Hackerangriff beim IT-Dienstleister: Auftraggeber muss selbst bewerten und melden

Cyberangriffe auf IT-Dienstleister treffen oft viele Auftraggeber zugleich. Häufig leiten die Betroffenen dann nur das Informationsschreiben des Dienstleisters an die Aufsichtsbehörde weiter. Das reicht nicht, stellt der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) in seinem 35. Tätigkeitsbericht für 2025 klar (Kap. 2.2 und 2.3).

Verantwortung bleibt beim Auftraggeber

Nach dem Bericht nehmen Angriffe auf öffentliche Stellen und deren IT-Dienstleister zu, insbesondere auf Krankenhäuser, Gemeinden, Landratsämter und Hochschulen. Wird ein Auftragsverarbeiter angegriffen, bleibt der Auftraggeber für seine Daten Verantwortlicher. Er muss den Vorfall selbst bewerten, eine eigene Risikoanalyse durchführen und die Meldung nach Art. 33 DS-GVO selbst erstatten. Der Dienstleister ist allein nur für seine eigenen Daten zuständig. Gegenüber dem Auftraggeber muss er unverzüglich informieren und bei der Aufklärung unterstützen (Art. 33 Abs. 2, Art. 28 Abs. 3 lit. f DS-GVO). Lässt sich ein Zugriff auf personenbezogene Daten nicht sicher ausschließen, ist ein Hackerangriff in der Regel meldepflichtig.

Dreistufiges Meldeverfahren

Der BayLfD beschreibt, welche Meldungen er erwartet:

1. Erstmeldung binnen 72 Stunden mit allen bisher bekannten Tatsachen, einer ersten Einschätzung, wie sensibel die Daten sind und wie viele Personen betroffen sein könnten, sowie den geplanten Benachrichtigungen nach Art. 34 DS-GVO.
2. Zwischenberichte: Dauert die Aufklärung länger und sind wahrscheinlich besondere Kategorien von Daten nach Art. 9 Abs. 1 DS-GVO betroffen, etwa im Krankenhaus, soll der Verantwortliche „unaufgefordert alle zwei Wochen einen kurzen schriftlichen Zwischenbericht“ erstatten.
3. Abschlussbericht spätestens nach der internen Aufklärung, mit endgültiger Zahl der Betroffenen, Risikoanalyse, forensischem Bericht und gegebenenfalls den Ergebnissen einer Recherche im Darknet.

Werden die Meldepflichten nicht ausreichend erfüllt, drohen Beanstandung, Verwarnung oder in Einzelfällen Verarbeitungsbeschränkungen.

Strafanzeige als Schutzmaßnahme

Außerdem geht der Bericht auf die Strafanzeige ein. Eine allgemeine Pflicht zur Anzeige besteht nicht. Eine Strafanzeige kann aber eine technisch-organisatorische Maßnahme im Sinne von Art. 32 Abs. 1 und eine Maßnahme nach Art. 33 Abs. 3 lit. d DS-GVO sein, weil sie die Aufklärung und die Beweissicherung unterstützt. Wer auf die Anzeige verzichtet, sollte dokumentieren, warum er sie nicht als mindernde Maßnahme bewertet hat.

Melde-Fahrplan vorab festlegen

Der Bericht richtet sich an bayerische öffentliche Stellen. Die Aussagen zu Art. 33 DS-GVO gelten aber für alle Verantwortlichen. Es empfiehlt sich, schon im Auftragsverarbeitungsvertrag festzulegen, welche Informationen der Dienstleister im Ernstfall in welcher Frist liefern muss. Der interne Ablauf bei Datenpannen sollte drei Dinge vorsehen: eine eigene Risikobewertung statt bloßer Weiterleitung, Zwischenberichte bei längerer Aufklärung und eine dokumentierte Entscheidung über eine Strafanzeige. Daneben sind weitere Meldepflichten zu prüfen, etwa gegenüber dem BSI.

(Foto: Masque – stock.adobe.com)