Data-Breach-Playbook: Was in den ersten 72 Stunden zu tun ist

Ein Data Breach ist kein „falls“-Szenario. Es ist ein „wenn“.

Die Frage ist, ob Ihre Organisation ein Playbook hat, bevor es passiert, oder ob Entscheidungen unter Druck, in der Öffentlichkeit und unter Beobachtung der Aufsichtsbehörden getroffen werden.

Die DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → schreibt die Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnisnahme einer Verletzung des Schutzes personenbezogener Daten vor. Das sind drei Tage. In den meisten Organisationen dauert allein die Aufklärung, was passiert ist, länger.

Die fünf Phasen der Breach Response

Phase 1: Detect

Die durchschnittliche Zeit bis zur Entdeckung eines Data Breach liegt bei 204 Tagen (IBM Cost of a Data Breach Report 2023). Das sind 204 Tage, in denen Daten exfiltriert, verkauft oder veröffentlicht werden kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, bevor Sie davon wissen.

Detection-Quellen: Ihr SIEM (Security Information and Event Management), Endpoint-Detection-Tools, Threat-Intelligence-Feeds, externe Forscher (Bug-Bounty-Programme) oder, im schlimmsten Fall, ein Journalist oder eine Aufsichtsbehörde, die es Ihnen zuerst sagt.

Die Rolle des CDO bei der Detection: sicherstellen, dass Zugriffslogs für Daten geführt und überwacht werden. Auffällige Zugriffsmuster (ein Nutzer lädt 100.000 Datensätze herunter, auf die er noch nie zugegriffen hat) sollten Alerts auslösen. Viele Breaches sind Insider Threats oder kompromittierte Zugangsdaten, die ohne Behavioral Analytics wie normale Zugriffe aussehen.

Phase 2: Contain

Die Blutung stoppen. Unmittelbar nach Entdeckung eines Breach:

• Betroffene Systeme isolieren (nicht vollständig offline nehmen, wenn dadurch forensische Beweise zerstört würden)
• Kompromittierte Zugangsdaten sperren
• Den Angriffsvektor blockieren, sofern bekannt
• Logs für die forensische Untersuchung sichern

Wer im Raum ist: CDO, CISO, CTO, Legal und eine beauftragte externe Incident-Response-Firma (die sollten Sie vor jedem Breach unter Vertrag haben, nicht erst während eines Breach suchen).

Phase 3: Assess

Auf welche Daten wurde zugegriffen? Welcher Art sind die Daten (sind es personenbezogene Daten nach DSGVO? Besondere Kategorien? Finanzdaten, die anderen Regulierungen unterliegen?). Wie viele Personen sind betroffen? Ist es wahrscheinlich, dass die Daten diesen Personen Schaden zufügen?

Eine Meldung nach DSGVO ist erforderlich, wenn der Breach „voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt“. Nicht jeder Breach löst eine Meldepflicht aus, aber diese Bewertung unter Zeitdruck korrekt vorzunehmen erfordert vorab festgelegte Kriterien.

Phase 4: Notify

Wenn der Breach Meldepflichten auslöst:

Meldung an die Aufsichtsbehörde (DSGVO: 72 Stunden ab Kenntnisnahme): Einreichung bei der zuständigen Aufsichtsbehörde. Die Meldung muss enthalten: Art des Breach, Kategorien und ungefähre Zahl der betroffenen Personen, Kontaktdaten des DPO, wahrscheinliche Folgen des Breach, ergriffene oder vorgeschlagene MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßnahmen.

Benachrichtigung der Betroffenen (sofern erforderlich): Wenn der Breach „voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt“, müssen auch die Betroffenen unverzüglich informiert werden. Die Kommunikation muss in klarer, einfacher Sprache erfolgen.

Weitere regulatorische Meldungen: Finanzdienstleister unterliegen zusätzlichen Meldepflichten (PRA/FCA in Großbritannien, SEC in den USA). Organisationen im Gesundheitswesen unterliegen den HIPAA-Meldepflichten (60 Tage ab Entdeckung). Kennen Sie Ihre branchenspezifischen Pflichten, bevor Sie sie brauchen.

Phase 5: Remediate and Learn

Nach dem Containment: die Schwachstelle beheben, zusätzliche Kontrollen einführen, den Incident-Response-Prozess überprüfen. Das Post-Incident-Review (innerhalb von 2 Wochen nach Abschluss) sollte beantworten: Was ist passiert? Wie wurde es entdeckt? Wie hätte die Detection schneller sein können? Welche Kontrollen haben versagt? Was würden wir anders machen?

Das Tabletop Exercise

Die Organisationen, die gut auf Breaches reagieren, haben geübt. Ein Tabletop Exercise ist ein simuliertes Breach-Szenario, das in einem Konferenzraum mit allen wichtigen Stakeholdern durchgespielt wird: Security-Team, Legal, CDO, CEO, Kommunikation. Sie gehen durch: „Es ist Dienstagmorgen. Ein Security-Forscher schreibt uns eine E-Mail, ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → habe 500.000 Kundendatensätze. Was tun wir in der nächsten Stunde? In den nächsten sechs Stunden? Bis Ende des Tages?“

Diese Übungen zeigen Lücken in Ihrem Prozess, bevor ein echter Breach das tut. Führen Sie mindestens einmal jährlich eine durch, häufiger, wenn Sie in einem Sektor mit hoher Bedrohungslage tätig sind.

Case: british airways (2018)

Im September 2018 machte British Airways einen Data Breach mit 500.000 betroffenen Kunden öffentlich. Angreifer hatten die BA-Website manipuliert, um Zahlungskartendaten abzugreifen, ein hochentwickelter „Magecart“-Angriff, der zwei Monate lang unentdeckt blieb.

Die ICO verhängte gegen BA ein Bußgeld von 20 Millionen £ (reduziert von den vorgeschlagenen 183 Millionen £ wegen COVID-19). Der Breach war direkt auf unzureichende Sicherheitsmaßnahmen zurückzuführen, konkret auf das Versäumnis, anomale ausgehende Verbindungen von der Website zu erkennen.

Die Lehre: Nicht der Breach war das Bußgeld. Der Breach plus die zweimonatige Detection-Lücke plus die unzureichenden Sicherheitskontrollen waren das Bußgeld. Der CDO und der CISO, die Behavioral Monitoring und Anomalieerkennung bei Datenzugriffen implementiert hätten, hätten das in Tagen bemerkt, nicht in Monaten.