Müssen wir einen Ransomware-Angriff nach der DSGVO melden?
Oft ja, wenn personenbezogene Daten betroffen waren, auch wenn nichts gestohlen wurde. Die DSGVODSGVO: Datenschutz-Grundverordnung. Das EU-Datenschutzrecht (Verordnung (EU) 2016/679). definiert in Artikel 4 Nummer 12 eine Verletzung des Schutzes personenbezogener Daten als Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Die Verschlüsselung durch Ransomware macht Daten unverfügbar, eine Verletzung der Verfügbarkeit, und Angreifer kopieren Daten oft vor der Verschlüsselung. Nach Artikel 33 meldet der Verantwortliche die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Personen, etwa weil ein aktuelles Backup alles schnell wiederhergestellt hat und nichts das Netz verließ. Dokumentieren Sie die Begründung in jedem Fall. NetSenX kann zeigen, ob vor der Verschlüsselung ungewöhnliche Uploads von überwachten Geräten abgingen, was für diese Bewertung zählt.
Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.
Weiterlesen
Verwandte Fragen
- Müssen wir melden, wenn die gestohlenen Daten verschlüsselt waren?
- Wir schaffen die DSGVO-Meldung nicht in 72 Stunden. Dürfen wir schrittweise oder später melden?
- Wann beginnt die 72-Stunden-Frist der DSGVO?
- Ein Vorfall, mehrere Meldungen: Wie passen NIS2, DSGVO und DORA zusammen?
- Was ist ein schwerwiegender IKT-bezogener Vorfall nach DORA?
Begriffe auf dieser Seite
- DSGVO (Datenschutz-Grundverordnung)
- Das EU-Datenschutzrecht (Verordnung (EU) 2016/679).