Cybersecurity | IT-Sicherheit

Cybersecurity wird immer präsenter. In einer Welt, die zunehmend vernetzt und digitalisiert ist, wird Cybersecurity zu einem unverzichtbaren Thema für Unternehmen aller Größenordnungen – vom Kleinstunternehmen bis hin zum Großkonzern. Cybersecurity bzw. Cyber Securtiy, zu Deutsch "Cybersicherheit" oder auch „IT-Sicherheit“ - wobei nach umstrittener Auffassung IT-Sicherheit ein Unterpunkt der Cybersecurity darstellt - umfasst alle Maßnahmen, die zum Schutz von Netzwerken, Computern, Programmen und Daten vor Angriffen, Schäden oder unberechtigten Zugriffen dienen. Hierzu zählen technische Aspekte wie auch die rechtlichen Rahmenbedingungen, die für Unternehmen von essenzieller Bedeutung sind. Unsere Rechtsanwaltskanzlei, spezialisiert auf IT-Recht, bietet Ihnen umfassende Beratung und Unterstützung, um sowohl Ihre digitalen Assets als auch Ihre rechtliche Position zu sichern.

Was wird unter Cybersecurity verstanden?

Cybersecurity umfasst ein breites Spektrum an Technologien, Prozessen und Kontrollmechanismen, die dazu entwickelt wurden, Netzwerke, Geräte, Programme und Daten vor Angriffen oder unautorisierten Zugriffen zu schützen. Die Bedrohung kommt häufig von außen, durch Cyberkriminelle, die die eigenen Systeme eindringen. Teilweise entstammen die Bedrohungen aber aus den eigenen Reihen: durch strafbare Handlungen von Mitarbeitern oder – auch das kommt vor - durch schlichte Unaufmerksamkeit und/oder Fehlbedienung; Cyberangriffe können vielfältig sein. So versuchen Angreifer Schadsoftware einzuschleusen, um das betroffene Gerät zu infiltrieren und schädliche, jedenfalls unerwünschte Funktionen auszuführen. Durch Phishing-Angriffe sollen sensible Daten erlangt und missbraucht werden.

Derzeit finden vermehrt Angriffe mit Ransomware statt, welche Daten verschlüsselt und Lösegeld fordert. Weitere Angriffsformen sind DDoS-Attacken, bei denen Server durch Überlastung zum Zusammenbruch gebracht werden, und Insider-Bedrohungen, die durch unzufriedene oder nachlässige Mitarbeiter entstehen können.

Zur Absicherung gegen Cyberbedrohungen stehen verschiedene technische Maßnahmen zur Verfügung. Firewalls und Antivirenprogramme bilden hierbei die erste Verteidigungslinie. Verschlüsselungstechnologien schützen sensible Daten auf Übertragungswegen und bei der Speicherung. Weiterhin sind regelmäßige Sicherheitsupdates und Patches notwendig, um Sicherheitslücken zu schließen. Einrichtungen wie Intrusion Detection Systems (IDS) und Intrusion Prevention Systems (IPS) helfen dabei, Angriffe frühzeitig zu erkennen und zu verhindern. Des Weiteren tragen regelmäßige Sicherheitsaudits und Penetrationstests dazu bei, Schwachstellen zu identifizieren und zu beheben. Insoweit wird von vorbeugenden Maßnahmen, der „Preparedness“ gesprochen. Die hier aufgezählten sind nur exemplarisch, eine Reihe weitere Maßnahmen können, je nach Ausrichtung des Unternehmens und Bedrohungsgrad ergriffen werden. Für größere Unternehmen dient als Orientierung die DIN EN/IEC 27001 als internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Für kleine Unternehmen und Kleinstunternehmen steht die DIN SPEC 2706 zur Verfügung, die das BSI in Zusammenarbeit mit anderen Institutionen verfasst hat.

Unternehmensverantwortliche sind – wie aufgezeigt - nicht nur technisch, sondern auch rechtlich in der Pflicht, ihre IT-Systeme und die Daten ihrer Kunden und Mitarbeiter zu schützen. Die Datenschutz-Grundverordnung (DSGVO) schreibt vor, dass personenbezogene Daten angemessen gesichert werden müssen. Verstöße gegen die DSGVO können zu empfindlichen Bußgeldern und Reputationsverlust führen. Zudem können Geschäftsführer und Vorstände persönlich haftbar gemacht werden, wenn sie ihren Sorgfaltspflichten nicht nachkommen. Das IT-Sicherheitsgesetz und weitere branchenspezifische Vorschriften, wie etwa das Kreditwesengesetz (KWG) für den Finanzsektor, setzen zusätzliche rechtliche Anforderungen fest. 

Neben vorbeugenden Maßnahmen muss aber auch das Verhalten im Ernstfall („Response“) feststehen – und zwar vorher. Die Verantwortlichen müssen Vorkehrungen treffen, dass der Angriff – bestenfalls noch während er stattfindet – erfasst und bewertet wird („Identification“). Die Attacke muss gestoppt werden – beispielsweise ein Datenleck geschlossen, Schadsoftware entfernt, Daten aus dem Backup wieder hergestellt werden („Minimization“). Vor der Rückkehr zum Normalbetrieb („Remidiation“) sind noch weitere Maßnahmen erforderlich, die wir Ihnen gerne im Gespräch mitteilen.

Damit das Verhalten im Ernstfall bestmöglich abläuft, ist Pflicht der Unternehmensführung zudem die Schulung und Sensibilisierung von Mitarbeitern, damit denen in kritischen Situationen genaue Handlungsabläufe und Ansprechpartner zur Verfügung stehen und sie die Risiken von Handlungen besser abschätzen können. 

Durch entsprechende Schulung hätten beispielsweise Chief Fraud Fälle verhindert werden können: der Angreifer hatte sich so spezielle Kenntnisse über den Geschäftsführer/Vorstand eines Unternehmens angeeignet, dass er Mitarbeitern vorspiegeln konnte, diese Person zu sein. Anweisungen, Geld auf ausländische Konten zu transferieren, wurde daraufhin Folge geleistet.

Unsere Rechtsanwaltskanzlei mit dem Schwerpunkt IT-Recht unterstützt Sie dabei, die rechtlichen Herausforderungen im Bereich Cybersecurity zu identifizieren und ihnen sicher zu begegnen. Bereits zu den vorbeugenden Maßnahmen beraten wir Sie umfassend zu Ihren Pflichten, helfen bei der Entwicklung von rechtssicheren IT-Sicherheitskonzepten und unterstützen im Falle eines Cyberangriffs bei der rechtlichen Bewältigung. Unser Ziel ist es, Ihre Unternehmenswerte zu schützen und rechtliche Risiken zu minimieren. Hierbei können wir Ihnen auf Wunsch auch starke technische Partner zur Seite stellen.