Bereits seit Anfang 2021 sind diverse schwere Sicherheitslücken, sogenannte Exploits, in der Microsoft Exchange Software bekannt. Am 03.03.2021 hat Microsoft nun Sicherheitsupdates bereit gestellt, mit denen diese Lücken geschlossen werden können.
Das Problem ist jedoch, dass diese Sicherheitsupdates für Hacker wie eine Art Anleitung funktionieren, wie man die vorhandenen Exploits ausnutzt. Da üblicherweise nicht in allen Unternehmen die Sicherheitsupdates sofort nach Veröffentlichung aufgespielt werden, lagen bzw. liegen somit viele Systeme offen. So vermutet das Bundesamt für Sicherheit in der Informationstechnik (BSI), dass deutschlandweit zehntausende Systeme angreifbar waren bzw. noch immer sind. Dringen Dritte über die Sicherheitslücke ein, so können diese problemlos alle vorhandenen Exchange Postfächer auslesen. Etwas erfahrenere Hacker können sich zudem Wege zu allen anderen Daten auf dem oder den Servern frei machen.
Sollten Sie einen Exchange Server betreiben, im Haus oder auch extern, sollten Sie unbedingt prüfen, ob Sie von der Sicherheitslücke betroffen sind und ob sich Dritte vielleicht schon Zugang verschafft haben.
Auch rechtlich schließen sich diverse Fragen an die Sicherheitslücke an, da Unternehmen nach Art. 33 DSGVO dazu verpflichtet sind, bei einem Datenbreach Meldung an die zuständige Aufsichtsbehörde, also den Landesdatenschutzbeauftragten zu machen. Erfolgt eine solche Meldung nicht, drohen Bußgelder im 5-stelligen Bereich. Aufgrund der Größe des Problems haben sich inzwischen alle Landesdatenschutzbeauftragten zu dem Problem geäußert. Danach ist in jedem Einzelfall eine Risikoanalyse erforderlich, die zu protokollieren ist. Ist das Ergebnis der Analyse, dass personenbezogene Daten abgefischt werden konnten, ist unbedingt eine entsprechende Meldung erforderlich.
Sollten Sie von einer entsprechenden Sicherheitslücke betroffen sein, helfen wir Ihnen gerne dabei, die erforderliche Risikoprüfung vorzunehmen und ggf. eine Meldung nach Art. 33 DSVO zu erstellen.
Ansprechpartner:
Rechtsanwalt
Martin Wagner, LL.M.
Zertifizierter Datenschutzbeauftragter (TÜV Nord)