DVSI bietet Leitfaden im Kampf gegen Cyberkriminalität

Ransomware-Angriffe, Phishing-E-Mails oder gefälschte Zahlungsaufforderungen können innerhalb kürzester Zeit erhebliche Schäden verursachen und im schlimmsten Fall ganze Unternehmensbereiche lahmlegen. Besonders betroffen sein können Produktion, Logistik, Lieferketten und Vertrieb. Neben den unmittelbaren wirtschaftlichen Folgen drohen Unternehmen erhebliche datenschutzrechtliche Konsequenzen, insbesondere dann, wenn im Zuge eines Cyberangriffs personenbezogene Daten unbefugt offengelegt, verändert, gelöscht oder in ihrer Verfügbarkeit beeinträchtigt werden.

Ein Cybervorfall ist damit zugleich regelmäßig eine Datenschutzverletzung im Sinne von Art. 4 Nr. 12 DSGVO und löst gesetzliche Prüf-, Dokumentations- und gegebenenfalls Meldepflichten aus. Dabei kommt es entscheidend auf eine schnelle und strukturierte Reaktion an: Die ersten Stunden nach Bekanntwerden eines Vorfalls sind häufig maßgeblich dafür, ob sich dessen Auswirkungen begrenzen lassen und ob das Unternehmen seinen gesetzlichen Verpflichtungen rechtzeitig nachkommen kann.

Entscheidend ist daher, dass Beschäftigte mögliche Sicherheitsvorfälle erkennen, richtig einordnen und unverzüglich an die zuständigen Stellen weiterleiten. Ein unternehmensweit etablierter Incident Response Plan schafft hierfür verbindliche Strukturen, definiert Verantwortlichkeiten und stellt sicher, dass im Ernstfall keine wertvolle Zeit verloren geht.

1. Warum die Spielwarenbranche besonders im Fokus steht

Die meisten Cyberangriffe setzen nicht zwingend komplexe technische Angriffsmethoden voraus, sondern nutzen gezielt menschliche Unachtsamkeit und alltägliche Geschäftsprozesse aus. Gerade in der Spielwarenindustrie kommen dabei verschiedene Risikofaktoren zusammen.

Insbesondere während des Weihnachtsgeschäfts steigt das E-Mail-Aufkommen erheblich, während gleichzeitig hoher Zeitdruck bei der Abwicklung von Bestellungen und Lieferungen besteht. Diese Umstände machen es Angreifern leichter, betrügerische Nachrichten unauffällig in die laufende Geschäftskommunikation einzuschleusen.

Hinzu kommt die enge Zusammenarbeit mit internationalen Produktionsstätten und Zulieferern, die weitere Angriffsmöglichkeiten eröffnet. So werden beispielsweise gefälschte Zahlungsaufforderungen versendet oder vermeintliche Änderungen von Bankverbindungen mitgeteilt, um Unternehmen zu betrügerischen Überweisungen zu verleiten.

Darüber hinaus sind B2B-Portale, Online-Shops und digitale Kundenplattformen attraktive Ziele für den Abgriff von Kunden- und Zahlungsdaten. Über Kundenclubs, Gewinnspiele, Apps und vernetztes Spielzeug verarbeiten Unternehmen zudem teilweise personenbezogene Daten von Kindern, die nach Erwägungsgrund 38 DSGVO besonders schutzwürdig sind. Ein Vorfall berührt hier schnell nicht nur rechtliche Pflichten, sondern unmittelbar das Vertrauen von Kunden und Handel in die Marke.

2. Meldepflichten im Überblick

Liegt eine Datenschutzverletzung im Sinne von Art. 4 Nr. 12 DSGVO vor, muss das Unternehmen prüfen, ob eine Meldepflicht nach Art. 33 DSGVO besteht. Danach ist die Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsichtsbehörde zu melden, sofern sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die Frist läuft auch an Wochenenden und Feiertagen.

Besteht voraussichtlich ein hohes Risiko für die betroffenen Personen, müssen diese nach Art. 34 DSGVO grundsätzlich ebenfalls unverzüglich benachrichtigt werden. Unabhängig davon ist jede Datenschutzverletzung gemäß Art. 33 Abs. 5 DSGVO intern zu dokumentieren, und zwar auch dann, wenn keine Meldung an die Aufsichtsbehörde erforderlich ist.

3. Was ein Incident Response Plan leisten muss

Ein Incident Response Plan legt verbindlich fest, wer im Verdachtsfall welche Maßnahmen ergreift und welche Melde- und Entscheidungswege einzuhalten sind. Dabei sollte er nicht nur Cyberangriffe, sondern sämtliche Datenschutzverletzungen erfassen, vom versehentlichen Fehlversand einer E-Mail bis zum Verlust eines dienstlichen Notebooks.

