Allgemeines
Das Versenden von Personendaten an den falschen Empfänger, der Verlust eines Datenträgers mit besonders schützenswerten Daten, das Hacken von Konten oder der Zugriff auf ein Dossier durch eine nicht berechtigte Person: Diese Situationen stellen Verstösse gegen die Sicherheit von Personendaten dar. Sie treten heute immer häufiger auf und können sowohl innerhalb der Behörde selbst als auch bei einem Auftragsbearbeiter vorkommen.
Auf dieser Seite werden die Situationen beschrieben, die einen Verstoss gegen die Sicherheit von Personendaten darstellen, sowie die zu ergreifenden Massnahmen, die Rolle der oder des Beauftragten und die wichtigsten Pflichten, die sich aus den gesetzlichen Bestimmungen ergeben:
- sofortige Reaktion, sobald die Verletzung festgestellt wird (Art. 43 Abs. 1 DSchG);
- die Verletzung schriftlich festhalten (Art. 43 Abs. 2 DSchG);
- die Verletzung der oder dem Beauftragten melden, wenn sie ein hohes Risiko für die Persönlichkeit oder die Grundrechte darstellen könnte (Art. 43 Abs. 3 DSchG). Im Zweifelsfall wird empfohlen, den Vorfall zu melden. Zugang zur Online-Anmeldung von Verletzungen der Datensicherheit bei der ÖDSMB.
Die Verletzung der Sicherheit von Personendaten im Detail
-
Als Verletzung der Sicherheit von Personendaten definiert das DSchG jede Verletzung der Sicherheit, die unbeabsichtigt oder widerrechtlich zum Verlust, zur Änderung, zur Löschung oder zur Vernichtung von Personendaten, zu deren Offenlegung oder zu einem unbefugten Zugriff auf diese Daten führt (Art. 4 Abs. 1 Bst. k DSchG).
Konkret handelt es sich um einen Sicherheitsvorfall, der personenbezogene Daten betrifft und der den Verantwortlichen daran hindert, die Einhaltung der für die Bearbeitung personenbezogener Daten geltenden Grundsätze zu gewährleisten.
Je nachdem, welcher Sicherheitsaspekt beeinträchtigt wird, gibt es verschiedene Arten von Verletzungen:
- Verfügbarkeit: Verlust, Zerstörung, vorübergehende Unverfügbarkeit oder Löschung von Personendaten;
- Integrität: Veränderung von Personendaten;
- Vertraulichkeit: Weitergabe von Personendaten an unbefugte Dritte oder deren Einsichtnahme durch nicht berechtigte Personen.
Eine solche Verletzung stellt einen unbeabsichtigten oder böswilligen Verstoss gegen den Grundsatz der Datensicherheit dar. Dieser Grundsatz, der in Artikel 40 DSchG verankert ist, verpflichtet den Verantwortlichen, die Datensicherheit durch geeignete technische und organisatorische Massnahmen zu gewährleisten. Er stützt sich auf genau diese drei wesentlichen Elemente: die Vertraulichkeit, die Integrität und die Verfügbarkeit der Personendaten.
Eine Verletzung kann innerhalb der Behörde selbst oder bei einem Auftragsbearbeiter auftreten. Im letzteren Fall ist der Auftragsbearbeiter verpflichtet, den Verantwortlichen unverzüglich über jede Verletzung zu informieren, die im Rahmen der ihm anvertrauten Datenbearbeitungen aufgetreten ist (Art. 43 Abs. 4 DSchG).
-
Bei Verdacht auf eine Verletzung muss umgehend eine Überprüfung durchgeführt werden, um den Vorfall zu bestätigen. Sobald die Verletzung festgestellt wird, ist eine sofortige Reaktion unerlässlich, auch wenn der Verstoss von einem Auftragsbearbeiter ausgeht.
Die ersten Stunden nach der Aufdeckung einer Verletzung sind entscheidend, um die Folgen zu begrenzen. Daher ist es unerlässlich:
- Art und Ausmass des Vorfalls zu analysieren;
- Die erforderlichen Ressourcen unverzüglich zu mobilisieren;
- Festzustellen, ob der Vorfall auf einen Cyberangriff oder einen Fehler der betroffenen Behörde zurückzuführen ist, beispielsweise die Übermittlung von Personendaten an den falschen Empfänger. Die Dringlichkeit der Reaktion und die zu ergreifenden Massnahmen unterscheiden sich von Fall zu Fall;
- Im Falle eines Cyberangriffs oder eines Sicherheitsvorfalls im Zusammenhang mit Cyberkriminalität können Sie auch die Website https://cybercrimepolice.ch/de konsultieren, die Informationen und Ratschläge zu den wichtigsten Formen der Cyberkriminalität bietet, sowie die Seite Cyberkriminalität, die ebenfalls nützliche Informationen und Ratschläge enthält.
