Datenklau im eigenen Haus - und dann?

Der gestern bekannt gewordene Datendiebstahl bei der Beratungsfirma PriceWaterhouseCoopers (PwC) verunsichert Internetnutzer - und alarmiert auch die Firmen. Wie und wann sollten Unternehmen agieren, wenn das Kind schon in den Brunnen gefallen ist - und der rachsüchtige Ex-Praktikant die DVD mit den E-Mail-Adressen und Passwörtern der Kunden bereits verkauft hat? iBusiness fragte Rechtsanwälte, Kommunikationsexperten, Verbände und Behördenvertreter.

An erster Stelle stehe eine interne Sachverhaltsaufklärung, meinen krisenerprobte Top-Juristen. "Experten müssen die Informationslöcher schnell und genau lokalisieren und stopfen. Dazu benötigt man Spezialisten, die sofort verfügbar sind", sagt Dr. Marcus Schreibauer , Partner bei der internationalen Anwaltskanzlei Lovells  . "Diese Experten prüfen, ob es sich um interne Sicherheitslecks oder Hacker-Angriffe von außen handelt. Die Unterscheidung ist nicht nur aus technischer Sicht wichtig", so Schreibauer.

Denn bereits nach der ersten Analyse zeigt sich, welche juristischen Schritte angebracht sind. "Bei internen Lücken greifen betroffene Firmen zu arbeitsrechtlichen Maßnahmen wie einer sofortigen Freistellung des Mitarbeiters", erklärt der Anwalt. Im Falle externer Angriffe sollten Unternehmen bei Hacks aus dem Inland im Wege der einstweiligen Verfügung vorgehen. "Eine einstweilige Verfügung gegen eine Website, auf der die Daten illegal auftauchen ist innerhalb kurzer Zeit zu bekommen. Nach ihrer Zustellung sind die Daten - wenn nötig durch Einsatz von Zwangsvollstreckungsmaßnahmen - wieder aus dem Netz verschwunden", sagt Schreibauer. Auch ausländischen Websites kann man beikommen. Am effektivsten mit Anwälten aus den Ländern, in denen die Betreiber sitzen - ein Vorteil bei internationalen Sozietäten. "Zudem sollte man sich an die zuständige Abteilung der Staatsanwaltschaft wenden, welcher man idealerweise schon erste eigene Ergebnisse der Nachforschungen übergibt", so Marcus Schreibauer. Besonders bei komplexen Fällen haben die Experten bei Lovells die Erfahrung gemacht, dass eigene Ermittlungsergebnisse wichtig für die Behörden seien. Eine Parallelmaßnahme zur Sachverhaltsaufklärung könne es sein, ebenfalls per einstweiliger Verfügung sogenannte Besichtigungsansprüche bei dem Störer zu erwirken. Das könnte jeder sein, der Daten illegal auf seinen Servern hält. Als dritten Schritt rät Schreibauer zur professionellen Kommunikation des Problems.

Kunde ist König - auch im Notfall. "Sobald ein Unternehmen feststellt, dass jemand unerlaubt auf Daten zugegriffen hat, ist schnelles Handeln geboten, und zwar nicht nur im Hinblick auf das Schließen der Sicherheitslücke", ergänzt Rechtsanwalt Dr. Marcus Rayermann , von der Kanzlei Rayermann Zimmer   in München und Düsseldorf. "Zunächst sollten die Kunden informiert werden, deren Daten ausgespäht worden sind oder sein könnten. Hierzu empfehlen wir, bereits bei dem Entwurf dieser Kundeninformation einen Anwalt hinzuzuziehen, der die Kundenverträge kennt, um eine möglicherweise nicht gerechtfertigte Inanspruchnahme zu vermeiden", so der Partner der auf Multimedia- und Telekommunikationsrecht spezialisierten Kanzlei.

Soweit das Hacking weitere Folgen für die Kunden haben kann - beispielsweise beim Auslesen von Bankdaten - sei es ratsam, den Kunden eine Handlungsempfehlung an die Hand zu geben, beispielsweise: Ändern oder Sperren von Zugangsdaten. "Die Form der Mitteilung sollte dabei gewährleisten, dass der Kunde die Information schnellstmöglich erhält und - soweit möglich - dem üblichen Kommunikationsweg mit dem Kunden entsprechen, das heißt Online-Kunden werden in der Regel per E-Mail informiert", so Rayermann. Diesbezügliche Versäumnisse könnten ein Haftungsrisiko darstellen, warnt der Experte.

Über die schnelle Kunden-Info hinaus könne es erforderlich sein, Partner und Dienstleister zu benachrichtigen, um im Interesse einer vertrauensvollen Zusammenarbeit eine Information durch Dritte zu vermeiden, sagt Anwalt Rayermann. "Soweit das Sicherheitsloch im Bereich der Dienstleister liegen kann, sollten diese unbedingt in die Suche nach demselben eingebunden werden. Ist die Wahrscheinlichkeit hoch, dass das Sicherheitsloch im Bereich der Dienstleister liegt, sollte ebenfalls ein Anwalt eingeschaltet werden, um sich alle rechtlichen Möglichkeiten (wie etwa die Forderung von Schadenersatz) offen zu halten und nicht etwa durch Fristversäumnisse, die sich aus dem betreffenden Vertrag ergeben können, leichtfertig zu verbauen", so Rayermann.

Zumindest bei erheblichen Fällen von Datenspionage sollte eine baldige Anzeige bei der Staatsanwaltschaft eingereicht werden, rät der Jurist. Er setzt bei Nachforschungen auf die Behörden-Karte. "Da die Staatsanwaltschaft von Amts wegen Ermittlungen anstellt und über weitreichende Befugnisse verfügt, hat sie sicherlich die größten Chancen, den Täter zu ermitteln, sofern dies überhaupt möglich ist" rät Dr. Marcus Rayermann.

