Krisenkommunikation bei Cyberangriffen - Teil 3 von 3: Datenleck nach Cyberangriff: Krisenkommunikation und Information der Betroffenen

Warum ein Datenleck die Krise verändert

Vier Verschiebungen machen diese Phase kommunikativ besonders anspruchsvoll.

• Eine neue Zielgruppe tritt auf. Betroffene sind nicht automatisch Kunden. Es können Mitarbeitende, ehemalige Beschäftigte, Bewerber, Lieferantenkontakte, Ansprechpartner bei Kunden oder andere Personen sein. Sie interessiert nicht zuerst der Systemwiederanlauf, sondern: Welche Daten sind betroffen, welches Risiko entsteht daraus und was soll ich jetzt tun?

• Der Zeitpunkt ist teilweise fremdbestimmt. Gesetzliche Fristen können den Takt vorgeben. Zusätzlich kann ein Angreifer durch Veröffentlichungen Druck erzeugen.

• Die Nachricht kommt häufig als zweite Welle. Erkenntnisse zum Datenabfluss liegen mitunter nicht sofort als Analyseergebnis der Forensik vor. Wer zuvor zu früh entlastet hat, muss jetzt korrigieren - und diese Korrektur kann als Beschönigung oder Verschleierung gelesen werden.

• Unvorsichtige Kommunikation motiviert unberechtigte Schadenersatzforderungen. Betroffene sind immer auch potentielle Anspruchsteller von Schadenersatz und Schmerzensgeldforderungen; in vielen Fällen leider unberechtigt und unverhältnismäßig überzogen. Kommunikation muss die Balance zwischen transparenter Information, Verständnis und Empathie für die Sorgen der Betroffenen und Vermeidung unterstellter Schuldeingeständnisse finden.

Der rechtliche Rahmen: Orientierung, keine Rechtsberatung

Bei einer Verletzung des Schutzes personenbezogener Daten werden Zeitpunkt, Art und Umfang der Kommunikation durch rechtliche Pflichten mitbestimmt. Die folgende Übersicht dient der Orientierung für die Kommunikationsplanung. Die Bewertung im Einzelfall gehört zwingend in die Abstimmung mit Datenschutzbeauftragten und Rechtsberatung.

• Art. 33 DSGVO - Meldung an die Aufsichtsbehörde: Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, sofern er nicht ausschließen kann, dass die Verletzung zu einem Risiko für Rechte und Freiheiten natürlicher Personen führt. Die Risikobewertung hängt vom konkreten Einzelfall ab, unter anderem von Art, Sensibilität, Umfang und möglichen Folgen.

• Art. 34 DSGVO - Benachrichtigung betroffener Personen: Hat die Verletzung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen zur Folge, sind Betroffene unverzüglich zu benachrichtigen. Die Information muss in klarer und einfacher Sprache erfolgen und unter anderem Art der Verletzung, mögliche Folgen, ergriffene Maßnahmen und eine Kontaktstelle enthalten. Diese Pflicht gilt nicht nur gegenüber Betroffenen in Deutschland, sondern EU-weit.

• Sektorspezifische Regelwerke: Je nach Branche und Unternehmensgröße können weitere Melde- und Berichtswege gelten, etwa DORA im Finanzsektor, NIS2/BSI-Gesetz für wichtige und besonders wichtige Einrichtungen, oder Cyber Resilience Act für Hersteller digital vernetzter Produkte. Hier gelten zum Teil noch kürzere Fristen für Erstmeldungen innerhalb von 24 Stunden (z.B. BSIG und DORA). Mehrere Pflichten sollten in einem integrierten Melde- und Kommunikationsprozess zusammengeführt werden.

• Öffentliche Bekanntmachung als Ersatz: Art. 34 DSGVO sieht unter bestimmten Voraussetzungen eine öffentliche Bekanntmachung oder vergleichbar wirksame Maßnahme vor, wenn eine individuelle Benachrichtigung unverhältnismäßigen Aufwand erfordern würde.

• Nicht-Betroffene und Öffentlichkeit: Aus Art. 34 DSGVO folgt für nachweislich Nicht-Betroffene grundsätzlich keine Benachrichtigungspflicht. Andere gesetzliche, vertragliche oder regulatorische Pflichten können daneben bestehen. Kommunikativ kann eine Ansprache trotzdem sinnvoll sein: Denn grundsätzlich hat jeder – unabhängig von einem konkreten Vorfall – ein gesetzliches Recht auf Auskunft über die verarbeiteten Daten und gerade bei öffentlich bekannten Datenvorfällen ist mit höheren Anfragezahlen zu rechnen, weil Kunden wissen wollen, ob sie von einem Datenvorfall betroffen sind.

• Erpressung: Eine Lösegeldforderung ist nicht automatisch Bestandteil einer Betroffeneninformation. Ob und wie sie extern thematisiert wird, ist eine abgestimmte Lageentscheidung. Aus kommunikations-strategischer Sicht, wird darüber in der Regel nicht informiert.

