Log4Shell-Sicherheitslücke kann zur Datenpannen-Meldepflicht führen

Die kritische Schwachstelle (Log4Shell) in der weit verbreiteten Java-Bibliothek Log4j führt nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu einer extrem kritischen Bedrohungslage. Das BSI hat daher seine bestehende Cyber-Sicherheitswarnung auf die Warnstufe Rot hochgestuft. Ursächlich für diese Einschätzung ist die sehr weite Verbreitung des betroffenen Produkts und die damit verbundenen Auswirkungen auf unzählige weitere Produkte.
Als im März 2021 das Bundesamt für Sicherheit in der Informationstechnik (BSI) über eine neue und außerordentlich kritische Gefährdungslage informierte, die den weit verbreiteten Microsoft Exchange Server betraf, gab es eine ähnlich hohe Warnstufe. Das BSI gab bekannt, dass zehntausende Exchange-Server in Deutschland nach Informationen des IT-Dienstleisters Shodan über das Internet angreifbar und mit hoher Wahrscheinlichkeit bereits mit Schadsoftware infiziert seien.
Damals wie auch bei den aktuellen Angriffen haben Verantwortliche auch eine datenschutzrechtliche Dimension zu bedenken, die sich aus Art. 33 DS-GVO ergibt. Alle Datenschutzaufsichtsbehörden, die sich damals zur Exchange-Sicherheitslücke Fall geäußert hatten, waren der Meinung, dass im Fall eines festgestellten Datenabflusses ein Data Breach bei der zuständigen Datenschutz-Aufsichtsbehörde gemeldet werden muss. Darüber hinaus könne in einem solchen Fall zudem eine Benachrichtigungspflicht an betroffene Personen bestehen. Eine Zusammenfassung der Aufsichtsbehörden, die sich zu dieser Fragestellung positioniert hatten, finden Sie hier.
Im Falle der Log4j dürfte konsequenterweise dasselbe gelten. Dazu das BayLDA in seiner Handreichung zur Log4Shell-Erstanalyse:
„Eine Sicherheitslücke alleine löst bekanntlich noch keine datenschutzrechtliche Meldeverpflichtung aus. Jedoch bedeutet ein Vorliegen der Schwachstelle Log4Shell in Log4j eine Verletzung der Vorgaben zur Sicherheit der Verarbeitung gemäß Art. 32 DS-GVO bei den jeweiligen Verantwortlichen.
Finden sich dann Anzeichen, dass die Schwachstelle ausgenutzt wurde und personenbezogene Daten betroffen sind, ist im Regelfall davon auszugehen, dass eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO vorliegt, da derart kompromittierte IT-Systeme seltenst „nicht zu einem Risiko“ für die Rechte und Freiheiten der davon betroffenen Personen führen dürfte. Die maßgeblichen Feststellungen, insbesondere ob eine Risiko für die betroffenen Personen besteht oder nicht, sind nach Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) umfassend zu dokumentieren.
Eine Meldung nach Art. 33 DS-GVO zur Datenschutzverletzung kann von bayerischen Verantwortlichen aus dem nicht-öffentlichen Bereich über den Online-Service des BayLDA durchgeführt werden.“
(Foto: MASHKA – stock.adobe.com)
Letztes Update:14.12.21
Verwandte Produkte
-
Online-Schulung: Teil 2- Einführung in den technisch-organisatorischen Datenschutz
Online-Schulung
1.368,80 € Mehr erfahren
Das könnte Sie auch interessieren
-
GDD-Wissenschaftspreise für den akademischen Nachwuchs 2023
Anlässlich der 47. Datenschutzfachtagung (DAFTA) wurden die Wissenschaftspreise der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) verliehen. Jedes Jahr vergibt der wissenschaftliche Beirat der GDD unter Vorsitz von Prof. Dr. Tobias Keber den GDD-Wissenschaftspreis als Würdigung für herausragende wissenschaftliche Arbeiten. Der Preis ist auf 5.000 € dotiert und geht an Nachwuchswissenschaftler aller Disziplinen, die sich
Mehr erfahren -
KI-Verordnung: Zwischen Selbstverpflichtung und klaren Verantwortlichkeiten
Seit April 2021 wird in Brüssel ein Rechtsrahmen für KI, der Artificial Intelligence Act (AI Act), verhandelt. Dieser soll Regeln und Qualitätsvorgaben für Betreiber von KI-Systemen definieren. Der Rat hatte sich bereits am 6. Dezember 2022 auf eine Position zum AI Act geeinigt. Das Europäische Parlament folgte am 14. Juni 2023. Im Rahmen der Trilog-Verhandlungen
Mehr erfahren -
Leitfaden: Entwicklung von sicheren KI-Systemen
KI-Systeme finden vielfältige Anwendungen, darunter die Prognose von Klima- und Finanzmärkten, automatisierte medizinische Diagnosen sowie (teil-) autonome Transportmittel. Um sicherzustellen, dass diese Systeme den Anforderungen der Informationssicherheit gerecht werden, ist nicht nur eine sichere Planung und Entwicklung, sondern auch eine sichere Implementierung und Betrieb erforderlich. In Zusammenarbeit mit 23 internationalen Cybersicherheitsbehörden aus 18 Ländern hat
Mehr erfahren