Datenabfluss – Was nun?
Im Grundsatz geht es nach einem Datenabfluss darum, den Schaden zu begrenzen, die Sicherheitslücke zu finden und zu schliessen und weitere Datenabflüsse zu verhindern.
Technische Massnahmen
Klären Sie auf der technischen Seite ab, ob und wie die Angreifer in Ihre Systeme eindringen konnten und was sie dort gemacht haben.
Neben dem Schliessen von Lücken oder offenen Zugängen, muss verhindert werden, dass die Angreifer eine Hintertüre installiert haben und so weitere Angriffe durchführen können.
Wenn entsprechendes Wissen in der Behörde nicht vorhanden ist, empfiehlt das BACS, eine IT-Security Firma zu beauftragen.
Organisatorische Massnahmen
Einige Massnahmen sollten Sie treffen, bevor Sie Opfer eines erfolgreichen Angriffs geworden sind. Das kann helfen einen Vorfall effizienter zu bewältigen.
- Erstellen Sie ein Kommunikationskonzept. Dieses legt fest, ob und wie im Fall eines Angriffs kommuniziert werden soll.
- Erstellen Sie ein Business Continuity Management-Konzept. Dieses beschreibt, wie Ihre Mitarbeitenden weiterarbeiten kann, wenn die IT für mehr oder weniger lange Zeit nicht zur Verfügung steht.
- Wenn sich der befürchtete Datenabfluss bewahrheitet, empfiehlt Das BACS die proaktive Information der Kunden. Sie geben damit Ihren Kunden die Möglichkeit, geeignete Massnahmen zu treffen.
- Verschaffen Sie sich einen Überblick über die potenziell abgeflossenen Daten und das mit dem Datenabfluss in Verbindung stehende Risiko (z. B. Reputationsschäden). Diese Informationen sollten unbedingt dazu dienen, weitere proaktive Massnahmen zu treffen.
Meldepflichten und Strafanzeigen
Meldung an das BACS
Der Bundesrat hat die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen per 1. April 2025 in Kraft gesetzt. Die Betreiberinnen und Betreiber von kritischen Infrastrukturen sind verpflichtet, dem BACS Cyberangriffe innerhalb von 24 Stunden nach deren Entdeckung zu melden. Können bei der Erstmeldung noch nicht alle Angaben gemacht werden, besteht eine Frist von 14 Tagen, um die Meldung zu vervollständigen.
Meldung an den EDÖB
Gemäss Art. 24 revDSG des neuen Datenschutzgesetzes, das am 1. September 2023 in Kraft trat, müssen neu Verletzungen der Datensicherheit an den EDÖB gemeldet werden, wenn für die vom Datenabfluss betroffenen Personen ein hohes Risiko einer Beeinträchtigung ihrer Persönlichkeit oder ihrer Grundrechte zur Folge haben. Die Bestimmung gilt sowohl für Privatpersonen, Unternehmen als auch für Bundesorgane. Die Meldung an den EDÖB hat so rasch wie möglich zu erfolgen.
Strafanzeige erstatten
Erstatten Sie eine Strafanzeige bei der Kantonspolizei an Ihrem Geschäftssitz. Diese wird dann die notwendigen Ermittlungen in die Wege leiten.
Hinweise zur Zahlung von Lösegeldern
Das BACS rät von der Zahlung eines Lösegeldes ab. Es gibt keine Garantie, dass die Verbrecher nach der Bezahlung des Lösegelds die Daten nicht doch veröffentlichen oder anderen Profit daraus machen. Zudem motiviert jede erfolgreiche Erpressung die Angreifer zum Weitermachen, finanziert die Weiterentwicklung der Angriffe und fördert deren Verbreitung.
Sollten Sie dennoch das Bezahlen von Lösegeld in Erwägung ziehen, empfiehlt das BACS dringend, diese Schritte mit der Kantonspolizei zu diskutieren.