Suche
Contact
Symbolbild zu Datenverlust bei MOVEit Transfer: Leiterplatte
18.07.2023 | KPMG Law Insights

Datenverlust bei MOVEit Transfer: So sollten Unternehmen jetzt handeln

Hacker haben offenbar eine Sicherheitslücke der Software „MOVEit Transfer“ genutzt, um Daten abzugreifen und Zahlungen zu fordern. Zahlreiche Unternehmen könnten betroffen sein. Der Hersteller der Software hat inzwischen Updates bereitgestellt. Doch mit einer Aktualisierung der Software ist es nicht getan. Das Datenschutzrecht verlangt weitergehende Maßnahmen von Unternehmen, insbesondere eine lückenlose Aufklärung.

MOVEit Transfer ist ein Programm, mit dem man große Dateien austauschen kann, zum Beispiel wenn diese zu groß sind, um sie in eine E-Mail zu hängen. Tausende Unternehmen nutzten diese Software, um mit ihr Unternehmensdaten auszutauschen.

Der Hersteller hatte bekannt gegeben, dass eine kritische Schwachstelle (CVE-2023-36934) in seinem Softwareprodukt gefunden wurde. Medienberichten zufolge wurde die Sicherheitslücke von einer Gruppe von Hackern ausgenutzt. Diese sind möglicherweise an enorme Mengen von sensiblen Unternehmensdaten gelangt. Die Gruppe soll jetzt mit der Veröffentlichung der Daten drohen, wenn kein Lösegeld gezahlt wird.

In den letzten Tagen und Wochen stieg die Zahl der Unternehmen, die öffentlich äußern, dass sie betroffen seien. Darunter sind Unternehmen aus allen Branchen und aller Größenordnungen – vom Start-up bis zum DAX-Unternehmen. Handeln sollten jedoch nicht nur Unternehmen, die ein Datenleck festgestellt haben, sondern alle Anwender:innen der Software MOVEit Transfer.

Das ist bei Datenverlusten in rechtlicher und technologischer Hinsicht zu tun

Aus rechtlicher Sicht

Bei einem Datenverlust ist es nicht damit getan, die Sicherheitslücke zu schließen. Vielmehr sollte sofort untersucht werden, welche Daten betroffen sind und welche Konsequenzen drohen. Wenn zum Beispiel vertrauliche Daten von Kunden in falsche Hände gekommen sind, bedeutet dies regelmäßig einen Verstoß gegen vertragliche Verpflichtungen und Vertraulichkeitsvereinbarungen. Neben der umgehenden Information der betroffenen Kunden ist es erforderlich, zu prüfen, ob das Datenleck auch Schadensersatzansprüche von Kunden oder Lieferanten auslösen könnte. Nur so kann vermieden werden, dass der Schaden intensiviert wird oder unerkannt bleibt.

Soweit personenbezogene Daten betroffen sind, greifen die Melde- und Benachrichtigungspflichten der Datenschutzgrundverordnung (DSGVO): Spätestens 72 Stunden nach Kenntnisnahme durch das Unternehmen müssen die zuständige Datenschutzaufsichtsbehörde und womöglich auch die betroffenen Kunden oder Mitarbeiter:innen umfangreich informiert werden. Auch hier ist es entscheidend, dass die Ursache und das Ausmaß der Datenpanne ermittelt werden. Nur so kann beurteilt werden, welche Risiken für die betroffenen Personen bestehen und welche Melde- und Benachrichtigungspflichten konkret bestehen. Für KRITIS-Unternehmen kommt unter Umständen eine Meldung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) hinzu. Bei Nichteinhalten dieser Pflichten drohen erhebliche Bußgelder und weitere aufsichtsrechtliche Maßnahmen.

Auch wenn es in Anbetracht einer schnellen Lösung verlockend sein kann, dem Lösegeldverlangen nachzugeben, sollte diese Entscheidung keinesfalls voreilig getroffen werden. Da die Zahlung auf derartige Lösegeldforderungen als Terrorismusfinanzierung oder Unterstützung einer kriminellen Vereinigung strafbar sein kann, sollte in jedem Fall rechtlicher Beistand zu Rate gezogen werden.

