Ransomware: Definition, Meldepflichten und Maßnahmen

Was ist Ransomware?

Ransomware ist Schadsoftware, die den Zugriff auf Daten oder Systeme einschränkt oder verhindert und für die Freigabe ein Lösegeld fordert.

Nach der technischen Einordnung des BSI geschieht die Zugriffssperre häufig durch Verschlüsselung, sie kann aber auch durch das Sperren von Systemen entstehen. Bei Mehrfacherpressung kopieren Täter zusätzlich Daten und drohen mit deren Veröffentlichung. Verschlüsselung ist daher typisch, aber kein notwendiges Merkmal.

Der Normwortlaut

Ransomware ist weder in Artikel 33 DSGVO noch in § 32 BSIG ein eigenständiger Meldetatbestand. Artikel 33 Absatz 1 DSGVO bestimmt für Verantwortliche wörtlich:

Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 51 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.

§ 32 Absatz 1 BSIG richtet sich dagegen an besonders wichtige und wichtige Einrichtungen. Für einen erheblichen Sicherheitsvorfall verlangt die Norm:

Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte; 2. unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden;

Die Norm begrenzt den zeitlichen Beginn ausdrücklich:

Die Verpflichtung nach Satz 1 gilt frühestens ab Einrichtung des Meldewegs.

Wann löst Ransomware eine Meldung nach der DSGVO aus?

Eine Behördenmeldung ist erforderlich, wenn eine Verletzung des Schutzes personenbezogener Daten vorliegt und diese voraussichtlich nicht risikolos für die Rechte und Freiheiten natürlicher Personen ist. Die Verarbeitung muss in den sachlichen und territorialen Anwendungsbereich der DSGVO fallen. Ein Angriff ausschließlich auf nichtpersonenbezogene Daten begründet für sich keine DSGVO-Meldung.

Ein Auftragsverarbeiter muss dem Verantwortlichen eine bekannt gewordene Verletzung nach Artikel 33 Absatz 2 DSGVO unverzüglich melden. Die Risikobewertung und eine darauf beruhende Behördenmeldung sind davon zu unterscheiden.

Wann löst Ransomware eine Meldung nach dem BSIG aus?

§ 32 BSIG greift nur für besonders wichtige und wichtige Einrichtungen im gesetzlichen Anwendungsbereich und nur bei einem erheblichen Sicherheitsvorfall. Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die Bewertung des konkreten Vorfalls bleibt ein Einzelfallurteil; eine bloße Infektion genügt nicht automatisch.

Welche Fristen gelten bei einem Ransomware-Vorfall?

Eine allgemeine Ransomware-Frist gibt es nicht. Bei einer meldepflichtigen Datenschutzverletzung muss der Verantwortliche unverzüglich und möglichst binnen 72 Stunden nach Kenntnis melden; eine spätere Meldung ist zu begründen. Für einen erheblichen Sicherheitsvorfall nach § 32 BSIG gelten – frühestens ab Einrichtung des gemeinsamen Meldewegs – die Erstmeldung unverzüglich, spätestens binnen 24 Stunden, und die weitere Meldung unverzüglich, spätestens binnen 72 Stunden nach Kenntniserlangung.

Nach § 32 Absatz 2 BSIG ist außerdem auf Ersuchen eine Zwischenmeldung und grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung vorzulegen. Dauert der Vorfall fort, tritt zunächst eine Fortschrittsmeldung an ihre Stelle; die Abschlussmeldung folgt nach der abschließenden Bearbeitung.

Müssen betroffene Personen informiert werden?

Nach Artikel 34 Absatz 1 DSGVO muss der Verantwortliche betroffene Personen unverzüglich benachrichtigen, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre persönlichen Rechte und Freiheiten zur Folge hat. Das ist eine andere Schwelle als die Behördenmeldung.