Im Mittelpunkt stehen klare Zuständigkeiten. Üblicherweise wird ein Krisenteam aus Geschäftsleitung, IT und Datenschutz benannt, einschließlich verbindlicher Vertretungen. Auch verbindliche Vertretungsregelungen können vorgesehen sein, damit im Ernstfall jederzeit handlungsfähige Ansprechpartner zur Verfügung stehen.

Ebenso wichtig sind verständliche und leicht zugängliche Meldewege für Beschäftigte. Bereits ein begründeter Verdacht sollte unverzüglich gemeldet werden, ohne dass Mitarbeitende den Vorfall zunächst selbst abschließend bewerten müssen. Das Krisenteam übernimmt anschließend die Sachverhaltsaufklärung, die Risikobewertung und die Entscheidung über erforderliche Eindämmungsmaßnahmen sowie datenschutzrechtliche Meldungen.

Ebenso wichtig wie der Plan selbst ist, dass die Beschäftigten ihn kennen. Kurze, verständliche Handlungshilfen und regelmäßige Sensibilisierung sorgen dafür, dass er im Ernstfall tatsächlich gelebt wird.

4. Richtiges Verhalten im Ernstfall

Im Verdachtsfall kommt es darauf an, schnell und besonnen zu handeln. Beschäftigte sollten wissen, welche Schritte einzuleiten sind und an wen sie sich wenden müssen. Wer beispielsweise eine verdächtige E-Mail geöffnet, einen ungewöhnlichen Systemzugriff festgestellt oder versehentlich personenbezogene Daten weitergegeben hat, sollte den Vorfall unverzüglich über den festgelegten Meldeweg an die zuständige Stelle, die IT oder den Datenschutzbeauftragten melden. Dies gilt ausdrücklich auch dann, wenn zunächst nur ein Verdacht besteht.

Sind Geräte möglicherweise betroffen, sollten diese nach Möglichkeit vom Netzwerk getrennt werden. Ein eigenständiges Ausschalten sollte hingegen unterbleiben, bis die IT entsprechende Anweisungen gibt, damit wichtige Informationen für die spätere technische Analyse erhalten bleiben. Ebenso sollten Beschäftigte davon absehen, eigenständig Dateien zu löschen, Untersuchungen durchzuführen oder auf Lösegeldforderungen zu reagieren.

Auch die Kommunikation nach außen muss klar geregelt sein: Informationen über den Vorfall dürfen nicht eigenständig an Kunden, Handelspartner oder Medien weitergegeben werden. Die externe Kommunikation erfolgt ausschließlich über die hierfür vorgesehenen Stellen im Unternehmen. Zudem sollten der Zeitpunkt des Vorfalls, auffällige Nachrichten und bereits ergriffene Maßnahmen möglichst genau dokumentiert werden.

Die Bewertung des Vorfalls sowie die Entscheidung über eine Meldung an die Datenschutzaufsichtsbehörde oder eine Strafanzeige obliegen den hierfür zuständigen Unternehmensverantwortlichen unter Einbindung des Datenschutzbeauftragten. So wird sichergestellt, dass alle erforderlichen Maßnahmen koordiniert und rechtzeitig eingeleitet werden.

5. Handlungsempfehlungen für die Spielwarenbranche

Für Unternehmen der Spielwarenbranche lassen sich daraus folgende konkrete To-dos ableiten:

• Einen Incident Response Plan mit eindeutigen Zuständigkeiten, internen Meldewegen und verbindlichen Abläufen erstellen. Dabei sollte insbesondere sichergestellt werden, dass Datenschutzverletzungen rechtzeitig erkannt, bewertet und gegebenenfalls innerhalb der gesetzlichen Fristen gemeldet werden können.
• Beschäftigte gezielt sensibilisieren durch regelmäßige Schulungen zu Phishing, gefälschten Zahlungsaufforderungen und Umgang mit Datenschutzverletzungen. Besonders vor dem Weihnachtsgeschäft und in Zeiten erhöhten Geschäftsaufkommens sollte die Aufmerksamkeit geschärft werden.
• Verträge mit IT-Dienstleistern und Auftragsverarbeitern sollten klare Regelungen zur unverzüglichen Meldung von Sicherheitsvorfällen enthalten. Insbesondere sind die Anforderungen aus Art. 28 und Art. 33 Abs. 2 DSGVO zu berücksichtigen. Darüber hinaus empfiehlt es sich, Notfallabläufe regelmäßig gemeinsam mit Geschäftsleitung, IT und Datenschutzbeauftragtem zu erproben.

Einen vollständigen Schutz vor Cyberangriffen gibt es nicht. Entscheidend ist, vorbereitet zu sein: Ein gelebter Incident Response Plan begrenzt Schäden, sichert die Einhaltung der Fristen und stärkt das Vertrauen von Kunden in das Unternehmen.

Kontakt für Rückfragen

Für weitergehende Fragen zur Erstellung oder Überprüfung eines Incident Response Plans sowie zur Begleitung im Ernstfall steht RAin Büsra Aydin DVSI-Mitgliedsunternehmen gerne zur Verfügung: