Nach einem Ransomware-Angriff hilft das DSGVO-Protokoll

Nach einem Ransomware-Angriff spielt die von der DSGVO geforderte Protokollierung eine wichtige Rolle bei der Einschätzung der Folgeschäden. “In einer Vielzahl typischer Ransomware-Angriff muss längst davon ausgegangen werden, dass personenbezogene Daten von Angreifern im Kontext von Ransomware entwendet und missbräuchlich weiter verwendet werden. (…) In der Konsequenz bedeutet dies, dass in solchen Fällen meist auch die betroffenen Personen – z. B. Beschäftigte, Lieferanten, Kunden, Mandaten oder Patienten – gemäß Art. 34 DS-GVO über den Vorfall benachrichtigt werden müssen.”, laut das Bayerische Landesamt für Datenschutzaufsicht¹ und fügt hinzu: “Insbesondere die Frage einer hinreichenden Wahrscheinlichkeit, dass keine Datenflüsse an die Angreifer stattgefunden haben, muss ausreichend beantwortet werden (z. B. Web-Proxy blockte verdächtigen Serveraufrufe, Datenvolumen im Auswertezeitraum erscheint nicht hoch genug). Nachweise dieser Art sind im Rahmen einer Meldung nach Art. 33 DSGVO beizulegen.”

Leider habe ich als Entwickler schon bei mehreren Online-Shops das Auditing von Zugriffen auf Tabellen mit Kundendaten und Bankverbindungen umgesetzt. Da mir der Zusammenhang mit Ransomware-Attacken nicht bekannt war, habe ich es falsch umgesetzt. In allen Fällen war das Protokoll auf dieselbe Datenbank gespeichert wie die des Shops. Im Falle einer Verschlüsselung der Datenbank ist es unmöglich, das Ausmaß der Datenflüsse zu bewerten.

Heutzutage kann ich nur empfehlen, die Protokolle gemäß DSGVO sowie andere sicherheitsrelevante Protokolle auf einem separaten Server zu speichern. Die Maschine muss ein gehärtetes Betriebssystem mit einer anderen Authentifizierungsmethode verwenden, um einen Angriff überstehen zu können.

Sehen Sie Verbesserungsbedarf bei der Speicherung von Auditing-Daten gemäß DSVGO? Welche anderen Fehler müssen die Entwickler bei den Auditing-Anforderungen vermeiden?

Bild von Pete Linforth aus Pixabay