Sind Angriffe auf Mailserver = meldepflichtige Datenschutzvorfälle?

Anfang März 2021 gab Microsoft bekannt, dass Microsoft Exchange Sicherheitslücken aufweist. Microsoft Exchange ist ein Mailserver Produkt das weltweit millionenfach genutzt wird, es handelte sich somit um eine Gefährdung von millionenfach genutzten und aus dem Internet erreichbaren Servern die oftmals bereits durch diese Lücke infiziert waren / aktiv angegriffen wurden.

Zwar stellte Microsoft schnell Sicherheitsupdates zur Verfügung die von Betroffenen installiert werden konnten und zudem ein Prüfskript für Exchange Server, mit dem Betroffene prüfen konnten ob ihre Server gehackt wurden, doch war es für einige Betroffene dann schon zu spät: Zahlreiche Unternehmen wurden Opfer eines Hackerangriffs.

Für die betroffenen Unternehmen stellt sich nun die Frage ab wann ein meldepflichtiger Datenschutzvorfall vorliegt und welche Informationspflichten dann auf sie zukommen und ob im konkreten Fall bezüglich Microsoft Exchange ein solcher vorliegt.

Wann liegt ein meldepflichtiger Datenschutzvorfall vor?

Wann ein Datenschutzvorfall meldepflichtig ist, wird in Art. 33 DSGVO geregelt. Demnach besteht eine Meldepflicht „im Falle einer Verletzung des Schutzes personenbezogener Daten […] es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt“.

Fraglich ist also zunächst einmal, wann eine „Verletzung des Schutzes personenbezogener Daten“ überhaupt vorliegt. Hierzu stellt Art. 4 Nr. 12 DSGVO eine Definition bereit. Demnach ist eine Verletzung des Schutzes personenbezogener Daten „eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, […] oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt […].“

Personenbezogene Daten sind gemäß Art. 4 Nr. 1 DSGVO alle Informationen die sich auf identifizierte oder identifizierbare natürliche Personen beziehen.

Eine Verletzung nach Art. 4 Nr. 12 DSGVO der Sicherheit dieser Daten liegt vor wenn sie vernichtet, verloren, verändert, unbefugt offengelegt oder unbefugt zugänglich gemacht werden. Dies umfasst also zunächst einmal alle Datenpannen und Datenlecks. Auch sind technische Probleme und Systemabstürze, die entsprechende Folgen haben, genauso umfasst wie Hacking-Angriffe und Diebstahl von Daten.

Um einen besseren Überblick über meldepflichtige Vorfälle zu erhalten gibt es in einzelnen Bundesländern Informationsmöglichkeiten über die Aufsichtsbehörden. Zudem führt die Guideline des Europäischen Datenschutzausschusses vom 19.01.2021 viele Beispiele und eine gute Übersicht.

Welche Informationspflichten gibt es?

Liegt ein meldepflichtiger Datenschutzvorfall vor, ist die nächste Frage, die sich betroffene Unternehmen stellen: Wer muss informiert werden?

Zunächst einmal besteht eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde nach Art. 33 DSGVO.

Zusätzlich müssen aber auch betroffene Personen wie Kunden, Mandanten oder Beschäftigte einzeln benachrichtigt werden, wenn von einem hohen Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen auszugehen ist (Art. 34 I DSGVO). Dies ist meist der Ausnahmefall und liegt vor, wenn mit schweren Konsequenzen oder Beeinträchtigungen für den Betroffenen zu rechnen ist (zum Beispiel Identitätsdiebstahl oder Verletzung der Vertraulichkeit des Berufsgeheimnisses). Dass betroffene Personen einzeln benachrichtigt werden müssen, ist vor allem dem Verlust von Bankdaten oder Patientendaten der Fall. Jedoch ist immer der Einzelfall entscheidend und es sollte immer Rücksprache mit dem Datenschutzbeauftragten gehalten werden.

Liegt im Fall Microsoft Exchange ein meldepflichtiger Datenschutzvorfall vor?

