Kurzdefinition: Ein Legal Hold ist die organisatorische Anordnung, potenziell beweiserhebliche Daten unverändert zu sichern, sobald ein Rechtsstreit, eine Ermittlung oder eine behördliche Prüfung droht. Im Cyber-Kontext steht er im Spannungsfeld zum Reflex, betroffene Systeme schnell zu bereinigen und neu aufzusetzen.
Was ist ein Legal Hold?
Die Anweisung, bestimmte Daten und Systeme nicht zu verändern oder zu löschen, weil sie in einem Verfahren als Beweis dienen könnten. Er setzt reguläre Löschroutinen aus.
Wann greift ein Legal Hold?
Sobald ein Rechtsstreit, eine behördliche Untersuchung oder ein Ermittlungsverfahren vernünftigerweise zu erwarten ist. Der Auslöser ist die absehbare Relevanz, nicht erst die Klage.
Warum ist er im Cyber-Vorfall heikel?
Weil Wiederherstellung und Bereinigung Beweise vernichten können. Wer betroffene Systeme voreilig neu aufsetzt, riskiert den Vorwurf der Beweisvereitelung und verliert Ansprüche.
Wie verträgt sich Legal Hold mit der Wiederherstellung?
Durch beweissichere Kopien. Vor der Bereinigung werden forensische Abbilder gesichert; danach kann der Betrieb wiederhergestellt werden, ohne Beweise zu verlieren.
Wer veranlasst einen Legal Hold?
Meist die Rechtsabteilung in Abstimmung mit IT und Forensik. Wichtig ist eine klare, dokumentierte Anweisung an alle Beteiligten.
Häufige Fehlannahmen
- „Löschroutinen laufen einfach weiter.“ Nein. Der Legal Hold setzt sie aus.
- „Erst bei der Klage muss man sichern.“ Zu spät. Der Auslöser ist die absehbare Relevanz.
- „Wiederherstellung geht vor Beweissicherung.“ Nicht ohne vorheriges Abbild.
- „Ein Legal Hold betrifft nur E-Mails.“ Nein. Alle potenziell relevanten Daten.
- „Beweisvernichtung bleibt folgenlos.“ Nein. Sie kann Ansprüche und Position kosten.
Was die Geschäftsleitung tun sollte
- Auslöser erkennen. Drohende Verfahren früh identifizieren.
- Daten sichern. Beweiserhebliche Daten unverändert bewahren.
- Abbild erstellen. Vor Bereinigung forensische Kopien anfertigen.
- Anweisen. Legal Hold klar und dokumentiert kommunizieren.
Für die Geschäftsleitung
Ein Legal Hold verhindert, dass wertvolle Beweise im Eifer der Wiederherstellung vernichtet werden. Wer bei drohenden Verfahren zuerst beweissicher sichert und dann bereinigt, schützt seine rechtliche Position.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
