Ransomware: Nach Hackerangriff Schadensersatz vom IT-Dienstleister
Ein Unternehmen wird Opfer eines Cyberangriffs und findet die Ursache beim eigenen IT-Dienstleister. Ein Interview über den langen Weg bis zur Entschädigung.
"Wer ist schuld?" ist eine Frage in der Cybersicherheit, deren Antwort schnell in einer gewissen Vielschichtigkeit der Zuständigkeiten zerfasert. Das Schuldgefühl des einzelnen unglücklichen Mitarbeiters, der versehentlich einen Phishing-Link anwählt, ist beispielsweise eine Cyberangriffsfolge, die das BSI mittlerweile in seinen aktuellen Report zur Lage der IT-Sicherheit in Deutschland aufnimmt und als ernste Konsequenz bezeichnet.
Auch Geschäftsführer können persönlich haften, wenn sie keine angemessenen Sicherheitsmaßnahmen im Unternehmen umsetzen. Dazwischen liegen viele Abstufungen, bei denen die Verantwortung innerhalb des betroffenen Unternehmens vermutet wird. Aber was, wenn die Schuld dort liegt, wo die Infrastruktur herkommt, nämlich beim eigenen IT-Dienstleister?
- Ransomwareangriffe richten sich laut dem BSI massenhaft gegen kleine und mittlere Unternehmen sowie kommunale IT-Strukturen. Diese sind oft unzureichend geschützt, zum Teil auch, weil sie wegen ihrer Größe nicht mit einem Angriff rechnen.
- Im Fall des betroffenen Unternehmens war der beauftragte IT-Dienstleister für den Schaden verantwortlich – durch ihn konnten Angreifer in die Systeme der betreuten Kunden gelangen.
- Wenn der Dienstleister allerdings Informationen zurückhält und seine Versicherung die Verantwortung mit eigenen Gutachten zurückweist, bleibt es an dem Geschädigten hängen, selbst Beweise mithilfe von IT-Forensik zu erbringen. Der Prozess ist lang und entmutigend.
Ludwig Hintermaier ist Geschäftsführer der Huber Metallguss GmbH, eines mittelständischen Familienbetriebs in einer bayerischen Mittelstadt, der Gussformen und Vorserienteile für unterschiedlichste Industriezweige fertigt. Am 14. Juni 2021 ereilte den Betrieb das Schicksal vieler kleiner bis mittlerer Unternehmen (KMU) – eine unerwartete Vollverschlüsselung der Unternehmens-IT nebst Lösegeldforderung.
Das war die Leseprobe unseres heise-Plus-Artikels "Ransomware: Nach Hackerangriff Schadensersatz vom IT-Dienstleister". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
