Die weltweite Covid-19-Pandemie hat viele Unternehmen dazu veranlasst, kurzfristig m\u00f6glichst schnell und effizient Home Office, bzw. mobiles Arbeiten f\u00fcr ihre Mitarbeiter anzubieten. Zum Schutz vor der Ausbreitung des Virus und zur Aufrechterhaltung des Gesch\u00e4ftsbetriebs in der Hochphase der Ausbreitung waren Unternehmen gezwungen, kurzfristig Laptops und Fernzugriffe auf das Unternehmensnetzwerk zu organisieren. Daher wurden technische Sicherheitsma\u00dfnahmen oft nicht umgesetzt oder abgeschaltet, zudem konnte die Umschulung und Sensibilisierung der Mitarbeiter h\u00e4ufig nicht ausreichend erfolgen.<\/p>\n
Daher steigt aktuell auch das Risiko von Sicherheitsvorf\u00e4llen, bei denen sowohl aus datenschutzrechtlicher Sicht (Meldepflicht gegen Aufsichtsbeh\u00f6rden) und IT-Sicherheitssicht Ma\u00dfnahmen zu ergreifen sind. Beispielsweise wurde ein Tourismusunternehmen bereits Opfer eines Cyberangriffes. Ein Mitarbeiter hatte im Home Office eine Phishing-Mail mit einem Verschl\u00fcsselungstrojaner ge\u00f6ffnet und dadurch einen Virus auf das System der Firma gebracht, welcher diese drei Tage lang handlungsunf\u00e4hig machte (https:\/\/www.ndr.de\/nachrichten\/schleswig-holstein\/coronavirus\/Homeoffice-in-der-Corona-Krise-lockt-Hacker-an,cyberkriminalitaet124.html). Corona bezogene Phishing-Kampagnen, die Covid-19 zum Thema haben (Bspw. Schadsoftware in einem E-Mail Anhang, der lukrative Gesch\u00e4fte mit Medizinprodukten in Aussicht stellt), k\u00f6nnen im Home-Office und aufgrund der Nutzung privater Ger\u00e4te f\u00fcr Firmenzwecke nicht nur die Firmen-IT angreifen, sondern auch die Mitarbeiter direkt. Der Beitrag stellt dar, wie mit Sicherheitsvorf\u00e4llen im Home Office umzugehen ist und was Unternehmen tun k\u00f6nnen, um diese im Vorfeld zu verhindern.<\/p>\n
<\/p>\n
Datenschutzrechtliche Vorgaben im Home Office<\/strong><\/p>\n Das mobile Arbeiten der Mitarbeiter im Home Office entbindet den Arbeitgeber nicht von der Verantwortung, dass die Arbeit im Home Office gem\u00e4\u00df den datenschutzrechtlichen Vorgaben erfolgt. Insbesondere z\u00e4hlen dazu die IT-Sicherheitsma\u00dfnahmen nach Art. 32 Abs. 1 DSGVO, die ein m\u00f6glichst hohes Schutzniveau der Unternehmensdaten auch bei Fernzugriffen gew\u00e4hrleisten m\u00fcssen. Aufgrund der aktuellen Situation sieht das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) auch die Nutzung von Privatger\u00e4ten ausdr\u00fccklich vor, da ansonsten die Arbeit im Home Office f\u00fcr viele Unternehmen nicht umsetzbar w\u00e4re. Bei Nutzung privater Endger\u00e4te sei zu ber\u00fccksichtigen, dass die sicherheitstechnischen Anforderungen an die eingesetztem IT-Systeme nur in Eigenverantwortung durch den Mitarbeiter umgesetzt werden k\u00f6nnen (https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Cyber-Sicherheit\/Themen\/empfehlung_home_office.pdf?__blob=publicationFile&v=9).<\/p>\n \u00a0<\/strong><\/p>\n Meldepflichten nach Art. 33 DSGVO bei Eintreten eines Sicherheitsvorfalles<\/strong><\/p>\n Werden im Rahmen des Home Offices Sicherheitsaspekte missachtet, die dazu f\u00fchren, dass der Schutz personenbezogener Daten verletzt worden ist \u2013 z.B. Vernichtung von Daten durch Viren oder Abfluss von Daten durch trojanische Pferde \u2013, trifft den Verantwortlichen eine Meldepflicht an die Datenschutz-Aufsichtsbeh\u00f6rde m\u00f6glichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde (Art. 33 DSGVO). Die Mitarbeiter im Home Office m\u00fcssen dahingehend instruiert werden, dass sie jede Verletzung von Daten oder den Verlust des Arbeitsger\u00e4tes unverz\u00fcglich dem Arbeitgeber melden, damit dieser den Vorfall einordnen und ggf. seiner Meldepflicht nachkommen kann.