Startseite Allgemein Datenpannen-Meldungen wegen Sicherheitslücken auf Microsoft Exchange-Servern

Datenpannen-Meldungen wegen Sicherheitslücken auf Microsoft Exchange-Servern

12.03.2021

Aufgrund von Schwachstellen in Microsoft Exchange-Servern erreichen die Dienststelle derzeit vermehrt Meldungen von Verletzungen des Schutzes personenbezogener Daten nach Artikel 33 Datenschutz-Grundverordnung (DSGVO). Vergangene Woche hatte Microsoft kurzfristig neue Sicherheitsupdates für Exchange-Server veröffentlicht, die von Betroffenen unverzüglich installiert werden sollten, um die Sicherheitslücken zu schließen. In einer Pressemitteilung informierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) am 5. März über die neue, außerordentlich kritische Gefährdungslage, die sofortiges Handeln der betroffenen Unternehmen erfordert.

Zu diesem sofortigen Handeln gehört nicht nur die unverzügliche Installation der bereitstehenden Sicherheitsupdates, sondern auch die unbedingte Überprüfung, ob eine Kompromittierung des Exchange-Servers des Verantwortlichen tatsächlich stattgefunden hat. Zur dazu erforderlichen Vorgehensweise hat das BSI hier die erforderlichen Informationen zusammengestellt und auf YouTube ein etwa einstündiges Video zum Hintergrund und den notwendigen Aktivitäten veröffentlicht. Das Ergebnis dieser Prüfung ist für die weitere Bewertung des Vorfalls durch den Verantwortlichen wie auch der Datenschutzaufsichtsbehörde von wesentlicher Bedeutung.

Wann ist ein Vorfall im Zusammenhang mit diesen Exchange-Server-Schwachstellen meldepflichtig? Wann sind Betroffene zu informieren?

Sofern eine Kompromittierung des Exchange-Servers nach sachkundiger Prüfung mittels der vom BSI empfohlenen Vorgehensweise nicht ausgeschlossen werden kann, stellt dies einen meldepflichtigen Vorfall im Sinne des Art. 33 DSGVO dar. Darüber hinaus ist eine Risikoabwägung zu treffen. Wenn Ihre Prüfung ergibt, dass durch die Verletzung des Schutzes personenbezogener Daten ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen besteht, ist der betroffene Personenkreis durch den Verantwortlichen nach Artikel 34 DSGVO unverzüglich zu unterrichten. Von einem hohen Risiko ist dann auszugehen, wenn die Eintrittswahrscheinlichkeit und die Schadensauswirkungen entsprechend hoch eingeschätzt werden. Dies ist insbesondere bei einer Betroffenheit von besonders sensiblen personenbezogenen Daten im Sinne des Artikels 9 DSGVO möglich. Weitere Informationen zur Beurteilung finden Sie im Kurzpapier der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (PDF-Datei).

Datenschutzverstoß durch Verantwortliche online melden