Cyber-Angriffe bei Kommunen und die Rolle des Datenschutzes

Technische und organisatorische Maßnahmen, oder kurz TOMs, sind das Rückgrat einer durch den Datenschutz beeinflussten Abwehr gegen Cyber-Angriffe. Die regelmäßige Abfrage, Prüfung und Aktualisierung dieser Angaben sensibilisiert die Verantwortlichen, führt zur Einführung und Umsetzung neuer Maßnahmen und sorgt für eine aktuelle Dokumentation der getroffenen Maßnahmen. Einzelne Maßnahmen, wie die Implementierung von Virensystemen und einer Firewall oder die Nutzung einer angemessenen Verschlüsselung, sind dabei essenziell. Andere Maßnahmen sind optional und richten sich an die Bedürfnisse der Organisation, wie etwa ein VPN-Zugriff oder die Benennung eines Informationssicherheitsbeauftragten.

Mit Blick auf die Ziele eines Cyber-Angriffs rücken besonders Maßnahmen gegen den Verlust oder die Verschlüsselung der Daten in den Fokus. Bei der Auflistung der Vorgaben für die TOMs aus Art. 32 DSGVO fällt der Blick dabei auf die geforderten Fähigkeiten der Verfügbarkeit und Belastbarkeit der Systeme sowie auf die Fähigkeit, die Verfügbarkeit personenbezogener Daten schnell wieder herstellen zu können. Auch hierfür bestehen zahlreiche Maßnahmen wie die Erstellung von Back-Ups, getrennte Datensicherungen, ein Backup und Recovery Konzept oder das Bestehen verschiedener Notfallpläne. Neben der Einführung dieser Maßnahmen trägt auch die regelmäßige Prüfung dieser Maßnahmen dazu bei auf Cyber-Angriffe vorbereitet zu sein.

Die Umsetzung der TOMs trägt auch zur Sensibilisierung von Verantwortlichen bei. Ergänzend dazu sorgen Schulungen von Beschäftigten dafür, dass Versuche von Cyber-Angriffen erkannt werden und durch richtiges Verhalten verhindert, werden können. Diese organisatorischen Maßnahmen klären Beschäftigte über Gefahren von Social Engineering, wie etwa Phishing, auf und tragen dazu bei, dass Unregelmäßigkeiten in den informationstechnischen Systemen als mögliche Cyberangriffe erkannt werden. Damit sorgen Schulungen für den Datenschutz nicht nur für eine rechtskonforme Behandlung personenbezogener Daten, sondern auch für die Sicherheit in Kommunen.

Ein Datenschutzmanagementsystem (DSMS) dient vor allem der Dokumentation von Datenverarbeitungen und den dazugehörigen Prozessen. Die gesammelte Dokumentation von Verarbeitungsvorgängen und den dazugehörigen Anwendungen und Programmen sowie die Verknüpfung mit der Verarbeitung personenbezogener Daten ermöglicht es, verschiedene Prozesse schnell zu identifizieren und Risiken abzuwägen. Ist beispielsweise eine konkrete Anwendung von einem Cyber-Angriff betroffen, kann mittels der Dokumentation des DSMS ermittelt werden, was dies konkret für betroffene Personen, bspw. Bürger:innen, bedeutet. Auch externe Fachkräfte erlangen durch dieses einen guten Überblick über die Kommunalverwaltung und können im Ernstfall schneller helfen. Durch eine lückenlose Dokumentation der eingesetzten Dienstleister, können im Falle eines Cyber-Angriffs die wesentlichen Dienstleister ermittelt werden und in die Bearbeitung des Vorfalls kurzfristig involviert werden.

Ein Löschkonzept also das strukturierte Vorgehen, wann, wie und ob Daten gelöscht werden, ist gut dazu geeignet, die Folgen eines Cyber-Angriffs zu begrenzen. Denn wenn die Daten die gestohlen oder verschlüsselt werden können auf das Notwendige reduziert wurden, sinkt der Umfang des Schadens für die Kommune und für ihre Bürger:innen, da deren Daten bestenfalls nicht mehr in den Systemen gespeichert sind. Dadurch unterliegen weniger Daten einer etwaigen Lösegeldforderung oder einer aufwendigen Wiederherstellung. Abschließend führt ein gutes Löschkonzept auch dazu, dass man nicht in Verlegenheit gerät, Betroffene informieren zu müssen, für deren Datenverarbeitung man gar keine Rechtsgrundlage mehr hat.

Ein Cyber-Angriff erfordert regelmäßig die Unterstützung durch externe Fachkräfte. Das trifft sowohl auf technische Bereiche in Form von Sicherheitsexperten als auch auf datenschutzrechtliche Bereiche in Form von Datenschützern zu. Um das Vertrauen der Öffentlichkeit und der Bürger:innen zu gewährleisten bzw. wieder herzustellen, ist eine Aufarbeitung des Cyber-Angriffs notwendig und bei der Verletzung des Schutzes personenbezogener Daten auch verpflichtend. Zur Einhaltung, Umsetzung und Durchführung von Rechten betroffener Personen ist daher ein strukturiertes und rechtskonformes Vorgehen nötig. Dadurch wird gewährleistet, dass entsprechend der Umstände eine maximale Transparenz geboten wird und die Betroffenen die Möglichkeit haben Ihre Rechte auszuüben.