Aus technologischer Sicht

Selbst wenn Organisationen inzwischen die Sicherheitslücke durch die Updates des Herstellers geschlossen haben, bleibt die Notwendigkeit der lückenlosen, forensischen Aufklärung des Vorfalls.

Nach Einschätzung von Expert:innen konnten Kriminelle die Sicherheitslücke schon lange ausnutzen. Womöglich ist die Hackergruppe also schon seit einiger Zeit in den IT-Systemen der betroffenen Unternehmen unterwegs und hatten Zugriff auf deren Daten. Das BSI empfiehlt daher schon seit Wochen, aktiv nach Anzeichen für eine Kompromittierung Ausschau zu halten.

eDiscovery schafft Transparenz

Zudem ist es wichtig zu verstehen, welche Daten genau abgeflossen sind, um die richtigen Maßnahmen (siehe oben) ergreifen zu können. Eine eDiscovery und damit eine Sichtung der abgeflossenen Daten schafft Transparenz. Beispielsweise können damit die abgeflossenen Daten in Kategorien (zum Beispiel „Personenbezogene Daten“, „Daten Dritter“ oder „Betriebsgeheimnisse“) eingeteilt und erforderliche Maßnahmen eingeleitet werden.

So sollten MOVEit Transfer-Nutzer:innen jetzt handeln

Alle Unternehmen, die MOVEit Transfer genutzt haben, sollten zeitnah eine forensische Untersuchung durchführen und prüfen, ob möglicherweise Daten abgegriffen wurden, und wenn ja, mittels einer eDiscovery überprüfen, welche Daten betroffen sind. Hierbei sollten Datenschutzexpert:innen eng mit Forensiker:innen und Cyber-Security-Expert:innen zusammenarbeiten. Präventiv sollten Unternehmen ein Security-Audit durchführen, um Sicherheitslücken aufzudecken und passende Gegenmaßnahmen abzuleiten, die helfen, derartige Fälle künftig zu verhindern.

Wenn ein Datenleck festgestellt wird (zum Beispiel durch interne Ermittlungen oder Hinweise Dritter), sollte untersucht werden, ob es sich bei den betroffenen Daten um personenbezogene oder sogar um besonders sensible personenbezogene Daten handelt. In dem Fall muss das betroffene Unternehmen unverzüglich Kontakt mit der Aufsichtsbehörde und den betroffenen Dateninhaber:innen aufnehmen. Damit werden einerseits Rechtspflichten erfüllt und durch eine professionelle Handhabung möglicherweise auch Massenklagen wegen der Datenschutzverstöße verhindert.

Die gute Nachricht: Um in Zukunft solche Fälle zu vermeiden, können Unternehmen Maßnahmen treffen. Ein gutes Datenschutz-Management und Information Security Management erschweren es Hackern erheblich, an Daten zu gelangen.

Gemeinsam mit Expert:innen für Cyber Incident Response & Investigation der KPMG AG Wirtschaftsprüfungsgesellschaft können wir von der KPMG Law Rechtsanwaltsgesellschaft mbH als Datenschutzexpert:innen die notwendigen Maßnahmen für Sie übernehmen. Sprechen Sie uns an.

 

Dieser Beitrag ist in Kooperation mit Michael Sauermann und Jan Stoelting, beide Partner der KPMG AG Wirtschaftsprüfungsgesellschaft, entstanden.

 

 

 

 

 

 

Explore #more

13.06.2024 |

Kommentar zum Hinweisgeberschutzgesetz (HinSchG) erschienen mit Beiträgen von KPMG Law

Nach jahrelangem Ringen haben Bundestag und Bundesrat im Jahr 2023 die Whistleblowing-Richtlinie der EU in nationales Recht umgesetzt: Das seit Juli 2023 geltende Hinweisgeberschutzgesetz (HinSchG)…

13.06.2024 | Pressemitteilungen

Handelsblatt und Best Lawyers zeichnet KPMG Law Expert:innen aus

Best Lawyers hat erneut exklusiv für das Handelsblatt die besten Wirtschaftsanwältinnen und -anwälte Deutschlands für das Jahr 2024 ermittelt. Insgesamt wurden 28  Anwältinnen und Anwälte…

