Gesetzliche Auflagen bei Ransomware-Vorfällen

Von einem Ransomware-Angriff betroffen zu sein ist wohl ein Albtraum für jeden Unternehmer. Ein gut organisierter Notfallplan zur Bewältigung eines Angriffs kann den Prozess vereinfachen und dazu beitragen, sich in Zukunft vor weiteren Hackerattacken zu schützen. Dieses Thema wird ausführlich in unserem 14 Punkte Notfallplan behandelt. Ein wichtiger Punkt – den viele leider jedoch übersehen – sind die gesetzlichen Auflagen zu Ransomwarevorfällen. Hier erhalten Sie eine kurze Einführung in das Thema, sowie wichtige Kontaktdaten.

Warum es wichtig ist, sich an gesetzliche Auflagen zu halten

Die Nichteinhaltung von gesetzlichen Auflagen kann unter Umständen zu Haftungsschäden, Geld- und Freiheitsstrafen führen. Die Vorschriften hierzu können je nach geltendem Recht Ihres Landes (Unternehmenssitz) und Branche variieren.

Zum Beispiel haben die USA besondere Anforderungen an betroffene Unternehmen im Gesundheitswesen. Im Falle von allgemeinen Datenschutzverletzungen verfügen 47 von 50 US-Bundesstaaten über Vorschriften zur Meldung ebensolcher.

In Europa gibt es hierzu die allgemeine EU-Datenschutz-Grundverordnung (EU-DSGVO), die die unverzügliche Meldung von Datenschutzverletzungen vorschreibt, sofern diese voraussichtlich zu einem Risiko für Betroffene führen können. Wenn Sie eine Datenschutzverletzung melden müssen, muss dies binnen 72 Stunden nach Bekanntwerden der Verletzung erfolgen. Die Nichteinhaltung kann mit hohen Bußgeldern geahndet werden, in einigen Fällen bis zu 10-20 Mio. EUR

Diese Vorschriften sind zum Schutz von Verbrauchern und Kunden gedacht, sollten sensible Daten gestohlen werden. Die genauen Anforderungen für eine Mitteilung an die Behörden können auch vom Ausmaß des Verstoßes abhängig sein.

Meist haben Opfer von Ransomware-Angriffen leider keine andere Wahl, als mit den Hackern zu verhandeln. Sollte dieser Fall eintreffen, ist es wichtig, sich der individuellen, internationalen Sanktionen hierzu bewusst zu sein. Das Office of Foreign Asset Control (OFAC) der Vereinigten Staaten stellt eine Liste von sanktionierten Einrichtungen und Einzelpersonen zur Verfügung. Bei Verstößen gegen die geltenden OFAC-Sanktionen können empfindliche Strafen verhängt werden, z.B. Geldstrafen von bis zu 20 Millionen US-Dollar oder bis zu 30 Jahren Gefängnis.

Es ist zwar unwahrscheinlich, dass Opfer eines Ransomware-Angriffs ein so hohes Strafmaß erhalten würden, da in hier keine Böswilligkeit unterstellt werden kann, dennoch sollte man sich an die Regelungen des OFAC zu halten.

Behörden in den meisten Jurisdiktionen ermutigen Opfer von Ransomware-Angriffe, eine Meldung einzureichen, auch wenn es keine gesetzliche Notwendigkeit hierzu gibt. Die in den Meldungen enthaltenen Informationen können den Strafverfolgungsbehörden nützlich sein, die Hacker ausfindig zu machen und vor Gericht zu stellen – zu unser aller Wohl.

Welche Informationen werden benötigt?

Die Einreichung einer Meldung kann je nach geltendem Recht zu Ransomware in Ihrem Land variieren. Die Art und Inhalt der Meldung kann sich je nach Unternehmenssitz, der Branche und dem von Ihnen gewählten Ransomware-Aktionsplan unterscheiden. Zu den wichtigsten Punkten gehören in der Regel:

Informationen zu Ihrem Unternehmen oder Ihrer Organisation.
Datum und Uhrzeit, zu der der Angriff entdeckt wurde.
Ein Screenshot oder Foto der Lösegeldforderung.
Der geforderte Lösegeldbetrag
Alle ungewöhnlichen IP-Adressen, die sich mit Ihrem Netzwerk verbunden haben
Die Dateierweiterungen der verschlüsselten Dateien.
Jede andere Kommunikation oder Korrespondenz mit den Angreifern.
Bezifferung aller (finanziellen) Verluste im Zusammenhang mit dem Angriff.

Je nach der für Ihren Gerichtsstandort zuständigen Strafverfolgungsbehörde, können zusätzliche Anforderungen gelten.

Strafverfolgungsbehörden im Zusammenhang mit Ransomware-Angriffen

Hier haben wir eine Liste von Strafverfolgungsbehörden in verschiedenen Ländern zusammengestellt, an die Sie sich wenden können: Je nach Unternehmenssitz ist es vielleicht erforderlich, mehrere Meldungen an verschiedene Behörden einreichen zu müssen. Es ist ratsam, zuerst die für Ihren Unternehmensitz zuständige Polizeidirektion zu kontaktieren und hier mehr über die geltenden Ransomware Vorschriften zu erfahren, bevor weitere Schritte eingeleitet werden.

Österreich

Webseite: https://bundeskriminalamt.at/306/start.aspx

E-Mail-Kontakt:

[email protected]

Belgien

Webseite: https://www.police.be/fr

Gesetzliche Auflagen bei Ransomware-Vorfällen

Warum es wichtig ist, sich an gesetzliche Auflagen zu halten

Welche Informationen werden benötigt?

Strafverfolgungsbehörden im Zusammenhang mit Ransomware-Angriffen

Österreich

Belgien

Bulgarien

Kroatien

Zypern

Tschechische Republik

Dänemark

Estland

Finnland

Frankreich

Deutschland

Bundeskriminalamt

E-Mail-Kontakt: [email protected]

Bundespolizei

Baden-Württemberg

Bayern

Berlin

Brandenburg

Bremen

Hamburg

Hessen

Mecklenburg-Vorpommern

Niedersachsen

Nordrhein-Westfalen

Rheinland-Pfalz

Saarland

Sachsen

Sachsen-Anhalt

Schleswig-Holstein

Thüringen

Griechenland

Ungarn

Island

Italien

Irland

Lettland

Liechtenstein

Litauen

Luxemburg

Malta

Niederlande

Norwegen

Polen

Portugal

Rumänien

Spanien

Schweden

Europäischer Datenschutzbeauftragter

Datenschutz-Grundverordnungen

DSGVO KONTAKTE

Österreich

Belgien

Kroatien

Zypern

Tschechische Republik

Dänemark

Estland

Europa

Finnland

Deutschland

Griechenland

Ungarn

Irland

Italien

Lettland

Litauen

Luxemburg

Malta

Polen

Portugal

Rumänien

Slowakei

Slowenien

Spanien

Schweden

Island