<\/p>\n Ob eine Meldung zu erfolgen hat, sollte in jedem Einzelfall mit dem Datenschutzbeauftragten und ggf. dem IT-Sicherheitsbeauftragten abgestimmt werden. Wenn der Vorfall voraussichtlich kein Risiko f\u00fcr Betroffene bedeutet, kann ggf. auf eine Meldung verzichtet werden. Der Meldepflicht folgt eine umfassende Dokumentationspflicht gem\u00e4\u00df Art. 33 Abs. 5 DSGVO des Verantwortlichen, die die Datenschutzverletzung, die Auswirkungen und die ergriffenen Abhilfema\u00dfnahmen beinhalten muss. Intern dokumentiert werden sollten insbesondere die Ma\u00dfnahmen der ersten 72 Stunden, damit nachvollziehbar wird, was das Unternehmen zur Schadenminimierung vor Meldung an die Aufsichtsbeh\u00f6rde geleistet hat. Ist ein Sicherheitsvorfall eingetreten, kann es zudem vorkommen, dass zus\u00e4tzlich zur Meldung an die Aufsichtsbeh\u00f6rde gem. Art. 34 DSGVO eine Meldung an den Betroffenen erfolgen muss. Das gilt aber nur, wenn besonders hohe Risiken f\u00fcr die Betroffenen bestehen (z.B. Abfluss von Gesundheitsdaten, Bankdaten usw.).<\/p>\n \u00a0<\/em><\/strong><\/p>\n \u201eIncident Management\u201c – organisatorischer und technischer Prozess bei Sicherheitsvorf\u00e4llen<\/strong><\/p>\n Ist ein Sicherheitsvorfall eingetreten, dient der zuvor festgelegte Incident-Management-Prozess dazu, den Schutz schnellstm\u00f6glich wiederherzustellen und den eingetretenen Schaden so gering wie m\u00f6glich zu halten. Zur angemessenen Reaktion auf einen Datenverlust oder eine Datenbesch\u00e4digung, sollte schon im Vorfeld (also: sp\u00e4testens jetzt) ein organisatorischer und technischer Plan vorbereitet werden, sodass bei einer St\u00f6rung unmittelbar gehandelt wird und die oben genannte Meldepflicht zwingend eingehalten wird.<\/p>\n Die Kenntnis der Schutzverletzung und die Erfassung des Sachverhalts m\u00fcssen f\u00fcr das Unternehmen an erster Stelle stehen. Nur dann kann der Arbeitgeber den \u201eIncident-Management\u201c-Prozess optimal einleiten, den Schaden erkennen und minimieren bzw. beheben. Im ersten Schritt ist daher sicherzustellen, dass Kennzeichen und Symptome festgelegt werden, die den Prozess in Gang setzen. Im Falle eines m\u00f6glichen Sicherheitsvorfalls muss schnell der betroffene Bereich des Unternehmens identifiziert, sowie die Auswirkungen auf das Unternehmen prognostiziert werden. Zur Eind\u00e4mmung des Schadenvorfalls muss anschlie\u00dfend analysiert werden, welche Daten verletzt worden sind und wie die betroffenen Systeme wiederhergestellt werden k\u00f6nnen, ohne dass ein weiterer Vorfall zu bef\u00fcrchten ist. Zur Dokumentation z\u00e4hlt auch die Art der Datenverletzung, die Kategorie der Datens\u00e4tze und die Anzahl der betroffenen Personen. Ma\u00dfnahmen der Unternehmen k\u00f6nnen beispielsweise auch die Isolierung des betroffenen Systems sein, sodass ein weiterer Schaden verhindert werden kann. Die sofortige L\u00f6schung der betroffenen Dateien w\u00fcrde m\u00f6glicherweise dazu f\u00fchren, dass wichtige Hinweise auf den Ursprung des Vorfalls zerst\u00f6rt werden. Die Speicherung der betroffenen Systeme erm\u00f6glicht eine anschlie\u00dfende forensische Untersuchung und die Analyse fehlgeschlagener Schutzma\u00dfnahmen, um in Zukunft besser vor Datenverletzungen gesch\u00fctzt zu sein. Nach Identifizierung des Schadens und Beseitigung der Ursache sind alle Schaddateien zu entfernen, die isolierten Systeme zu h\u00e4rten und patchen, sowie neue Updates zu installieren. Nach Abschluss der S\u00e4uberung der Systeme ist der Wiederherstellungsprozess einzuleiten, um die IT-Sicherheitsziele (Vertraulichkeit, Verf\u00fcgbarkeit und Integrit\u00e4t) so schnell wie m\u00f6glich wiederherzustellen.