Ein Cyberangriff ist jeder bewusste, bösartige Versuch einer Einzelperson oder Organisation, das Informationssystem einer anderen Person oder Organisation zu verletzen, (u.a.) mit dem Ziel (Hinweis: nicht abschliessend, es können auch mehrere Ziele verfolgt werden),
Zu den häufigen Angriffsarten zählen Phishing und Social Engineering, Ransomware, Distributed Denial-of-Service (DDoS)-Angriffe, Malware– und Spyware-Infektionen, SQL-Injection, Man-in-the-Middle-Angriffe und Lieferketten-Kompromittierungen (Supply-Chain-Angriffe).
Cyberangriffe sind das (Ereignis, während Cybersicherheit die Disziplin ist, die darauf ausgerichtet ist, diese zu verhindern, zu erkennen und darauf zu reagieren; beide Begriffe sind in der regulatorischen und operativen Praxis untrennbar miteinander verbunden.
Jeder Cyberangriff zielt letztlich auf eine Komponente der Datensicherheit ab: Vertraulichkeit (unbefugte Offenlegung), Integrität (unbefugte Veränderung) oder Verfügbarkeit (Zugriffsverweigerung, z. B. durch Ransomware-Verschlüsselung oder DDoS). Ein Ransomware-Angriff untergräbt beispielsweise direkt die Verfügbarkeit, indem er kritische Systeme verschlüsselt und Lösegeld für die Wiederherstellung fordert, während durch Phishing erlangter Identitätsdiebstahl die Vertraulichkeit gefährdet, indem er Angreifern unrechtmäßigen Zugriff auf sensible Datenbestände gewährt. Da Datensicherheitsprogramme um die CIA-Triade herum aufgebaut sind, kann jede Kategorie von Cyberangriff auf die spezifische Sicherheitseigenschaft abgebildet werden, die er gefährdet. Dies wiederum bestimmt die geeignete Abwehrmaßnahme (Backups und unveränderbare Speicher gegen Ransomware; E-Mail-Filterung und Awareness-Schulungen gegen Phishing; Rate Limiting und Network Resilienz gegen DDoS).
Unternehmen pflegen in der Regel ein Bedrohungsmodell und ein Risikoregister, in denen wahrscheinliche Cyberangriffsvektoren gegen ihre spezifische Datensicherheitslage katalogisiert werden. Dies ist entscheidend, um begrenzte Sicherheitsbudgets auf die Angriffe zu priorisieren, die am wahrscheinlichsten erfolgreich sind und materiellen Schaden verursachen könnten.
Ein erfolgreicher Cyberangriff führt häufig, wenn auch nicht immer, zu einer Verletzung des Schutzes personenbezogener Daten gemäß Artikel 4 Nr. 12 DSGVO: eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum Zugriff auf personenbezogene Daten führt. Nicht jeder Cyberangriff beinhaltet personenbezogene Daten (ein Angriff auf rein operative oder finanzielle Infrastrukturen ohne Offenlegung personenbezogener Daten würde außerhalb des Anwendungsbereichs der DSGVO fallen), aber in der Praxis verarbeiten Finanzdienstleistungsunternehmen erhebliche Volumina an personenbezogenen Kundendaten, sodass die meisten bedeutenden Cyberangriffe gegen solche Firmen Datenschutzpflichten auslösen.
Im Rahmen der DSGVO/DSG-Struktur beginnt für ein Unternehmen, sobald es Kenntnis davon erlangt, dass ein Cyberangriff zu einer Verletzung des Schutzes personenbezogener Daten geführt hat, die gleiche 72-Stunden-Meldepflicht an die zuständige Datenschutzbehörde, wie im Glossareintrag zu „Cybersicherheit“ beschrieben (Art. 33 DSGVO; in Liechtenstein Meldung an die Datenschutzstelle, DSS). Dies ist eine kritische operative Realität: Incident Responder, die einen Cyberangriff untersuchen, können Forensik und rechtliche Meldung nicht als sequentielle Aufgaben betrachten; sie müssen parallel ablaufen, da die 72-Stunden-Frist ab der Kenntnisnahme der Verletzung beginnt, nicht erst mit Abschluss der Untersuchung.
Wichtige Elemente, die ein Incident-Response-Team zur Unterstützung der Meldung schnell feststellen muss, sind: Art und Umfang des Angriffs, welche Kategorien und ungefähre Mengen personenbezogener Daten betroffen sind, wahrscheinliche Folgen für die betroffenen Personen sowie die ergriffenen und geplanten Eindämmungs- und Sanierungsmaßnahmen. Wenn das Gesamtbild innerhalb von 72 Stunden noch nicht verfügbar ist, erlaubt die DSGVO eine schrittweise Meldung, sofern Informationen „ohne weitere Verzögerung“ nachgeliefert werden, sobald sie bekannt werden.
Für DORA-regulierte Finanzunternehmen: Banken, Versicherer, Wertpapierfirmen, Fondsmanager, Zahlungs- und E-Geld-Institute sowie kritische IKT-Drittanbieter, die im EWR einschließlich Liechtenstein tätig sind, wird ein Cyberangriff primär als IKT-bezogener Vorfall gemäß DORA bewertet. DORA verlangt von Unternehmen, Vorfälle anhand harmonisierter Kriterien zu klassifizieren (z. B. Anzahl betroffener Kunden/Gegenparteien, Dauer, geografische Ausbreitung, Datenverluste, Kritikalität der betroffenen Dienste, wirtschaftliche Auswirkungen), um zu bestimmen, ob der Vorfall als „schwerwiegend“ einzustufen ist.
Wenn ein Cyberangriff als schwerwiegender IKT-bezogener Vorfall eingestuft wird, muss das Unternehmen seine zuständige Behörde, die Finanzmarktaufsicht (FMA) in Liechtenstein, gemäß dem strukturierten Meldezeitplan von DORA informieren: eine Erstmeldung, ein oder mehrere Zwischenberichte, während sich die Untersuchung entwickelt, und ein Abschlussbericht, sobald Ursache und Auswirkungen vollständig feststehen. Bedeutende Cyber-Bedrohungen, die noch nicht zu einem Vorfall geführt haben, können unter DORA ebenfalls freiwillig gemeldet werden. Diese Verpflichtung besteht unabhängig von einer etwaigen DSGVO-Meldepflicht: Ein einziger Cyberangriff, der sowohl die Offenlegung personenbezogener Daten als auch operative Störungen bei einem DORA-regulierten Unternehmen umfasst, kann gleichzeitige, separat strukturierte Meldungen an die DSS und die FMA erfordern, wobei jede ihre eigenen Schwellenwerte, Zeitpläne und inhaltlichen Anforderungen hat.
Eine effektive Reaktion auf Cyberangriffe erfordert daher ein konvergentes Playbook, das parallel auslöst: technische Eindämmung und Forensik, Bewertung der Datenschutzverletzung gemäß DSGVO/DSG (mit der 72-Stunden-Meldefrist) sowie, sofern zutreffend, Vorfallklassifizierung gemäß DORA und Meldung an die FMA, mit klar zugewiesenen Verantwortlichkeiten für jeden Bereich, um bei einem Vorfall mit hohem Druck das Verpassen regulatorischer Fristen zu vermeiden.
Wir ermöglichen einen effizienten und unkomplizierten Zugang zu Compliance-spezifischem Know-how unter anderem:
