Unternehmen werden heute regelmäßig Opfer von Cyberangriffen und die Bedrohungslage hat ein nie da gewesenes Ausmaß erreicht. Das Bundesamt für Sicherheit in der Informationstechnik plädiert dafür, dass sich die Unternehmensleitung dieser Tatsache bewusst sein muss, um Cybersicherheit als wichtigen Bestandteil des Risikomanagements etablieren zu können.

Das Handbuch „Management von Cyber-Risiken“ , das in Zusammenarbeit mit der Internet Security Alliance (ISA) vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erstellt wurde, erhält nun ein umfassendes Update. Es beschäftigt sich mit einer umfassenden Unternehmenskultur, die Cybersicherheit ständig im Blick hat und somit die Widerstandsfähigkeit von Unternehmen erhöht. Die aktualisierte Version des Handbuchs wurde am 22.03.2023 veröffentlicht.

Die Forderungen lassen sich auf die Einhaltung von sechs Prinzipien verdichten:

1. Cybersicherheit nicht nur als IT-Thema, sondern als Baustein des unternehmensweiten Risikomanagements verstehen:
   Die Unternehmensleitung muss die Cybersicherheit nicht nur als IT-Risiko, sondern als strategisches Unternehmensrisiko verstehen und angehen.
2. Rechtliche Auswirkungen von Cyberrisiken verstehen:
   Die Unternehmensleitung sollte die rechtlichen Auswirkungen von Cyberrisiken in Bezug auf die individuellen Anforderungen ihres Unternehmens verstehen.
3. Zugang zu Cybersicherheits-Expertise sowie regelmäßigen Austausch sicherstellen:
   Die Unternehmensleitung sollte einen angemessenen Zugang zu Cybersicherheits-Expertise fordern. Diskussionen über Cyberrisikomanagement sollten regelmäßig und in angemessenem Umfang auf die Tagesordnung gesetzt werden.

Knapp fünf Jahre nach dem Geltungsbeginn der Datenschutz-Grundverordnung startet heute die zweite europaweite Prüfaktion der europäischen Datenschutzaufsichtsbehörden. Koordiniert durch den Europäischen Datenschutzausschuss widmet sich die Prüfaktion der Stellung und den Aufgaben der Datenschutzbeauftragten. Diese stellen einen der Eckpfeiler des Datenschutzes in Unternehmen und Behörden dar, der sich als zentrale Neuerung mit der Datenschutz-Grundverordnung nun auch in den übrigen Mitgliedstaaten etabliert hat. Michael Will, Präsident des BayLDA erläutert das Ziel der gemeinsamen europaweiten Prüfung: “Für das BayLDA sind die Datenschutzbeauftragten seit jeher mehr als nur die ersten Ansprechpartner:innen der Aufsichtsbehörde. Sie sind die Garanten des Datenschutzes im Alltag, gerade für kleine und mittlere Unternehmen. Sie leisten Tag für Tag einen zentralen Beitrag für das Gelingen datenschutzgerechter Digitalisierung. Mit der Datenschutz-Grundverordnung wurde ihre Stellung im Unternehmen als vorgelagerte Beratungs- und auch Kontrollinstanz nochmals gestärkt. Die gemeinsame Prüfaktion bildet den Rahmen für eine genaue Analyse der heutigen Handlungsbedingungen in der betrieblichen Praxis und den Austausch der Datenschutzbehörden über mögliche Verbesserungen oder auch Abhilfemaßnahmen. Wir werden versuchen, die Ergebnisse unserer Untersuchungen so rasch wie möglich auszuwerten und unsere Schlussfolgerungen damit für alle der mehr als 36.000 bei uns gemeldeten Datenschutzbeauftragten nutzbar zu machen.“

Zum Hintergrund:

