Hacker veröffentlichen Berlin-Administrationsdaten nach Entlastungsfrist

Die Hacker veröffentlichten eine große Sammlung von Berliner staatlichen Verwaltungsdateien nach Ablauf einer Entlastungsfrist, berichtete Euronews am 5. September. Die Ausgabe identifizierte die Gruppe als Rhysida und sagte, dass das Material persönliche Informationen über Zivildienstleister enthielt. Die Offenlegung legt den Schutz von Regierungsregistern und betroffenen Personen unter Kontrolle.

Der Berliner Senat hatte die Zahlung des Antrags vor der Veröffentlichung abgelehnt. Einige Dateien wurden als in Bezug auf Notfallplanung und Sicherheit beschrieben. Diese Beschreibungen erfordern eine sorgfältige Bewertung: Die verfügbaren Berichterstattung stellt nicht fest, dass jedes Dokument authentisch, aktuell oder operativ nützlich ist, oder identifiziert einen Zustand, der die Hacker leitet.

Zwei unterschiedliche Schutzgebühren

Die europäischen Vorschriften behandeln sowohl die Widerstandsfähigkeit öffentlicher Systeme als auch die Folgen der Ermittlung personenbezogener Daten. In seiner Erklärung vom November 2022 erklärte der Rat der Europäischen Union, dass die NIS2 die Anforderungen an die Cybersicherheit auf die zentralen und regionalen öffentlichen Verwaltungen erweitert. Es legt minimale Anforderungen an Risikomanagement und Vorfallberichte fest, zusammen mit Vereinbarungen für die Zusammenarbeit zwischen den nationalen Behörden im Zusammenhang mit schwerwiegenden Cyberunfällen.

Dieser Rahmen hat wichtige Grenzen. Der Rat hat ausdrücklich Aktivitäten ausgeschlossen, die Verteidigung, nationale Sicherheit, öffentliche Sicherheit und Rechtsverfolgung sowie mehrere andere Institutionen betreffen. Daher bestimmt die einfache Anwesenheit von Regierungsdokumenten in einem berichteten Lücke nicht, welche cybersicherheitsvorschriften jedes betroffenen System regieren. Die Bestimmung der Verantwortlichen und der Art ihrer Tätigkeiten bleibt für die Beurteilung der anwendbaren Verpflichtungen unerlässlich.

Notifizierung und die nächste Bewertung

Für personenbezogene Daten, die durch die allgemeine Datenschutzverordnung abgedeckt werden, ist Artikel 33 der zuständigen Aufsichtsbehörde unverzüglich und gegebenenfalls innerhalb von 72 Stunden nach Kenntnis erteilt. Eine Ausnahme gilt, wenn eine Verletzung unwahrscheinlich Risiken für die Rechte und Freiheiten der Menschen darstellt. Wenn die Benachrichtigung spät ist, muss der Betreiber die Verzögerung erklären; dies sind bestehende Anforderungen, nicht Entdeckungen einer Verletzung in Berlin.

Die Verordnung erfordert auch die Kommunikation an die betroffenen Personen, wenn eine Verletzung unter seinen Ausnahmen wahrscheinlich ein hohes Risiko erzeugt. Die nächsten bedeutenden Entwicklungen würden daher eine autorisierte Berichterstattung über das, was ausgesetzt wurde, die damit verbundenen Risiken und die Schutzreaktion sein. Die öffentliche Offenlegung von gestohlenen Dateien allein kann nicht bestimmen, ob die Benachrichtigungsgebühren erfüllt wurden oder welche dauerhaften Sicherheitsergebnisse folgen werden.