wir sind von Ransomware betroffen, ist das automatisch ein Datenschutzverstoß

Ransomware ist normalerweise ein Verstoß gegen den Datenschutz, aber nicht automatisch

Ein Ransomware-Angriff ist normalerweise ein Verstoß gegen den Datenschutz im Sinne der DSGVO, aber die Verbindung zwischen "von Ransomware betroffen" und "daher melden" verläuft nicht automatisch. Artikel 4 DSGVO definiert einen Verstoß als jede Zerstörung, jeder Verlust, jede Änderung oder unbefugte Offenlegung von Personendaten. Bei Ransomware werden Dateien verschlüsselt oder unzugänglich gemacht, und das fällt unter "Verlust der Verfügbarkeit" — auch wenn die Daten nicht eingesehen oder kopiert wurden. Damit ist die Definition eines Verstoßes normalerweise erfüllt, was allerdings etwas anderes ist als die Frage was ist eine Datenpanne genau ob die Benachrichtigungspflicht in einem konkreten Fall erfüllt ist.

Ob sich Personendaten in diesen verschlüsselten Dateien befanden, und ob wirklich ein Risiko für die Personen besteht, deren Daten betroffen sind, bleibt eine separate Frage. Ein Ransomware-Angriff auf einen Server ohne Personendaten ist kein Verstoß gegen den Datenschutz im Sinne der DSGVO. Ein Angriff, bei dem Daten zwar betroffen sind, aber eine funktionierende Sicherung vorhanden ist und schnelle Wiederherstellung möglich ist, kann ein geringeres Risiko mit sich bringen als ein Angriff, bei dem Daten auch entwendet wurden (Doppel-Erpressung). Diese Risikobewertung bestimmt dann wann eine Datenschutzverletzung der Aufsichtsbehörde gemeldet werden mussob auch die betroffenen Personen selbst davon erfahren müssen.

Worauf dies basiert

Die Definition einer Verletzung des Schutzes personenbezogener Daten in Artikel 4 der DSGVO ist der Ausgangspunkt; Artikel 33 der DSGVO regelt die Meldung an die Aufsichtsbehörde sobald eine Verletzung vorliegt, und Artikel 32 der DSGVO berührt die Frage, ob die Sicherheitsmaßnahmen in Ordnung waren, bevor der Angriff stattfand. Die EDPB-Orientierungslinien erarbeiten ausdrücklich Beispiele mit Ransomware, einschließlich der Unterscheidung zwischen Verschlüsselung ohne Datenabfluss und Angriffen, bei denen Daten auch gestohlen wurden. Die Verpflichtung, eine Verletzung zu bewerten und gegebenenfalls zu melden, gilt in der gesamten EU auf die gleiche Weise, da die DSGVO unmittelbar gilt; welche Aufsichtsbehörde die Meldung erhält, unterscheidet sich je nach Mitgliedstaat — in den Niederlanden ist dies die Autoriteit Persoonsgegevens, in anderen Ländern die Aufsichtsbehörde dieses Mitgliedstaates. Wenn ein IT-Anbieter oder Hosting-Partner durch die Ransomware betroffen ist, stellt sich darüber hinaus die Frage ob eine Meldung eines Anbieter auch eine eigene Meldepflicht auslöst.