Der Europäische Datenschutzausschuss hatte bereits in seiner konstituierenden Sitzung am 25. Mai 2018 Leitlinien in Bezug auf Datenschutzbeauftragte („DSB“) verabschiedet, die gemeinsam mit mehreren aktuellen Entscheidungen des Europäischen Gerichtshofs, u.a. vom 22. Juni 2022 und 27. Oktober 2022, grundlegende Maßstäbe für die gemeinsame Prüfaktion der europäischen Datenschutzaufsichtsbehörden vermitteln. Im Mittelpunkt der Prüfung stehen neben Fragen der Qualifikation und Ressourcenausstattung vor allem mögliche Beeinträchtigungen der unabhängigen und effektiven Aufgabenwahrnehmung. Insbesondere die Ausübung von Zusatzfunktionen kann dabei Interessenkonflikte begründen, wie etwa bei Compliance-Beauftragten, IT-Verantwortlichen bzw. Personalverantwortlichen. Ein besonderes Augenmerk gilt außerdem der Anforderung, dass Datenschutzbeauftragte unmittelbar der höchsten Managementebene des Verantwortlichen oder Auftragsverarbeiters zu berichten haben. Präsident Will erläutert hierzu: „Auf Grundlage unserer Prüfbefugnisse werden wir die Handlungsbedingungen der betrieblichen Datenschutzbeauftragten gezielt in den Blick nehmen und uns sowohl Organigramme als auch Jahresberichte der Datenschutzbeauftragten vorlegen lassen. Wir werden sehr genau hinterfragen, wie Datenschutzbeauftragte, die nur über eine sog. dotted line über verschiedene Hierarchieebenen hinweg an die Unternehmensleitung herantreten können, dem Erfordernis jederzeitiger unmittelbarer Berichtsrechte genügen, um so ein klares Bild zur Situation der Datenschutzorganisation zu vermitteln und Fehlentwicklungen entgegenzutreten.“

https://www.lda.bayern.de/media/pm/pm2023_03.pdf

Rund 29 % aller mittelständischen Unternehmen in Deutschland sind in den Jahren 2018-2020 Opfer von Cyberkriminalität geworden. Die Betroffenheit steigt mit der Breite und Intensität von Digitalisierungsaktivitäten und der Größe der mittelständischen Unternehmen. Wesentlicher Grund hierfür ist eine Kombination aus einer größeren Angriffsfläche dieser Unternehmen und unzureichenden Schutzvorkehrungen. Dies zeigt eine Sonderauswertung des jüngsten repräsentativen KfW-Mittelstandspanels.

Der stark ausgeprägte Zusammenhang zwischen Unternehmensgröße und der Betroffenheit von Cyberkriminalität zeigt sich darin, dass 28 % der kleineren Unternehmen mit weniger als fünf Beschäftigten Cyberkriminellen zum Opfer gefallen sind, aber 49 % der Unternehmen mit 100 oder mehr Beschäftigten. Ein wichtiger Grund hierfür ist, dass Cyberkriminelle vor allem umsatzstärkere Unternehmen im Blick haben. Die Analyse macht zudem deutlich, dass größere mittelständische Unternehmen häufiger zu den digitalen Vorreitern zählen und damit eine größere Angriffsfläche für potenzielle Cyberattacken bieten. Dabei nimmt die Betroffenheit von Cyberangriffen sowohl mit der thematischen Breite als auch mit der Intensität von Digitalisierungsaktivitäten zu. So waren insgesamt 45 % der Unternehmen mit vier oder mehr verschiedenen Projektarten sowie 43 % der Unternehmen mit Digitalisierungsausgaben in Höhe von mindestens 10.000 EUR von Cyberkriminalität betroffen. Unter den Unternehmen mit Digitalisierungsstrategie, welche als Indikator für besonders ambitionierte Digitalisierungsaktivitäten gilt, waren mit 37 % ebenfalls überdurchschnittliche viele Unternehmen Opfer von Cyberattacken. Zwischen einzelnen Wirtschaftszweigen gibt es dagegen kaum Unterschiede. So waren im Untersuchungszeitraum in allen Wirtschaftszweigen zwischen 28 % und 30% der Unternehmen von Cyberkriminalität betroffen. Lediglich Unternehmen des Forschungs- und Entwicklungsintensiven Verarbeitenden Gewerbes waren mit 35 % vergleichsweise häufiger von Angriffen betroffen.

Die Hauptbedrohung im Cyberraum geht von der Erpressung von Löse- oder Schweigegeld aus. Auch die gezielte Überlastung von Internetseiten ist eine weit verbreitete Angriffsmethode. Die Notwendigkeit von Schutzvorkehrungen zur Abwehr solcher Bedrohungen wird dabei insbesondere von kleinen und mittleren Unternehmen verkannt. Oft fehlt es ihnen an Personal mit fachlicher Expertise zum Thema IT-Sicherheit. Folglich bleiben notwendige Investitionen in IT-Sicherheit aus. Mittelständler, welche sich der Bedrohungslage bewusst sind, haben angesichts des Fachkräftemangels bei IT-Experten oftmals große Schwierigkeiten, geeignetes Personal zu rekrutieren oder geeignete externe IT-Dienstleister zu identifizieren.