• Vertragliche Informationspflichten in der Lieferkette: Angegriffene Unternehmen sind regelmäßig Teil einer Lieferkette, mit Kunden, die vertragliche Zusagen haben, dass sie über Angriffe sowohl auf personenbezogene Daten (z.B. in Auftragsverarbeitungsverträgen) als auch auf andere geheimhaltungsbedürftige Daten (z.B. NDA, Geschäftsgeheimnisschutz) informiert werden. Da Kunden eigene gesetzliche Meldepflichten einhalten müssen, sind diese vertraglichen Meldefristen oft noch kürzer als die gesetzlichen Fristen. Zudem müssen Lieferanten rechtzeitig informiert werden, wenn das angegriffene Unternehmen z.B. aufgrund sabotierter IT keine Waren annehmen kann. Es drohen Schäden aus Annahmeverzug. Gerade in diesen Lieferbeziehungen zu Kunden und Lieferanten drohen Schadenersatzansprüche aus den Verträgen, wenn die Kommunikation den Eindruck eines Verschuldens des Unternehmens am Angriff (z.B. wegen unzureichender Abwehr, fehlender Backups oder nicht aktualisierte Systeme) erweckt.

Die fünf Fragen Betroffener

Betroffenenschreiben werden fast immer rechtlich geprüft und scheitern trotzdem regelmäßig an einer simplen Anforderung: Sie sind für die Empfänger nicht schnell genug verständlich. Betroffene haben fünf Fragen, auf die die Schreiben eine unmissverständliche, klare Antwort geben müssen:

• Bin ich betroffen?

• Welche meiner Daten sind betroffen?

• Was kann jemand damit anfangen?

• Was soll ich jetzt konkret tun, um Schaden zu vermeiden?

• Wen erreiche ich bei Rückfragen?

Sechs Prinzipien für die Betroffenenansprache

1. Konkret statt pauschal. Betroffene Datenkategorien werden benannt. Wenn belastbar möglich, sollte ebenso klar gesagt werden, welche sensiblen Daten nicht betroffen sind. Diese Negativabgrenzung begrenzt unnötige Sorge.

2. Handlungsanleitung statt Beruhigung. Betroffene brauchen konkrete Schritte, keine allgemeinen Versicherungen. Dazu gehören Hinweise auf mögliche Folgen wie Identitätsmissbrauch, Phishing oder Social Engineering und darauf, was im konkreten Fall zu beachten ist. Konkrete Hilfsangebote z.B. über Links beim Bundesamt für Sicherheit in der Informationstechnologie – BSI lassen den Betroffenen nicht hilflos mit seiner Situation alleine.

3. Selbstbindung zur Absenderverifikation. Eine klare Zusage, dass die Organisation niemals unaufgefordert nach Passwörtern, Zugangsdaten oder Kontoinformationen fragen wird, hilft gegen Folgeangriffe.

4. Erreichbarkeit mit Substanz. Eine benannte Ansprechstelle braucht realistische Kapazität. Eine Hotline, die nicht erreichbar ist, oder ein Postfach ohne zeitnahe Antwort verschärft die Krise.

5. Bedauern ohne Vorwegnahme der Ursachenfrage. Bedauern über Folgen und Verantwortung für Aufklärung lassen sich ausdrücken, ohne eine noch ungeklärte Ursache oder Haftung bzw. Verschulden vorwegzunehmen.

6. Betroffene möglichst vor fremden Quellen informieren. Der zusätzliche Vertrauensverlust entsteht, wenn Betroffene aus Medien oder von Dritten erfahren, dass ihre Daten veröffentlicht wurden.

Nicht-Betroffene: keine DSGVO-Benachrichtigung, aber eine Kommunikationsentscheidung

Aus Art. 34 DSGVO folgt gegenüber nachweislich Nicht-Betroffenen grundsätzlich keine Benachrichtigungspflicht. Das bedeutet aber nicht automatisch, dass Schweigen kommunikativ richtig ist. Sobald ein Vorfall öffentlich bekannt ist, entsteht auch bei nicht betroffenen Kunden Unsicherheit. Oft löst die Meldung eines Datenvorfalls eine erhöhte Zahl an Auskunftsanfragen nach Art. 15 DSGVO aus, die wissen wollen, welche personenbezogenen Daten über sie verarbeitet werden. Diese Anfragen müssen innerhalb von 1 Monat spätestens beantwortet sein, was in der der angespannten Situation eines Datenvorfalls mit nicht oder nur eingeschränkt verfügbaren Informationen und Systemen zur Herausforderung werden kann. Eine belastbare Entlastung kann dann sinnvoll sein - vorausgesetzt, sie hält der weiteren Aufklärung stand und andere Informationspflichten sprechen nicht dagegen.

Hinzu kommt die Dynamik, die aus einer Krise einen Skandal machen kann: Folgen für Dritte, eine erkennbare Verantwortungsfrage und Akteure, die das Thema verstärken, etwa Verbraucherschutzorganisationen, Aufsichtsbehörden oder spezialisierte Kanzleien. Ob eine Kommunikation gegenüber Nicht-Betroffenen sinnvoll ist, muss stets abgewogen und im Einzelfall entschieden werden.

Vertrauen entscheidet sich in der Betroffenenkommunikation

Ein Datenleck ist häufig der Punkt, an dem sich entscheidet, wie eine Cyber-Krise in Erinnerung bleibt. Gesetzliche Informationspflichten geben Takt und Mindestinhalte vor. Kommunikativ reicht dieses Minimum nicht. Entscheidend ist, ob Betroffene schnell verstehen, was sie betrifft, was nicht, welches Risiko daraus entsteht und was sie jetzt selbst tun können. Damit verbunden sind auch die Haltung und die Verfügbarkeit einer Organisation und wie sie mit den Betroffenen im Weiteren umgeht.