Anfang August informierte der Brillenhändler Ace und Tate seine Kundschaft über eine Datenpanne. Die WELT berichtete am 7. August darüber. Solche Meldungen häufen sich, und sie betreffen längst nicht nur große Unternehmen.
Für Shopbetreiber gilt eine unangenehme Regel: Die Kosten eines Vorfalls entstehen überwiegend nach dem Vorfall, und ihre Höhe hängt fast vollständig von der Vorbereitung ab.
Die 72-Stunden-Frist
Nach der Datenschutz-Grundverordnung ist eine Verletzung des Schutzes personenbezogener Daten in der Regel binnen 72 Stunden der Aufsichtsbehörde zu melden. Bei hohem Risiko sind zusätzlich die Betroffenen zu informieren.
Innerhalb dieser Frist muss feststehen, welche Daten betroffen sind, wie viele Personen, über welchen Zeitraum und über welchen Weg. Wer diese Fragen nicht beantworten kann, meldet unvollständig, und das verschlechtert die Ausgangslage.
Was vorher geklärt sein muss
- Ein aktuelles Verzeichnis von Verarbeitungstätigkeiten. Ohne dieses ist die Frage, welche Daten betroffen sind, in 72 Stunden nicht beantwortbar.
- Protokollierung mit ausreichender Aufbewahrungsdauer. Logs, die nach sieben Tagen überschrieben werden, nützen bei einem Vorfall, der drei Wochen zurückliegt, nichts.
- Eine benannte Zuständigkeit, intern und beim Dienstleister, mit Erreichbarkeit außerhalb der Geschäftszeiten.
- Vorbereitete Textbausteine für die Information von Kunden. Unter Zeitdruck formulierte Mitteilungen erzeugen mehr Schaden als der Vorfall selbst.
- Ein geprüftes Backup. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, kein Backup.
Die häufigsten Einfallstore im Handel
Nach Erfahrung aus dem Tagesgeschäft sind es selten ausgefeilte Angriffe. Es sind veraltete Shop- und Plugin-Versionen, Zugänge ehemaliger Mitarbeiter und Dienstleister, Passwörter ohne zweiten Faktor und Schnittstellenzugänge mit zu weitreichenden Rechten.
Alle vier lassen sich mit vertretbarem Aufwand abstellen. Ein regelmäßiger Termin für Updates und eine jährliche Durchsicht aller Zugänge decken den größten Teil ab.
Einordnung
Vollständige Sicherheit ist nicht erreichbar. Erreichbar ist ein Zustand, in dem ein Vorfall kontrolliert abläuft: bekannt, eingegrenzt, gemeldet, kommuniziert. Der Unterschied zwischen beiden Zuständen ist überwiegend organisatorisch, nicht technisch.
