Von einer Datenpanne durch die Ankündigung des Angreifers erfahren

Der Beschluss 2023/1017 der Behörde für den Schutz personenbezogener Daten vom 8. Juni 2023 zeigt, dass die Art der Kenntniserlangung für die Sanktion ausschlaggebend sein kann.

Der für digitale Spiele- und Unterhaltungsplattformen verantwortliche Verantwortliche erfuhr von dem Cyberangriff nicht durch eigene Teams, sondern durch einen Forumsbeitrag des Angreifers, der Quellcode und Datenbank zum Verkauf anbot. In der Türkei waren 90.182 Personen betroffen; die Behörde verhängte ein Bußgeld von 1.500.000 TL. Die Verletzung wurde auch den Datenschutzbehörden von fünfzehn Ländern gemeldet.

Maßgeblich war nicht die Verletzung selbst, sondern die Art ihrer Entdeckung: Es gab keinen Penetrationstest, dieselbe Schwachstelle wurde ein zweites Mal ausgenutzt, und eine Patch-Politik wurde erst nach dem Vorfall eingeführt. Eine Struktur, die ungewöhnliche Aktivität nicht erkannte, wurde als Indiz dafür gelesen, dass Protokollierungs- und Überwachungspflichten nicht erfüllt waren.

Die praktische Erinnerung ist klar: Protokolle, regelmäßige Penetrationstests und eine bereits geltende Patch-Politik sind die stärksten Unterlagen, die der Behörde im Verletzungsfall vorgelegt werden können. Unsere Bewertung finden Sie in der Informationsnotiz.