<\/p>\n Zur Vermeidung weiterer Schadensf\u00e4lle ist nach Abschluss des Incident-Managements eine Risikoprognose zu erstellen, die zentraler Ankn\u00fcpfungspunkt f\u00fcr die Beurteilung der Ma\u00dfnahmen und k\u00fcnftige Datenpannen sein sollte. Der Prozess kann sich z.B. an Prozessen wie dem ITIL oder der ISO 20000-1:2011 orientieren. Es ist aber auch m\u00f6glich, eine Arbeitsanweisung vorzubereiten, mit der neben dem Meldeprozess nach Art. 33 DSGVO auch die Wiederherstellung eines hohen IT-Sicherheitsniveaus und der Umgang mit eventuellen Sicherheitsvorf\u00e4llen \u00fcber rein datenschutzrechtliche Vorgaben hinaus beschrieben werden kann. Wichtig ist jetzt im ersten Schritt vor allem, \u00fcberhaupt einen Prozess vorzubereiten und die Sinne f\u00fcr die aktuellen Risiken zu sch\u00e4rfen.<\/p>\n \u00a0<\/strong><\/p>\n Fazit: Nachholung von IT-Sicherheit und Erarbeitung eines Incident-Managements <\/strong><\/p>\n In der aktuellen Situation stehen Unternehmen vor gro\u00dfen Herausforderungen, so dass es verst\u00e4ndlich ist, dass die Vorgaben an die IT-Sicherheit in den letzten zwei Monaten nicht immer so umgesetzt wurden, wie man es eigentlich getan h\u00e4tte. Die Umsetzung der IT-Sicherheit darf jedoch auch bei kurzfristigen Entscheidungen und Umstellungen nicht in den Hintergrund r\u00fccken und muss daher nun sukzessive nachgeholt werden.<\/p>\n Im Falle eines Datenverlustes ist dieser unverz\u00fcglich an die zust\u00e4ndige Aufsichtsbeh\u00f6rde zu melden. Ein gutes \u201eIncident-Management\u201c ist unerl\u00e4sslich, um schnell und effizient bei einer St\u00f6rung handeln zu k\u00f6nnen. Ein entsprechender Plan sollte insbesondere technische und organisatorische Ma\u00dfnahmen im Falle einer Datenpanne (Isolierung des Systems, Analyse des Systemfehlers, Wiederherstellung der IT-Sicherheitsziele), die korrekte und genaue Erfassung des Sachverhalts, sowie die Auswertung der Kategorie der verletzten Daten enthalten. Unter Ber\u00fccksichtigung der Risiken, die das Home Office f\u00fcr viele Unternehmen birgt, sollten Mindestanforderungen umgesetzt werden und zeitnah nachgebessert werden.<\/p>\n","protected":false},"excerpt":{"rendered":" Die weltweite Covid-19-Pandemie hat viele Unternehmen dazu veranlasst, kurzfristig m\u00f6glichst schnell und effizient Home Office, bzw. mobiles Arbeiten f\u00fcr ihre Mitarbeiter anzubieten. Zum Schutz vor der Ausbreitung des Virus und zur Aufrechterhaltung des Gesch\u00e4ftsbetriebs in der Hochphase der Ausbreitung waren Unternehmen gezwungen, kurzfristig Laptops und Fernzugriffe auf das Unternehmensnetzwerk zu organisieren. Daher wurden technische Sicherheitsma\u00dfnahmen […]<\/p>\n","protected":false},"author":22,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[76,56,35],"tags":[],"class_list":["post-8933","post","type-post","status-publish","format-standard","hentry","category-bho-aktuell","category-datenschutz","category-it_recht_telekommunikationsrecht_und_frequenzregulierung"],"yoast_head":"\n