen, die helfen, Cyberkriminalität möglichst früh zu entdecken, den Schaden zu begrenzen und die Angreifer zu finden. Mit der DSGVO zwingt der Gesetzgeber Unternehmen, sich mit diesem Aspekt der Internetkriminalität stärker auseinanderzusetzen.
Was ist nach DSGVO zu tun?
In der DSGVO geht es ausschließlich um den Schutz personenbezogener Daten. Das können Informationen von Kunden, Lieferanten oder auch Mitarbeitern sein. Stellt ein Unternehmen fest, dass es Hackern zum Opfer gefallen ist und dass von dem Angriff personenbezogene Daten betroffen sind, muss es den Vorfall innerhalb von 72 Stunden an die zuständige Datenschutzbehörde melden. Ferner sind auch die Personen zu benachrichtigen, deren Daten möglicherweise in falsche Hände gelangt sind, damit diese entsprechende Vorkehrungen treffen können.
Cyberangriffe aufdecken
Die Meldung nach DSGVO an die Aufsichtsbehörde ist trotz der kurzen Zeitspanne jedoch einer der letzten Schritte im Krisenmanagement. Am Anfang steht die Einrichtung von Systemen zur Erkennung von Hackerangriffen. Dazu gehören sowohl technologische Lösungen als auch die Sensibilisierung aller Mitarbeiter. Neben Schulungen zum Umgang mit schutzbedürftigen Daten ist es vor allem notwendig, dass jeder, der Unregelmäßigkeiten beobachtet, weiß, an wen er sich wenden muss. Niemand sollte aus Angst, einen Fehler zu machen oder zuzugeben, einen Cyberangriff verschleiern.
Krisenmanagement im Angriffsfall
Besteht Verdacht auf einen Angriff aus dem Netz, sollten Sicherheits- und Datenschutzbeauftragte, Mitarbeiter aus der IT-Abteilung, des Rechenzentrums und der betroffenen Geschäftseinheiten sofort einen Krisenstab bilden. Zunächst muss die Lage genauer analysiert werden, um das weitere Vorgehen festzulegen. Je nach Ausmaß des Vorfalls müssen Polizei, Aufsichtsbehörden und eventuell sogar die Öffentlichkeit zeitnah informiert werden.
Es ist in der Regel keine Alternative, einfach den Stecker zu ziehen, weil das den Hacker warnen würde. Stattdessen versuchen Spezialisten, den Angreifer mithilfe sogenannter „Honeypots“, also vielversprechend aussehenden Fake-Informationen, abzulenken und zusätzliche Barrieren um sensible Datenbereiche zu installieren. Parallel wird versucht, den Angreifer ausfindig zu machen und zu überführen.
Nicht jedes mittelständische Unternehmen beschäftigt Experten, die eine Cyberattacke effektiv abwehren und den Hacker dingfest machen können. Hier kann es sinnvoll sein, gleich zu Beginn externe Spezialisten hinzuzuziehen.
Möchten Sie Ihren Dienstagskaffee nicht mehr ohne unser spannendes Fachwissen genießen?
Für Ihre Anmeldung erhalten Sie das Buch “Betriebsgeheimnisse” kostenlos als Online-Ausgabe.
[mc4wp_form id=”26205″]