Wenn der Lieferant auf der Leak-Site steht

Erpressergruppen betreiben eigene Seiten, auf denen sie ihre Opfer nennen, meist mit einer Frist, nach der die erbeuteten Daten veröffentlicht werden. Öffentliche Tracker sammeln diese Einträge. Für die genannten Firmen ist das schlimm genug. Für deren Kunden ist es oft die erste Nachricht, dass etwas passiert ist.

Denn der Eintrag auf der Leak-Site kommt nicht selten früher als die E-Mail des Lieferanten. Der hat in diesen Tagen andere Sorgen: Systeme wiederherstellen, Forensik beauftragen, mit der Versicherung sprechen. Die Nachricht an die Kunden steht weiter hinten auf der Liste, und ihr erster Satz lautet oft, es gebe „derzeit keine Hinweise“ auf einen Datenabfluss.

Was der Auftragsverarbeiter muss

Verarbeitet der Lieferant personenbezogene Daten in Ihrem Auftrag, ist die Pflicht klar. Artikel 33 Absatz 2 DSGVO:

„Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich.“

Und nach Artikel 28 Absatz 3 Buchstabe f muss der Vertrag festlegen, dass er Sie bei den Pflichten aus den Artikeln 32 bis 36 unterstützt, also auch bei Ihrer eigenen Meldung. Beides setzt voraus, dass der Lieferant weiß, was abgeflossen ist, und Zeit hat, es Ihnen zu sagen. In den ersten Tagen eines Angriffs ist beides selten der Fall.

Wann Ihre eigene Frist läuft

Ihre Pflicht als Verantwortlicher steht in Artikel 33 Absatz 1. Die Meldung an die Aufsichtsbehörde erfolgt

„unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde“

Bekannt wurde, nicht: gemeldet bekam. Ob ein Eintrag auf einer Leak-Site schon die Kenntnis einer Verletzung bedeutet, hängt vom Einzelfall ab und davon, welche Daten der Lieferant überhaupt von Ihnen hat. Sicher ist zweierlei: Die Prüfung beginnt mit dem Moment, in dem Sie davon wissen. Und nach Absatz 5 dokumentieren Sie Verletzungen mit allen zugehörigen Fakten, sodass die Aufsichtsbehörde die Einhaltung überprüfen kann. Wer drei Tage auf die E-Mail des Lieferanten gewartet hat, muss das später begründen.

Für Einrichtungen unter NIS2 kommt die Lieferkette als eigenes Thema dazu: Artikel 21 Absatz 2 Buchstabe d verlangt Maßnahmen zur Sicherheit der Lieferkette. Was man von außen über die Praxis eines Lieferanten sehen kann, stand in Die Praxis sieht man von außen.

Vier Fragen für die erste Stunde

• Welche Daten hat er von uns? Auftragsverarbeitungsvertrag und Verarbeitungsverzeichnis zeigen, welche Kategorien personenbezogener Daten und welche Betroffenen es sind.
• Welchen Zugang hat er zu uns? Fernwartung, VPN, Dienstkonten, Schnittstellen. Was ein angegriffener Dienstleister in Ihr Netz darf, darf in diesen Stunden auch sein Angreifer.
• Was sagt er schriftlich? Eine dokumentierte Anfrage mit Datum und Uhrzeit, nach betroffenen Systemen, Datenkategorien und dem Stand der Untersuchung.
• Wer entscheidet über die Meldung? Datenschutzbeauftragte und Informationssicherheit gehören sofort an den Tisch, mit notierter Uhrzeit der Kenntnis.

Keine dieser Fragen lässt sich in einer Stunde beantworten, wenn die Antworten erst gesucht werden müssen. Deshalb gehören sie vor den Vorfall, in Lieferantenakte, Vertrag und Verzeichnis.

Wie isidaten das abbildet

Das Leak-Site-Monitoring gleicht öffentliche Ransomware-Tracker gegen eine Wachliste aus eigenen Organisationen, Lieferanten, Auftragsverarbeitern und IKT-Dienstleistern ab. Jeder Treffer wird über die Verbindungen der Firma im Bestand bewertet: Ein Auftragsverarbeiter mit Verarbeitungstätigkeiten oder ein Lieferant mit hoher Kritikalität ergibt die Stufe kritisch, und die Gründe stehen am Treffer. Bei einem Lieferanten entsteht eine Aufgabe mit Frist nach Risikostufe, bei der eigenen Organisation ein Vorfall vom Typ Ransomware, bei dem die NIS2-Fristen ab Kenntnis laufen. Ein unsicherer Teil-Treffer muss erst bestätigt werden, bevor Aufgabe oder Vorfall entstehen.

Die Prüffrage

Wüssten Sie innerhalb einer Stunde, welche personenbezogenen Daten bei dem Dienstleister liegen, der heute Morgen auf einer Erpresserseite aufgetaucht ist?

Wenn Sie dafür erst den Vertrag suchen müssen, läuft Ihre Frist schon, während Sie suchen.

Quellen

Verordnung (EU) 2016/679 (DSGVO), Art. 28 Abs. 3 Buchst. f, Art. 33 Abs. 1, 2 und 5. Richtlinie (EU) 2022/2555 (NIS2), Art. 21 Abs. 2 Buchst. d.