Die Benachrichtigung ist nach Artikel 34 Absatz 3 nicht erforderlich, wenn der Verantwortliche geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat und diese auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden, insbesondere solche, durch die die Daten für Unbefugte unzugänglich gemacht werden, nachfolgende Maßnahmen das hohe Risiko aller Wahrscheinlichkeit nach beseitigen oder die Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde; im letzten Fall ist eine öffentliche Bekanntmachung oder eine ähnlich wirksame Maßnahme erforderlich.

Was sagt die technische Einordnung über Zahlung und Datenabfluss?

Nach der Behördenpraxis des BSI kann eine Lösegeldzahlung weder die Entschlüsselung noch die Freigabe von Daten oder Systemen garantieren. Das BSI empfiehlt grundsätzlich, nicht auf die Erpressung einzugehen, Anzeige zu erstatten, das bereinigte Netzwerk wiederherzustellen und dafür integre Backups zu verwenden. Diese Empfehlungen sind kein allgemeines gesetzliches Zahlungsverbot und keine allgemeine gesetzliche Anzeigepflicht.

Welche Spezialausnahme kennt das BSIG?

Nach § 37 Absätze 2 und 4 BSIG kann für dort bezeichnete Tätigkeiten insbesondere in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung sowie für ausschließlich hierfür erbrachte Dienste ein Ausnahmebescheid ergehen. Voraussetzung ist, dass die Informationssicherheit anderweitig gewährleistet und beaufsichtigt ist. Die Ausnahme gilt nicht für Vertrauensdiensteanbieter und ist keine allgemeine Ransomware-Ausnahme.

Häufige Fehlannahmen

„Jeder Ransomware-Angriff ist meldepflichtig.“ Nein. DSGVO und BSIG haben unterschiedliche Adressaten, Anwendungsbereiche und Auslöser.
„Ransomware verschlüsselt immer Daten.“ Nein. Schadsoftware kann auch Systeme sperren; Mehrfacherpressung kann zusätzlich Datenabfluss umfassen.
„Jede Verschlüsselung betrifft personenbezogene Daten.“ Nein. Das muss für die DSGVO anhand der tatsächlich betroffenen Daten und Verarbeitung geprüft werden.
„Für alle gelten dieselben 24- und 72-Stunden-Fristen.“ Nein. Die Fristen des BSIG und der DSGVO gehören zu getrennten Pflichten mit unterschiedlichen Voraussetzungen.
„Eine Zahlung stellt die Wiederherstellung sicher.“ Nein. Nach Einschätzung des BSI gibt es dafür keine Garantie.

Was die Geschäftsleitung tun sollte

Ein vorbereitetes Notfallverfahren mit Zuständigkeiten, Eindämmung, Beweissicherung und internen sowie externen Kontaktstellen festlegen.
Den Vorfall unverzüglich technisch und rechtlich bewerten: betroffene Daten, Betriebsfolgen, möglicher Datenabfluss, Adressatenstatus und Beginn einschlägiger Fristen dokumentieren.
Die Wiederherstellung aus überprüften, integren Backups vorbereiten und erst nach Bereinigung des Netzwerks durchführen.
DSGVO-, BSIG- und Betroffenenpflichten getrennt prüfen und Entscheidungen samt Risikobewertung nachvollziehbar dokumentieren.
Bei besonders wichtigen und wichtigen Einrichtungen müssen die Geschäftsleitungen die gesetzlichen Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und überwachen sowie regelmäßig an Schulungen nach § 38 BSIG teilnehmen. Backup-Management, Notfallwiederherstellung und Krisenmanagement gehören zu den ausdrücklich genannten Maßnahmenfeldern.

Für die Geschäftsleitung

Ransomware verlangt eine schnelle, aber getrennte Entscheidung über Technik, Datenschutz und BSIG-Pflichten. Maßgeblich sind nicht Angriffsetikett oder Lösegeldhöhe, sondern betroffene Daten, Risiken, Auswirkungen, Einrichtungsstatus und Kenntniszeitpunkte. Nachweisbar sein sollten insbesondere Lagebewertung, Eindämmung, Zuständigkeiten, Fristprüfung, Meldungsentscheidung und die Integrität der Wiederherstellung.