12.06.2024 | KPMG Law Insights

Podcast-Serie „KPMG Law on air“: KI und Datenschutz – darauf sollten Start-ups achten

Start-ups stehen für neue Ideen, Pioniergeist und Tatendrang. Datenschutz und Datenmanagement sind vielen jungen Unternehmen eher lästig und werden als Bremse betrachtet. Gleichzeitig sind die…

11.06.2024 | KPMG Law Insights

Podcast-Serie „KPMG Law on air“: US Immigration

Für eine Einreise in die USA stehen eine Reihe von Visa zur Verfügung, doch welches ist das richtige? Kann man visumsfrei einreisen oder benötigt man…

07.06.2024 | PR-Veröffentlichungen

Beitrag auf FINANCE mit KPMG Law Statement: Ist die Rechtsabteilung Sache des CFOs?

In dem Artikel vom 07. Juni 2024 findet sich ein Beitrag mit Statement von KPMG Law Experte Andreas Bong. Ist die Rechtsabteilung Sache des…

05.06.2024 | KPMG Law Insights

Bereit für DORA? Diese Vertragsanpassungen sind notwendig

Mit der fortschreitenden Digitalisierung steigt auch das Risiko für Cyberangriffe im Finanzsektor. Um Marktteilnehmende zu schützen, hatte die EU im Dezember 2022 den Digital Operational…

04.06.2024 | PR-Veröffentlichungen

Gastbeitrag zu Klimaklagen in der Börsen-Zeitung

Klimaklagen sind trotz rechtlicher Hindernisse ein reales Risiko für Unternehmen und Regierungen. Welche präventiven Maßnahmen angeraten sind, wissen KPMG Law Expertinnen Isabelle Knoché und Jasmina…

30.05.2024 | PR-Veröffentlichungen

Gastbeitrag zur Stiftungsrechtsreform im Private Banking Magazin

Am 1. Juli 2023 trat die wohl größte Stiftungsrechtsreform in Deutschland seit 1896 in Kraft – und nach knapp einem Jahr gibt es erste Erfahrungen…

28.05.2024 |

Veröffentlichungen in der ESGZ im Mai

Die KPMG Law Expertinnen Isabelle Knoché und Denise Spinnler-Weimann haben einen Beitrag über „Die zweite Reform des KSG“ in der Mai Ausgabe der ESGZ veröffentlicht.…

27.05.2024 | KPMG Law Insights

BImSchG-Novelle soll Genehmigungsverfahren beschleunigen

Am 17.05.2024 haben sich die Ampel-Fraktionen auf die Novelle des Bundes-Immissionsschutzgesetzes (BImSchG) geeinigt. Mit dem Gesetz sollen schnellere und unbürokratischere Verfahren geschaffen und so Genehmigungsverfahren…

Kontakt

Francois Heynike, LL.M. (Stellenbosch)

Partner
Leiter Technologierecht

THE SQUAIRE Am Flughafen
60549 Frankfurt am Main

tel: +49-69-951195770
fheynike@kpmg-law.com

Dr. Jyn Schultze-Melling, LL.M.

Partner

Heidestraße 58
10557 Berlin

tel: +49 30 530199 410
jschultzemelling@kpmg-law.com

© 2024 KPMG Law Rechtsanwaltsgesellschaft mbH, assoziiert mit der KPMG AG Wirtschaftsprüfungsgesellschaft, einer Aktiengesellschaft nach deutschem Recht und ein Mitglied der globalen KPMG-Organisation unabhängiger Mitgliedsfirmen, die KPMG International Limited, einer Private English Company Limited by Guarantee, angeschlossen sind. Alle Rechte vorbehalten. Für weitere Einzelheiten über die Struktur der globalen Organisation von KPMG besuchen Sie bitte https://home.kpmg/governance.

KPMG International erbringt keine Dienstleistungen für Kunden. Keine Mitgliedsfirma ist befugt, KPMG International oder eine andere Mitgliedsfirma gegenüber Dritten zu verpflichten oder vertraglich zu binden, ebenso wie KPMG International nicht autorisiert ist, andere Mitgliedsfirmen zu verpflichten oder vertraglich zu binden.

Scroll