„Vor allem kleine und mittlere Unternehmen müssen für die Bedrohungen durch Internetkriminalität sensibilisiert und dabei unterstützt werden, Know-how zur IT-Sicherheit aufzubauen“, sagt Dr. Fritzi Köhler-Geib, Chefvolkswirtin der KfW. Eine Bündelung bestehender Informationsplattformen könnte ein Weg sein, um die Transparenz hinsichtlich der von Cyberkriminalität ausgehenden Bedrohungslage zu erhöhen. Darüber hinaus ließen sich viele IT-Sicherheitsvorfälle durch entsprechende Schulungen, Trainings und regelmäßige Auffrischungskurse vermeiden. „Verbesserte Kenntnisse im Bereich IT-Sicherheit in den Unternehmen ermöglichen einen höheren Schutz vor Cyberkriminalität. Gleichzeitig können sie zu einer Stärkung der Digitalisierungsaktivitäten im Mittelstand beitragen. Denn die Anforderungen an Datenschutz und Datensicherheit sind immer noch das am häufigsten genannte Digitalisierungshemmnis im Mittelstand,“ so Dr. Fritzi Köhler-Geib.

Die aktuelle Studie ist abrufbar unter:

www.kfw.de/fokus

Zum Datenhintergrund:
Die Analyse zu Cyberkriminalität im Mittelstand basiert auf einer Auswertung der Hauptbefragung zum KfW-Mittelstandspanel 2021. Zur Grundgesamtheit des KfW-Mittelstandspanels gehören alle privaten Unternehmen sämtlicher Wirtschaftszweige, deren Umsatz die Grenze von 500 Mio. EUR pro Jahr nicht übersteigt. An der Hauptbefragung (Befragungszeitraum: 15.02.2021 bis 25.06.2022) haben sich 11.403 mittelständische Unternehmen beteiligt.

Ein effektives Datenschutzmanagement erfordert vom Verantwortlichen sich nicht nur, sich Gedanken um die Zulässigkeit der Datenerhebung zu machen. Der datenschutzkonforme Umgang muss sich auf den gesamten Lebenszyklus von personenbezogenen Daten erstrecken und damit auch auf den Vorgang des Löschens.
Generell sind personenbezogene Daten zu löschen, wenn ihre Speicherung unzulässig ist oder ihre Kenntnis für die speichernde Stelle „zur Erfüllung ihrer Aufgaben nicht mehr erforderlich ist“. Um sicherzustellen, dass die personenbezogenen Daten nicht länger als nötig gespeichert werden, sollte der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen.
In der Praxis kann sich die Frage stellen, ob der Verantwortliche durch die Archivierung von personenbezogenen Daten den Datenschutz umsetzen kann oder vielleicht sogar muss (Archivierung als Löschungssurrogat).
Den damit zusammenhängenden Fragen widmet sich ein Arbeitspapier (Löschung oder Archivierung?), das der Bayerische Landesbeauftragte für den Datenschutz als Datenschutz-Aufsichtsbehörde für den bayerischen öffentlichen Sektor und die Generaldirektion der Staatlichen Archive Bayerns als zentrale staatliche Fachbehörde für alle Fragen des Archivwesens gemeinsam erarbeitet haben. Das Arbeitspapier skizziert die wesentlichen Aspekte der archivrechtlichen Aufbewahrungs- und der datenschutzrechtlichen Löschungsregelungen; es behandelt Gemeinsamkeiten, Unterschiede und grundlegende Wertungen, die im Schnittbereich beider Rechtsmaterien auftauchen.
Es charakterisiert die Archivierung als Löschungssurrogat und geht – unter Berücksichtigung der je eigenen Perspektive von Datenschutz- und Archivrecht – auf die Frage der Aufbewahrungsdauer ein. Der Aspekt der datenschutzrechtlichen Informationspflichten bei der Archivierung von Unterlagen bleibt ebenfalls nicht unbeachtet. Damit stellt das Arbeitspapier auch einen guten Ratgeber für die Herausforderungen dar, denen sich Verantwortliche nicht nur aus dem öffentlichen Bereich im Rahmen der Digitalisierung konfrontiert sehen. Damit dürfte das Arbeitspapier auch für Verantwortliche aus dem privatrechtlichen Bereich hilfreiche Anregungen bieten, die die Verarbeitung personenbezogener Daten im Spannungsfeld von Datenschutz- und Archivrecht organisieren müssen.