Die Digitalisierung ist aus unserem Wirtschaftsleben nicht mehr wegzudenken – von digitalen Fabriken über Internet-Serviceangebote der öffentlichen Verwaltung bis zum Cloud Computing. Doch es gibt auch eine Schattenseite, denn damit bieten sich Cyberkriminellen Einfallstore für ihre illegalen Aktivitäten. „Die Digitalisierung führt zwingend zu einer höheren Angreifbarkeit“, sagt Dr. Hauke Hansen, Fachanwalt für IT-Recht sowie Urheber- und Medienrecht und Partner bei FPS. „Sie muss daher einhergehen mit einem erhöhten Bewusstsein von Unternehmen und Behörden hinsichtlich dieser Verletzlichkeit.“ Als prominente Beispiele nennt Dr. Hansen die Cyberattacken auf den Automobilzulieferer Continental und den Fahrradhersteller Prophete. Letzteren trieben Hacker Anfang 2023 sogar in die Insolvenz: Nach einem mehrwöchigen Betriebsstopp konnte das Unternehmen die Verluste nicht mehr kompensieren.
 

Um sich vor Cyberangriffen bestmöglich zu schützen, gilt es, vielfältige Maßnahmen zu treffen – von der Achtsamkeit im Umgang mit Daten bis hin zur Absicherung durch Technik. Versicherungen können dabei helfen, einen möglichen Schaden zu begrenzen. Auf jeden Fall gilt aber: Ist es doch einmal zu einer Cyberattacke gekommen, dann ist eine genaue Kenntnis der rechtlichen Konsequenzen wichtig. Auf dem FPS Future Talk Cybersecurity diskutieren Expertinnen und Experten aus Deutschland und Israel Fragen rund um die Cybersicherheit. Einen Einblick geben die folgenden Filme.
 

Im Interview mit Dr. Hauke Hansen
 

1. Was passiert bei einem Hackerangriff?

Meistens führen Hacker einen Ransomware-Angriff durch. Dabei wird eine Schadsoftware, etwa ein Trojaner, der als seriöser E-Mail-Anhang getarnt ist, in ein Unternehmensnetzwerk eingeführt, sodass sämtliche Daten einschließlich operativer Steuerungs- und Betriebssysteme verschlüsselt werden. Oftmals stehen dann alle Systeme still. Zusätzlich kopieren die Cyberkriminellen meist die Daten und drohen mit ihrer Veröffentlichung, wenn kein Lösegeld gezahlt wird. 

2. Wie sieht ein guter Notfallplan aus?

Ein Notfallplan enthält vor allem die zu treffenden Sofortmaßnahmen. Denn bei einem Angriff kommt es darauf an, innerhalb von Stunden – besser innerhalb von Minuten – reagieren zu können, um die Folgen zu begrenzen. Ganz oben auf dem Plan steht: Wer ist zu informieren und was passiert, wenn E-Mail und Telefon nicht mehr funktionieren? Wer zieht den Stecker, um zu verhindern, dass der Angriff weiter voranschreitet? Und wie kann die Geschäftstätigkeit aufrechterhalten oder schnellstmöglich wiederhergestellt werden? 

3. Trifft es zu, dass gehackten Unternehmen zusätzlich behördliche Bußgelder drohen, sie also zweimal zur Kasse gebeten werden?

Das ist denkbar – nämlich dann, wenn die IT-Infrastruktur nicht auf dem Stand der Technik war. Der Gesetzgeber unterstreicht die Bedeutung der IT-Sicherheit durch eine gesetzliche Regelung in der Datenschutzgrundverordnung und will Unternehmen durch finanziellen Druck dafür sensibilisieren. Im EU-Ausland haben Datenschutzbehörden schon Millionenbußgelder verhängt. Die meisten deutschen Aufsichtsbehörden verfolgen derzeit einen anderen Ansatz: Sie sehen in den gehackten Unternehmen Opfer, die nicht noch zusätzlich bestraft werden sollten.

4. Wie unterstützt FPS die angegriffenen Unternehmen?

Am Tag des Angriffs leisten wir zunächst Erste Hilfe: Wir stellen Kontakte zu externen Expertinnen und Experten her, unter anderem zu IT-Forensikern, zu Cybersecurity-Unternehmen und zu Agenturen für Krisenkommunikation. Falls erforderlich, leiten wir den Krisenstab. Spätestens am zweiten Tag wird es juristisch: Bis wann und wie ist die Datenschutzbehörde zu informieren, um einerseits der gesetzlichen Pflicht nachzukommen, andererseits aber auch ein Bußgeld zu vermeiden? Müssen Mitarbeitende sowie Kundinnen und Kunden informiert werden? Und wenn der Betrieb schließlich wieder läuft, kümmern wir uns um grundsätzliche Fragen wie die Abwehr von Schadensersatzansprüchen. 
 

Text: Silke Bauer
Bilder: Jens Lindemann