Ob hier ein meldepflichtiger Vorfall vorliegt ist tatsächlich umstritten. Während die Aufsichtsbehörde Hamburg äußert, dass eine Meldepflicht nur bestehe, wenn tatsächlich festgestellt wurde, dass Daten abgeflossen sind, sagt die Aufsichtsbehörde Baden-Württemberg aus, dass eine generelle Meldepflicht besteht und die Aufsichtsbehörden in Niedersachsen und Bayern vertreten, dass sogar schon die verspätete Installation der Microsoft-Updates zu einer Meldepflicht führt.

Unternehmen, die eine Betroffenheit feststellen, sollten dies also umgehend bei der Aufsichtsbehörde melden. Konnte allerdings kein Datenabfluss festgestellt werden, ist eine Meldung wahrscheinlich nicht nötig, aber immer im Einzelfall von Fachpersonal zu beurteilen. In jedem Fall sollten alle Vorfälle und Maßnahmen dokumentiert und die IT-Systeme regelmäßig fachmännisch kontrolliert werden.

Professionelle Beratung und Hilfe ist dabei unerlässlich.

Aktuelle Bedrohungslage für E-Mail-Server

Die Bedrohung durch Angriffe auf E-Mail-Server hat sich seit dem Microsoft-Exchange-Vorfall 2021 weiter verschärft. Cyberkriminelle und staatlich unterstützte Hackergruppen nehmen gezielt E-Mail-Infrastrukturen ins Visier, da diese häufig hochsensible personenbezogene Daten enthalten. Geschäftliche E-Mails enthalten regelmäßig Vertragsunterlagen, Personalinformationen, Kundendaten und vertrauliche Geschäftskorrespondenz.

Das BSI berichtet in seinen jährlichen Lageberichten von einer stetig steigenden Zahl an Angriffen auf E-Mail-Server. Besonders betroffen sind kleine und mittelständische Unternehmen, die häufig nicht über die Ressourcen für eine professionelle IT-Sicherheitsbetreuung verfügen. On-Premise-Mailserver, die vom Unternehmen selbst betrieben werden, sind dabei besonders verwundbar, da Sicherheitsupdates oft verspätet oder gar nicht eingespielt werden.

Risikoanalyse und Dokumentation nach DSGVO

Unternehmen sind nach Art. 32 DSGVO verpflichtet, angemessene technisch-organisatorische Maßnahmen zum Schutz personenbezogener Daten zu treffen. Dies umfasst ausdrücklich auch den Schutz von E-Mail-Servern. Eine regelmäßige Risikoanalyse ist dabei unerlässlich.

Die Risikoanalyse sollte folgende Aspekte umfassen: Welche personenbezogenen Daten werden über den E-Mail-Server verarbeitet? Wie hoch ist das Schutzniveau dieser Daten? Welche technischen Schutzmaßnahmen sind implementiert? Sind die Systeme auf dem aktuellen Patch-Stand? Gibt es ein Monitoring für ungewöhnliche Zugriffe oder Datenabflüsse?

Die Ergebnisse der Risikoanalyse müssen dokumentiert und regelmäßig aktualisiert werden. Diese Dokumentation dient als Nachweis für die Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und kann im Falle einer Prüfung durch die Aufsichtsbehörde vorgelegt werden.

72-Stunden-Frist: Praktische Herausforderungen

Die Meldepflicht nach Art. 33 DSGVO sieht vor, dass eine Datenschutzverletzung innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden muss. In der Praxis stellt diese kurze Frist Unternehmen vor erhebliche Herausforderungen.

Zunächst muss festgestellt werden, ob überhaupt eine meldepflichtige Datenschutzverletzung vorliegt. Dies erfordert eine schnelle forensische Analyse des Vorfalls: Wurden tatsächlich personenbezogene Daten kompromittiert? Welche Daten sind betroffen? Wie viele Personen sind betroffen? Welches Risiko besteht für die betroffenen Personen?

