Kinderfotos im Visier von Cyberkriminellen: Ein Rückblick auf den Portraitbox-Fall und wie sich Unternehmen vor Angriffen schützen können

Als Ende Mai medial bekannt wurde, dass Portraitbox, ein insbesondere für Schul- und Kindergartenfotografie weit verbreiteter Cloudanbieter, im Zuge eines Cyberangriffs gehackt und große Mengen an Kinderfotos abgeflossen sind, war die Verunsicherung groß. Eltern wollten wissen, ob ihre Kinder betroffen sind, Fotografen hatten sich mit datenschutzrechtlichen Fragen auseinanderzusetzen und auch Schulen, Kindergärten und andere Bildungseinrichtungen wurden mit Anfragen konfrontiert.

Unsere Kanzlei hat in diesem Zusammenhang betroffene Mandanten (Fotografen und Bildungseinrichtungen) beraten. Der Fall zeigt eindrucksvoll, dass Cyberangriffe längst nicht mehr nur internationale Konzerne, sondern auch Einzelunternehmern und KMU treffen können.

Datenpannen beginnen oft im Arbeitsalltag

Es muss jedoch nicht immer ein spektakulärer Hackerangriff sein, wie im Fall Portraitbox. Die Erfahrung zeigt, dass Datenpannen häufig im Arbeitsalltag und bei Routineabläufen entstehen: Eine falsch adressierte E-Mail mit Kundendaten, das Versenden eines Newsletters ohne BCC, ein verlorener Laptop, ein unzureichend abgesicherter Cloud-Speicher oder ein Mitarbeiter, der auf einen Phishing-Link klickt. Gerade deshalb sollte sich jedes Unternehmen mit dem Ernstfall beschäftigen, bevor er eintritt.

Wichtig sind insbesondere geeignete technische und organisatorische Maßnahmen. Dazu zählt vor allem ein durchdachtes Berechtigungskonzept, Mehr-Faktor-Authentifizierung, regelmäßige Sicherheitsupdates, verschlüsselte Endgeräte, verlässliche Backups sowie regelmäßige Mitarbeiterschulungen und damit eine Sensibilisierung für Datenschutz und IT-Sicherheit. Das Verzeichnis von Verarbeitungstätigkeiten sollte aktuell gehalten, Löschfristen definiert und in der Praxis auch eingehalten werden. Bei der Einbindung externer Dienstleister sind Auftragsverarbeitungsverträge abzuschließen und die Sicherheitsstandards (Stichwort „Stand der Technik“) der Dienstleister zu prüfen, da man als Verantwortlicher für ein allfälliges Fehlverhalten oder bei mangelnde IT-Infrastruktur der Dienstleister allenfalls einstehen muss.

Auch Cyberversicherungen können Teil eines professionellen Risikomanagements sein. Sie verhindern zwar keine Datenpanne, können im Ernstfall aber erhebliche Kosten übernehmen – etwa für IT-Forensik, Krisenkommunikation, Rechtsberatung oder die Abwehr und Regulierung von Schadenersatzansprüchen. Entscheidend ist allerdings, den Versicherungsschutz sorgfältig zu prüfen, da viele Versicherungsunternehmen ihre Leistungen an bestimmte Sicherheitsstandards knüpfen. Idealerweise kann man dies zum Anlass nehmen, um auch seine eigenen IT-Systeme auf Vordermann zu bringen.

Im Ernstfall tickt die Zeit

Kommt es tatsächlich zu einer Datenschutzverletzung, ist rasches und strukturiertes Handeln gefragt.

Zunächst muss unter Beiziehung von IT-Expertise festgestellt werden, was genau passiert ist, welche Systeme oder Geräte betroffen sind und welche personenbezogenen Daten kompromittiert wurden. Oberste Priorität hat es, den Sicherheitsvorfall einzudämmen und Datenabflüsse zu verhindern. Parallel dazu müssen sämtliche Schritte dokumentiert werden. Gerade in den ersten Stunden werden häufig die Weichen für den weiteren Verlauf gestellt. Auf dieser Sachverhaltsgrundlage lässt sich dann beurteilen, welche datenschutzrechtlichen Verpflichtungen mit der Datenpanne einhergehen.

Die DSGVO verpflichtet Verantwortliche Datenschutzverletzungen grundsätzlich binnen 72 Stunden der Datenschutzbehörde zu melden, wenn ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Diese Meldung muss auch Angaben dazu enthalten, welche Schritte gesetzt wurden. Ist die Datenschutzverletzung zudem nicht nur existent, sondern besonders eingriffsintensiv, müssen in der Regel auch von der Datenpanne betroffenen Personen (z.B. Kunden) unverzüglich informiert werden.

Nicht jede Datenpanne führt allerdings automatisch zu einer Meldepflicht. Wird beispielsweise ein verschlüsseltes Notebook gestohlen und ist ein Zugriff auf die gespeicherten Daten praktisch ausgeschlossen oder sind auf dem Gerät keine sensiblen personenbezogenen Daten gespeichert, kann eine Meldung möglicherweise auch unterbleiben. Gelangen hingegen Kundendaten, Gesundheitsdaten, Ausweiskopien oder eben Kinderfotos in falsche Hände, wird regelmäßig sowohl eine Meldung an die Datenschutzbehörde als auch eine Benachrichtigung der Betroffenen erforderlich sein.

Eine zwingende Benachrichtigung von Betroffenen wird vom Verantwortlichen häufig als Imageschaden empfunden. Tatsächlich kann eine offene und nachvollziehbare Kommunikation jedoch wesentlich dazu beitragen, das Vertrauen von Kunden und Geschäftspartnern trotz des Vorfalls aufrechtzuerhalten. Dies gilt insbesondere bei medial stark beachteten Cybervorfällen, die sich regelmäßig ohnehin nicht geheim halten lassen.

Keine Haftung von Kindergärten und Schulen

Im Zusammenhang mit Portraitbox wurde vielfach die Frage gestellt, ob Schulen und Kindergärten für den Vorfall gegenüber den Betroffenen haften oder ihnen selbst datenschutzrechtliche Sanktionen drohen.

Das ist zwar stets anhand des konkreten Einzelfalls zu prüfen, Bildungseinrichtungen trifft jedoch in der Regel keine unmittelbare zivilrechtliche oder datenschutzrechtliche Haftung gegenüber den Betroffenen. Das ergibt sich aus den zugrundeliegenden Vertragsverhältnissen: Die Verträge über die Anfertigung und den Erwerb der Fotos werden üblicherweise unmittelbar zwischen den Eltern und dem jeweiligen Fotografen abgeschlossen. Schulen und Kindergärten stellen hier lediglich den organisatorischen Rahmen für den Fototermin zur Verfügung. Sie sind in der Regel weder Vertragspartner noch datenschutzrechtlich Verantwortliche oder Auftragsverarbeiter für die weitere Verarbeitung der Bilddaten. 

Fazit

Datenschutz muss im Unternehmen gelebt werden und nicht nur auf dem Papier existieren. Wer Verantwortlichkeiten bereits im Vorfeld festlegt, technische und organisatorische Maßnahmen regelmäßig überprüft, Mitarbeiter sensibilisiert, einen funktionierenden Notfallplan parat hat, kann die rechtlichen, wirtschaftlichen und reputationsbezogenen Folgen eines Datenschutzvorfalls erheblich reduzieren.

Wir unterstützen Unternehmen sowohl präventiv bei der datenschutzrechtlichen Beratung als auch im Ernstfall – von der rechtlichen Bewertung eines Cybervorfalls über die Kommunikation mit der Datenschutzbehörde bis hin zur Information betroffener Personen.