Für den Verband BITKOM   steht die Recherche der Strafverfolger ebenfalls auf der Liste ganz weit oben. "Bei einem Datendiebstahl sollte zunächst unbedingt die Staatsanwaltschaft eingeschaltet werden. Wenn für die Kunden wirtschaftliche Schäden oder soziale Nachteile drohen, sollten die Betroffenen benachrichtigt werden", rät der BITKOM betroffenen Unternehmen.

Sowohl bei der Identifizierung und Beseitigung der Sicherheitslücke als auch bei der Benachrichtigung der Kunden sollten Firmen die getroffenen Maßnahmen auch im Hinblick auf spätere Haftungsfragen sorgfältig zu dokumentieren, rät Rechtsanwalt Rayermann. Firmen, die den Schaden haben müssen schnell kommunizieren, meint Hartwin Möhrle , Geschäftsführung der A&B ONE Kommunikationsagentur  . Möhrle leitet das auf Krisenkokmmunikation spezialisierte Team der Frankfurter Agentur. "Es ist dringendst geboten, schnell und glaubwürdig zu kommunizieren, wie man einen Datenklau in Zukunft verhindern will", sagt Möhrle. "Eine Firma muss das Vertrauen ihrer Kunden wiedergewinnen und stärken. Deshalb muss kommuniziert werden: 'Wir kümmern uns mit der gebotenen Verantwortung um das Problem'", so der Kommunikationsexperte. Alles sei genau unter die Lupe zu nehmen - und auch die Dienstleister müssten zu hundert Prozent auf den Kommunikations-Kurs des Unternehmens eingeschworen werden.

Nach jedem Hack oder Klau von Kundendaten müssen die Datenschutzbehörden informiert werden. Nicht in jedem Bundesland ist automatisch der Landesbeauftragte für den Datenschutz auch der richtige Ansprechpartner für die Firmen. So ist etwa in Bayern die Regierung von Mittelfranken   für die Unternehmen zuständig. "Kontaktieren Sie uns möglichst bevor Sie die eigenen Kunden informieren", empfiehlt Peter Meier , stellvertretender Leiter der Datenschutzbehörde für den nichtöffentlichen Bereich bei der Regierung von Mittelfranken. Ist im Unternehmen ein eigener Datenschutzbeauftragter benannt, sollte er auch die staatlichen Datenschützer kontaktieren, so Meier. Diesen frühen Kontakt empfehlen auch die Spezialisten bei Lovells. "Ein proaktiver Dialog mit den Datenschutzbehörden ist ratsam, wenn es darum geht, die Behörden von der Einhaltung der juristischen Vorgaben zu überzeugen", sagt Dr. Marcus Schreibauer - schließlich möchte kein Unternehmen als Negativbeispiel im Jahresbericht des Datenschutzbeauftragten erneut in der Kritik stehen.

Firmen, die ihre Kundendaten überprüfen, können sich Beispiele aus der Wirtschaft anschauen - und aufs eigene Haus übertragen. Beispiel Xing  . Lars Hinrichs , CEO des Social Networks gibt Tipps: "Wir schützen die Daten unserer Mitglieder gleich auf mehreren Ebenen: Die Kundendaten liegen getrennt vom Firmensitz verteilt auf mehreren Servern. Alles, was bei Xing an Datenströmen ein- und ausgeht - also beispielsweise auch das Versenden privater Nachrichten - ist per SSL verschlüsselt, eine Verschlüsselungstechnik, die Banken für die Kontodaten beim Onlinebanking nutzen", so der Vorstand. Zur technischen Kontrolle komme bei Xing die menschliche. "Jeder Mitarbeiter fühlt sich mitverantwortlich für die Sicherheit der Plattform, zudem stehen viele Mitglieder in ständigem Dialog mit Xing und informieren uns, wenn ihnen etwas auffällt. Jedem Hinweis der Mitglieder wird nachgegangen",so Hinrichs.

Der PwC-Skandal kam zeitlich zu einem ungünstigen Zeitpunkt für die Branche. Denn bereits vor den von der WISO-Redaktion des ZDF aufgedeckten Fällen wurden missbräuchliche Datenweitergaben und der Verkauf teilweise persönlicher Daten diskutiert. Unabhängig vom Daten-GAU bei PwC trafen sich am gestrigen Nachmittag Vertreter aus Wirtschaft und Politik zum Datenschutzgipfel. Ergebnis: Bund und die Länder wollen den illegalen Datenhandel stärker als bisher unterbinden. Unter anderem drohen denjenigen, die Daten unerlaubt weitergeben höhere Bußgelder.

Bundesinnenminister Wolfgang Schäuble kündigte bis Ende November einen Gesetzentwurf der Bundesregierung zum sogenannten Datenschutzaudit an. Unternehmen müssen sich seit dem gestrigen Datenschutzgipfel auch auf das Datenaudit vorbereiten. Anbieter von Datenverarbeitungssystemen und datenverarbeitende Stellen können ihre Konzepte sowie ihre technischen Einrichtungen durch unabhängige Gutachter prüfen und bewerten lassen. Ein Gütesiegel ist als Anreiz für Firmen gedacht, die besonders sorgsam mit den Daten umgehen. Laut Schäuble soll auch geprüft werden, ob künftig die Herkunft der Daten kenntlich gemacht werden muss und inwieweit die Rechte der betrieblichen Datenschutzbeauftragten gestärkt werden können. Zudem gehe es darum, ob und inwieweit Pannen beim Datenschutz öffentlich gemacht werden müssen.