Zu den in Betracht zu ziehenden Massnahmen gehören insbesondere:
- Die für das betroffene System zuständigen IT-Abteilungen unverzüglich zu alarmieren oder ein IT-Sicherheitsunternehmen hinzuziehen;
- Die betroffenen Systeme im Falle eines Cyberangriffs unverzüglich zu isolieren, beispielsweise durch Unterbrechung der Netzwerkverbindungen, Deaktivierung des WLANs und Vermeidung einer erneuten Inbetriebnahme der kompromittierten Geräte, wobei gegebenenfalls die Empfehlungen des Bundesamts für Cybersicherheit (BACS ) zu beachten sind;
- Grundsätzlich sollte gemäss der allgemeinen Empfehlung des BACS kein Lösegeld gezahlt werden: Im Allgemeinen sollte von jeglicher Zahlung abgesehen und kein direkter Kontakt zu den Tätern aufgenommen werden;
- Analysieren Sie mit Hilfe der zuständigen IT-Abteilung oder eines auf Cybersicherheit spezialisierten Unternehmens die Ursache und das Ausmass des Angriffs;
- Ergreifen Sie Wiederherstellungsmassnahmen, die dem Schweregrad des Vorfalls angemessen sind: gezielte Behebung bei einer geringfügigen Verletzung; bei einem schwerwiegenden Vorfall Aktivierung des Geschäftskontinuitätsplans oder vollständige Wiederherstellung der Infrastruktur auf der Grundlage von Backups.
Beweismittel und strafrechtliche Schritte
- Prüfen Sie, ob es angebracht ist, die Kantonspolizei zu kontaktieren, insbesondere um Beweise zu sichern und sich über die nach einem Datenleck zu ergreifenden forensischen Massnahmen beraten zu lassen. Die Kantonspolizei steht den Bürgern unter der Telefonnummer +41 26 347 01 17 (Nummer für nicht dringende Anrufe) zur Beratung in dieser Angelegenheit zur Verfügung.
- Bewahren Sie die Beweise für die Datenverletzung auf, insbesondere empfangene Nachrichten, Verbindungsprotokolle, Screenshots oder verdächtige Telefonate. Soweit möglich, sollten Sie jegliche Manipulation oder Löschung von Elementen vermeiden, die für die Analyse des Vorfalls oder für ein allfälliges Strafverfahren nützlich sein könnten.
- Bei einer Straftat Anzeige erstatten, insbesondere wenn der Vorfall einen Verstoss im Sinne von Art. 143 oder 143bis StGB darzustellen scheint. Die Modalitäten sind auf der Seite zur Einreichung einer Strafanzeige aufgeführt.
- Melden Sie den Vorfall beim Bundesamt für Cybersicherheit (BACS), wenn es sich um einen Cybersicherheitsvorfall handelt. Diese Meldung kann über den Meldedienst des BACS erfolgen. Dieser Schritt ist unabhängig von einer allfälligen Strafanzeige.
-
Je nach Schwere des Vorfalls sollte ein Krisenstab eingerichtet werden, um die Massnahmen der verschiedenen Akteure (Technik, Personalwesen, Kommunikation, Rechtsabteilung) zu koordinieren und zu prüfen, ob die Einreichung einer Strafanzeige angebracht ist.
Verfügt der Verantwortliche über eine Ansprechperson für den Datenschutz im Sinne von Artikel 45 DSchG, so muss diese in die Bewältigung der Verletzung der Datensicherheit einbezogen werden.
Zudem sind die betroffenen Partner, wie beispielsweise Versicherungen oder Banken, zu informieren.
Schliesslich muss eine angemessene Kommunikation organisiert werden, um die betroffenen Bürgerinnen und Bürger, Kunden, Mitarbeitenden, Partner, Lieferanten und gegebenenfalls die Medien zu informieren.
-
Die Datenschutzverletzung ist schriftlich festzuhalten, wobei der Sachverhalt (Ablauf der Datenschutzverletzung, Art der Verletzung, Art der betroffenen Daten und die betroffenen Personenkategorien), deren Folgen und die ergriffenen Massnahmen zu beschreiben sind. Dabei sind die für die Analyse relevanten Elemente zu erfassen (Art. 43 Abs. 2 DSchG).
Es ist ebenfalls unerlässlich, Folgendes zu ermitteln:
- die Art der Verletzung, beispielsweise Datenverlust, Änderung, Löschung oder Vernichtung, Offenlegung oder unbefugter Zugriff auf Daten;
- die Ursache der Verletzung;
- den Zeitpunkt des Eintritts der Datenschutzverletzung und ihrer Entdeckung;
- die betroffenen Daten, zum Beispiel Name, Vorname, Adresse oder etwaige besonders schützenswerte Daten;
- die geschätzte Anzahl der betroffenen Personen;
- die festgestellten oder möglichen Folgen der Verletzung.