Parallel dazu müssen Sofortmaßnahmen eingeleitet werden, um den Schaden zu begrenzen. Dazu kann die Isolierung betroffener Systeme, die Änderung von Zugangsdaten oder die Sperrung kompromittierter Konten gehören. All diese Maßnahmen müssen sorgfältig dokumentiert werden.

Um die 72-Stunden-Frist einhalten zu können, sollten Unternehmen bereits im Vorfeld einen Incident-Response-Plan erstellen, der klare Zuständigkeiten und Eskalationswege definiert. Der Datenschutzbeauftragte sollte in diesen Plan eingebunden sein und im Ernstfall sofort informiert werden.

Präventive Schutzmaßnahmen für E-Mail-Server

Um das Risiko von Angriffen auf E-Mail-Server zu minimieren, sollten Unternehmen folgende Maßnahmen umsetzen:

Zeitnahes Patch-Management: Sicherheitsupdates für E-Mail-Server und alle zugehörigen Komponenten sollten unmittelbar nach Verfügbarkeit eingespielt werden. Automatisierte Update-Prozesse können dabei helfen, Verzögerungen zu vermeiden.

E-Mail-Verschlüsselung: Die Transportverschlüsselung (TLS) sollte für alle ein- und ausgehenden E-Mails erzwungen werden. Für besonders sensible Kommunikation ist eine Ende-zu-Ende-Verschlüsselung mittels S/MIME oder PGP empfehlenswert.

Multi-Faktor-Authentifizierung: Der Zugriff auf E-Mail-Konten sollte durch eine Multi-Faktor-Authentifizierung abgesichert werden. Dies verhindert, dass gestohlene Zugangsdaten allein ausreichen, um auf E-Mail-Konten zuzugreifen.

Netzwerksegmentierung: E-Mail-Server sollten in einem separaten Netzwerksegment betrieben werden, um die Ausbreitung eines Angriffs auf andere Systeme zu verhindern.

Regelmäßige Sicherheitsaudits: Professionelle Penetrationstests und Sicherheitsaudits decken Schwachstellen auf, bevor Angreifer sie ausnutzen können.

Fazit und Handlungsempfehlungen

Angriffe auf E-Mail-Server stellen ein erhebliches Datenschutzrisiko dar und können zu meldepflichtigen Datenschutzvorfällen führen. Unternehmen sollten sowohl präventive Maßnahmen zum Schutz ihrer E-Mail-Infrastruktur treffen als auch für den Ernstfall vorbereitet sein. Ein professioneller Incident-Response-Plan, die regelmäßige Schulung der Mitarbeiter und die enge Zusammenarbeit mit einem erfahrenen Datenschutzbeauftragten sind dabei entscheidende Erfolgsfaktoren.

Cloud-basierte E-Mail-Dienste vs. On-Premise-Server

Viele Unternehmen stehen vor der Entscheidung, ob sie ihren E-Mail-Server weiterhin selbst betreiben oder auf einen Cloud-basierten Dienst wie Microsoft 365 oder Google Workspace umsteigen sollen. Beide Varianten haben datenschutzrechtliche Vor- und Nachteile.

Cloud-basierte E-Mail-Dienste bieten in der Regel ein höheres Sicherheitsniveau, da der Anbieter über spezialisierte Sicherheitsteams und automatische Patch-Prozesse verfügt. Allerdings werden die Daten dabei außerhalb des Unternehmens gespeichert, was zusätzliche datenschutzrechtliche Anforderungen mit sich bringt. Insbesondere müssen ein Auftragsverarbeitungsvertrag geschlossen und bei Drittlandtransfers die entsprechenden Schutzmaßnahmen getroffen werden.

On-Premise-Server bieten eine vollständige Kontrolle über die Daten, erfordern aber erhebliches technisches Know-how für den sicheren Betrieb. Unternehmen, die sich für diese Variante entscheiden, müssen sicherstellen, dass sie über die notwendigen Ressourcen für regelmäßige Updates, Sicherheitsüberwachung und Incident Response verfügen. Unabhängig von der gewählten Lösung ist eine sorgfältige Risikoabwägung unter Einbeziehung des Datenschutzbeauftragten wichtig.