Log4Shell-Sicherheitslücke kann zur Datenpannen-Meldepflicht führen

log4j

Die kritische Schwachstelle (Log4Shell) in der weit verbreiteten Java-Bibliothek Log4j führt nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu einer extrem kritischen Bedrohungslage. Das BSI hat daher seine bestehende Cyber-Sicherheitswarnung auf die Warnstufe Rot hochgestuft. Ursächlich für diese Einschätzung ist die sehr weite Verbreitung des betroffenen Produkts und die damit verbundenen Auswirkungen auf unzählige weitere Produkte.

Als im März 2021 das Bundesamt für Sicherheit in der Informationstechnik (BSI) über eine neue und außerordentlich kritische Gefährdungslage informierte, die den weit verbreiteten Microsoft Exchange Server betraf, gab es eine ähnlich hohe Warnstufe. Das BSI gab bekannt, dass zehntausende Exchange-Server in Deutschland nach Informationen des IT-Dienstleisters Shodan über das Internet angreifbar und mit hoher Wahrscheinlichkeit bereits mit Schadsoftware infiziert seien.

Damals wie auch bei den aktuellen Angriffen haben Verantwortliche auch eine datenschutzrechtliche Dimension zu bedenken, die sich aus Art. 33 DS-GVO ergibt. Alle Datenschutzaufsichtsbehörden, die sich damals zur Exchange-Sicherheitslücke Fall geäußert hatten, waren der Meinung, dass im Fall eines festgestellten Datenabflusses ein Data Breach bei der zuständigen Datenschutz-Aufsichtsbehörde gemeldet werden muss. Darüber hinaus könne in einem solchen Fall zudem eine Benachrichtigungspflicht an betroffene Personen bestehen. Eine Zusammenfassung der Aufsichtsbehörden, die sich zu dieser Fragestellung positioniert hatten, finden Sie hier.

Im Falle der Log4j dürfte konsequenterweise dasselbe gelten. Dazu das BayLDA in seiner Handreichung zur Log4Shell-Erstanalyse:

„Eine Sicherheitslücke alleine löst bekanntlich noch keine datenschutzrechtliche Meldeverpflichtung aus. Jedoch bedeutet ein Vorliegen der Schwachstelle Log4Shell in Log4j eine Verletzung der Vorgaben zur Sicherheit der Verarbeitung gemäß Art. 32 DS-GVO bei den jeweiligen Verantwortlichen.

Finden sich dann Anzeichen, dass die Schwachstelle ausgenutzt wurde und personenbezogene Daten betroffen sind, ist im Regelfall davon auszugehen, dass eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO vorliegt, da derart kompromittierte IT-Systeme seltenst „nicht zu einem Risiko“ für die Rechte und Freiheiten der davon betroffenen Personen führen dürfte. Die maßgeblichen Feststellungen, insbesondere ob eine Risiko für die betroffenen Personen besteht oder nicht, sind nach Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) umfassend zu dokumentieren.

Eine Meldung nach Art. 33 DS-GVO zur Datenschutzverletzung kann von bayerischen Verantwortlichen aus dem nicht-öffentlichen Bereich über den Online-Service des BayLDA durchgeführt werden.“

(Foto: MASHKA – stock.adobe.com)


Letztes Update:14.12.21

  • Datenschutzverletzungen richtig behandeln

    Datenschutzverletzungen richtig behandeln

    Seminar

    678.60 € Mehr erfahren
  • Online-Schulung: Teil 2- Einführung in den technisch-organisatorischen Datenschutz

    Online-Schulung: Teil 2- Einführung in den technisch-organisatorischen Datenschutz

    Online-Schulung

    1368.80 € Mehr erfahren
  • USA Überwachungsgesetz

    DSK-Gutachten: Aktueller Stand des US-Überwachungsrechts

    Die DSK (Die Datenschutzkonferenz besteht aus den unabhängigen Datenschutzbehörden des Bundes und der Länder) haben ein von Prof. Stephen Vladek erstelltes Gutachten zu den US-Überwachungsbefugnissen veröffentlicht. Es existiert auch eine deutsche Übersetzung des Gutachtens. Das Dokument könnte ein Schlüsselelement für Durchsetzungsmaßnahmen im Zusammenhang mit den deutschen Datenschutzbehörden sowie eine gute Informationsquelle für die Bewertung von

    Mehr erfahren
  • TTDSG

    DSK: Konsultationsverfahren zur „Orientierungshilfe Telemedien 2021“

    Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 20.12.2021 eine neue Fassung ihrer Orientierungshilfe für Anbieter/-innen von Telemedien veröffentlicht („Orientierungshilfe Telemedien 2021“). Mittels des überarbeiteten Papiers soll Betreibern und Betreiberinnen von Webseiten, Apps oder Smarthome-Anwendungen konkrete Hilfestellung bei der Umsetzung der am 01.12.2021 in Kraft getretenen Vorschriften des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG)

    Mehr erfahren
  • Umsetzung des Auskunftsrechts: EDSA beschließt Leitlinien

    „Das Auskunftsrecht ermöglicht es Einzelpersonen, sich darüber zu informieren, wie und warum ihre personenbezogenen Daten verarbeitet werden. Die Leitlinien enthalten Beispiele, die den für die Verarbeitung Verantwortlichen helfen sollen, Auskunftsanträge in einer der DS-GVO entsprechenden Weise zu beantworten“, so die Vorsitzende des europäischen Datenschutzausschusses (EDSA), Andrea Jelinek. Auf seiner Plenartagung im Januar hat der EDSA

    Mehr erfahren