Die Dokumentation der zum Vorfall gehörenden Elemente ermöglicht es, die Massnahmen an die Art des Vorfalls anzupassen. Bestimmte Situationen, wie beispielsweise ein Fehler beim Versand, erfordern einfache Massnahmen, im Gegensatz zu einem Cyberangriff.
-
Nur Verletzungen, die ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringen können, müssen dem oder der Beauftragten gemeldet werden.
Wann besteht ein hohes Risiko?
Ein hohes Risiko besteht insbesondere dann, wenn die Verletzung den betroffenen Personen körperlichen, materiellen, immateriellen oder finanziellen Schaden zufügen kann, insbesondere im Falle von Diebstahl, Identitätsdiebstahl, Diskriminierung, Rufschädigung oder Demütigung.
Ein hohes Risiko kann auch angenommen werden, wenn die Verletzung besonders schützenswerte oder unter das Berufsgeheimnis fallende Daten betrifft.
Beispiele für ein solches Risiko sind der Verlust von Datenträgern mit besonders schützenswerten Daten – beispielsweise ein USB-Stick mit Gehaltsdaten –, das Hacken von Konten oder das Versenden geschützter Daten an unbefugte Empfänger.
Wie ist bei der Bewertung vorzugehen?
Die Bewertung zur Feststellung der Meldepflicht muss von Fall zu Fall erfolgen. Dabei sind folgende Aspekte zu prüfen:
- die Wahrscheinlichkeit des Eintritts eines Schadens: gering, mittel oder hoch;
- die Art der möglichen negativen Folgen (Rufschädigung, Verlust des Arbeitsplatzes, Diskriminierung) sowie deren Schweregrad: gering, mittel oder schwer;
- die Art und die Kategorie der betroffenen Daten;
- die Art der Verletzung;
- die Anzahl der betroffenen Personen.
Eine geringfügige Verletzung hingegen, die kein erhebliches Risiko für die Persönlichkeit und die Grundrechte der betroffenen Personen darstellt, muss nicht gemeldet werden.
Im Zweifelsfall wird empfohlen, die Verletzung zu melden.
-
Innerhalb welcher Frist?
Der für die Datenbearbeitung Verantwortliche meldet es der oder dem Beauftragten so schnell wie möglich, wenn ein hohes Risiko festgestellt wird (Art. 43 Abs. 3 DSchG). In der Praxis bedeutet dies, sobald er von einer Verletzung der Datensicherheit Kenntnis erlangt.
In welcher Form?
Die Meldung kann über das von der ÖDSMB eingerichtete Webformular erfolgen.
Wenn die Verletzung bei einem Auftragsbearbeiter auftritt
Dieser muss den für die Datenbearbeitung Verantwortlichen unverzüglich darüber informieren (Art. 43 Abs. 4 DSchG). Es obliegt dann diesem zu beurteilen, ob der Aufsichtsbehörde eine Verletzung gemeldet werden muss.
Welcher Inhalt?
Die Meldung an den oder die Beauftragte/n muss mindestens folgende Angaben enthalten:
- die Art der Verletzung, beispielsweise eine Löschung oder Vernichtung, ein Verlust, eine Änderung, eine vorübergehende Unverfügbarkeit oder eine Weitergabe an einen unbefugten Dritten;
- die Art der betroffenen Daten;
- die Kategorien der betroffenen Personen;
- die Folgen der Verletzung für die betroffenen Personen;
- die getroffenen oder geplanten Massnahmen.
Sollten bestimmte Informationen noch nicht vorliegen, ist eine schrittweise Mitteilung möglich.
Wie geht es weiter?
Diese Meldung ermöglicht es der oder dem Beauftragten, die Situation zu verfolgen und Empfehlungen zu den zu ergreifenden Massnahmen zu geben, insbesondere hinsichtlich der Information der betroffenen Personen.
-
Artikel 44 Absatz 1 DSchG sieht zwei alternative, nicht kumulative Gründe vor, die den für die Verarbeitung Verantwortlichen dazu verpflichten können, die betroffenen Personen über den Eintritt einer Verletzung der Datensicherheit zu informieren:
- Transparenzgründe: Die betroffene Person hat ein Recht auf Auskunft darüber, was mit ihren Daten geschehen ist, unabhängig davon, welche konkreten Massnahmen sie ergreifen könnte. Dieser Grund kann für sich allein eine Information rechtfertigen, insbesondere wenn die Verletzung von einer gewissen Schwere ist oder besonders schützenswerte Daten betrifft;
- die Notwendigkeit, der betroffenen Person zu ermöglichen, die zur Wahrung ihrer Interessen erforderlichen Massnahmen zu ergreifen: Dies betrifft insbesondere Situationen, in denen die betroffene Person selbst tätig werden kann, um die Folgen der Verletzung zu begrenzen, beispielsweise durch das Ändern eines Passworts, das Ersetzen einer Identitäts- oder Bankkarte, die Überwachung ihrer Bankkonten oder das Vorbeugen einer möglichen Verbreitung besonders schützenswerter Daten wie medizinischer Unterlagen oder intimer Fotos.
Der für die Datenbearbeitung Verantwortliche muss daher eine Gesamtabwägung unter Berücksichtigung dieser beiden Gründe vornehmen und darf sich nicht darauf beschränken, den praktischen Nutzen einer Information für die betroffene Person zu bewerten.
Die Information kann auch auf Ersuchen des oder der Beauftragten erfolgen, wenn dieser oder diese der Ansicht ist, dass die Voraussetzungen dafür erfüllt sind (Art. 44 Abs. 4 DSchG).
Innerhalb welcher Frist?
Das Gesetz legt keine konkrete Frist fest. Der allgemeine Grundsatz, der sich aus Artikel 44 DSchG in Verbindung mit Artikel 43 Absatz 1 DSchG ergibt – wonach der für die Bearbeitung Verantwortliche verpflichtet ist, unverzüglich nach Feststellung einer Verletzung zu handeln –, gebietet jedoch eine rasche Reaktion. Denn der Nutzen der Information hängt eng mit ihrer Schnelligkeit zusammen: Je länger die Frist ist, desto weniger ist die betroffene Person in der Lage, wirksame Massnahmen zu ergreifen, um die Folgen der Verletzung zu begrenzen.
Es wird daher dringend empfohlen, die betroffenen Personen zu informieren, sobald die wesentlichen Elemente der Verletzung bekannt sind, ohne abzuwarten, bis alle Untersuchungen abgeschlossen sind. Eine schrittweise Information ist möglich, wenn bestimmte Informationen noch nicht vorliegen, sofern die bekannten Elemente unverzüglich übermittelt werden.
Welche Inhalte?
Die Informationen sollten Folgendes enthalten:
- die möglichen Folgen;
- die Massnahmen, die von der betroffenen Behörde oder der von der Verletzung betroffenen Person zu ergreifen sind, beispielsweise die Änderung eines Passworts;
- nützliche Kontaktdaten.
Es wird empfohlen, klare Informationen sowie praktische Ratschläge bereitzustellen, damit die Betroffenen sich schützen können. Ausserdem sollte eine Kontaktperson angegeben werden, an die sich die Betroffenen wenden können, um weitere Auskünfte zu erhalten oder angemessen zu reagieren.
-
Die Information einschränken, aufschieben oder unterlassen
In bestimmten Situationen und in Ausnahmefällen kann die Information der betroffenen Personen eingeschränkt, aufgeschoben oder unterlassen werden (Art. 44 Abs. 2 DSchG, insbesondere wenn:
- überwiegende Interessen Dritter dies erfordern (Bst. a);
- ein überwiegendes öffentliches Interesse dies rechtfertigt, insbesondere die innere Sicherheit oder die öffentliche Ordnung (Bst. b);
- ein laufendes Verfahren dadurch gefährdet werden könnte (Bst. c);
- die Informationspflicht nicht erfüllt werden kann oder einen unverhältnismässigen Aufwand erfordern würde (Bst. d).
Wenn das Risiko beseitigt wurde
Wenn das Risiko durch Sofortmassnahmen beseitigt wurde, beispielsweise durch die Unbrauchbarmachung der Daten, ist eine Benachrichtigung der betroffenen Personen unter Umständen nicht erforderlich, sofern weder die Transparenz noch der Schutz ihrer Interessen dies erfordern.
Die öffentliche Bekanntmachung
Betrifft die Verletzung eine grosse Anzahl von Personen, kann eine öffentliche Bekanntmachung anstelle einer individuellen Benachrichtigung erfolgen, sofern der für die Bearbeitung Verantwortliche dafür sorgt, dass die Informationen so umfassend wie möglich sind (Art. 44 Abs. 3 DSchG). Die Bekanntmachung kann über verschiedene Kanäle erfolgen, um die Wahrscheinlichkeit zu erhöhen, dass alle betroffenen Personen tatsächlich davon Kenntnis erlangen.
-
Es wird empfohlen Verletzungen der Datensicherheit vorzubeugen, indem klare interne Verfahren eingeführt werden, die eine effiziente Erkennung, Bewältigung und Dokumentation von Vorfällen ermöglichen. So ist es beispielsweise ratsam, bereits jetzt festzulegen, welche Personen und Stellen im Falle einer Verletzung der Datensicherheit zu kontaktieren sind, oder nach aktuellen Standards gesicherten Backups der Daten herzustellen.
Zudem sollte der Vorfall analysiert werden, um Abhilfemassnahmen zu ergreifen und eine Wiederholung zu verhindern.
