ein Service von Initiative S - der Webseiten-Check für kleine und mittelständische Unternehmen

Transkript

1 Initiative S - der Webseiten-Check für kleine und mittelständische Unternehmen Die Initiative S ist ein Projekt von eco Verband der deutschen Internetwirtschaft, das vom Bundesministerium für Wirtschaft und Technologie im Rahmen der Task Force IT-Sicherheit in der Wirtschaft gefördert wird. Unter können Unternehmen mit dem Check überprüfen, ob über ihre Webseite Schadprogramme verteilt werden und erhalten Unterstützung bei deren Beseitigung. Nach Eingabe der Domain und einer -Adresse validiert das System den Absender und prüft die Webseite. Hierfür kommen sowohl diverse namhafte Antiviren-Programme zum Einsatz als auch eigene Entwicklungen, um eine hohe Erkennungsrate zu gewährleisten. Das System des Unternehmens wird dabei nicht belastet. Die Unternehmen erhalten dann eine -Benachrichtigung über das Ergebnis des Tests. Wenn Schadprogramme auf der Webseite festgestellt wurden, bekommen sie Hinweise von den Initiative S Experten, wie sie diese beseitigen können. Außerdem stehen unter detaillierte Anweisungen und Tools bereit. Zusätzlich enthält die eine Ticket- Nummer und Kontaktdaten zu den Experten der Initiative S, die für Rückfragen zur Verfügung stehen sowie bei der Analyse und der Problembehebung helfen. Beim erneuten Check nach 48 Stunden überprüfen die Experten, ob die Infektion beseitigt wurde. Wenn ja, erhält das Unternehmen eine Bestätigung mit Hinweisen zur Prävention. Ist der Schadcode immer noch online, informiert Initiative S das Unternehmen erneut und benachrichtigt den Hosting-Provider, der seinerseits Maßnahmen zur Beseitigung einleiten kann. Über einen Link in der kann der Service jederzeit einfach wieder gestoppt werden. Die folgende Grafik zeigt die Funktionsweise der Initiative S. 1

2 Ähnlich dem Anti-Botnet-Beratungszentrum ( das Internetnutzer bei der Säuberung ihrer Computer von Schadprogrammen unterstützt, folgt die Initiative S den Schritten Seiten-Check Säubern Schützen. Um einer erneute Infektion der Unternehmenswebseite mit Schadcode vorzubeugen, empfiehlt Initiative S folgende Schritte:» eigene Server regelmäßig aktualisieren,» nicht benötigte Server-Dienste abschalten,» die Software des Internetauftritts sowie Fremdprogramme aktuell halten,» eine Web Application Firewall vorschalten,» starke Passwörter wählen und diese regelmäßig ändern,» nicht benötigte Benutzerkonten deaktivieren» und eine regelmäßige Überprüfung auf Schadcode, z.b. mit der Initiative-S. 2

3 Haftung eines Unternehmens für die unbemerkte Verbreitung von Schadsoftware Von Rechtsanwalt Christian Solmecke, LL.M. Wer Schadsoftware weiterverbreitet, kann sowohl bei sich selbst, als auch bei anderen erhebliche Schäden anrichten. Hardwareschäden, Löschung oder Veränderung von Daten, Preisgabe von sensiblen Kundendaten oder Zerstörung der IT-Infrastruktur die Liste der möglichen Schäden ist lang. Dabei spielt es für die Frage der Haftung kaum eine Rolle, ob die schädigenden Programme absichtlich oder unbemerkt in Umlauf gebracht wurden. Auch die Reputation des verbreitenden Unternehmens kann in Mitleidenschaft gezogen werden. Wer Viren, Trojaner und Co. verbreitet, gefährdet bestehende Geschäftsbeziehungen zu Kunden oder anderen Unternehmen. Wann haftet der Unternehmer? Der Unternehmer haftet für die Verbreitung von Schadsoftware, wenn er seine ihm obliegenden Verkehrssicherungspflichten ( 823 BGB) verletzt. Diese resultieren daraus, dass der Unternehmer, der die Herrschaft über eine Gefahrenquelle ausübt, alles ihm zumutbare unternehmen muss, um Schädigungen anderer zu vermeiden. Ein mit Schadsoftware infizierter PC oder ein infiziertes Netzwerk sind aufgrund der drohenden Schäden als potentielle Gefahrenquelle anzusehen. In den Fällen, in denen sich die Schadsoftware nicht automatisch weiterverbreitet, sondern erst durch eine vom Versender veranlasste Übertragung, resultiert die Verkehrssicherungspflicht aus der Schaffung einer besonderen Gefahrenlage aus vorangegangenem Tun. Kann der Unternehmer seine Haftung ausschließen oder auf Dritte abwälzen? Die Möglichkeiten, eine Haftungsreduzierung zu erreichen, sind sehr begrenzt. Ein vertraglicher Haftungsausschluss (z.b. in der Fußnote einer oder im Impressum), der ohnehin nur gegenüber Kunden oder Geschäftspartnern möglich wäre, ist nur unter engen Voraussetzungen zulässig. Der Haftungsausschluss müsste sich ausdrücklich auch auf deliktische Ansprüche erstrecken und dürfte nur die Haftung für leicht fahrlässig verursachte Sachschäden ausschließen. Auch eine Abwälzung der Verkehrssicherungspflichten auf Dritte ist kaum möglich. Für Fehler der Arbeitnehmer haftet der Unternehmer, da er für die Organisation des Unternehmens verantwortlich ist (sog. Organisationsverschulden). Die 3

4 Verkehrssicherungs-pflichten auf den Provider abzuwälzen ist nur dann möglich, wenn der Provider ordnungsgemäß ausgewählt wurde, seine Pflichten hinsichtlich des Schutzes vor Schadsoftware eindeutig im Vertrag definiert wurden und die Einhaltung dieser Pflichten durch den Unternehmer überwacht wird. Fazit: der Unternehmer hat kann sich seiner Verkehrssicherungspflichten nicht komplett entledigen; eine Übertragung auf Dritte ist kaum möglich. Welche Pflichten hat der Unternehmer konkret? Stellt sich also die Frage, was der Unternehmer konkret tun muss, um seine Verkehrssicherungspflichten zu erfüllen. An erster Stelle steht hier die Einrichtung und laufende Aktualisierung eines geeigneten Virenschutzprogramms sowie einer Firewall. Auch ein internes Risikomanagement ist erforderlich. Gegebenenfalls muss der Unternehmer hierbei auf die Leistungen einer EDV-Fachbetriebs zurückgreifen, soweit er selbst nicht über die entsprechenden Kenntnisse und Ressourcen verfügt. Die EDV- Abteilung ist sowohl technisch als auch organisatorisch immer auf dem neuesten Stand zu halten. Dies umfasst auch die Schulung der Mitarbeiter sowie die Aufstellung interner Verhaltensrichtlinien (sog. security policys) zum sicheren Umgang mit der IT. Auch andere Gesetze erlegen dem Unternehmer Verpflichtungen auf. Das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) verpflichtet die Unternehmen, für eine sichere IT-Infrastruktur zu sorgen. Für Defizite in diesem Bereich können Vorstände und Geschäftsführer unter Umständen haftbar gemacht werden. Das Bundesdatenschutzgesetz verpflichtet Unternehmen dazu, durch entsprechende Vorkehrungen zu verhindern, dass personenbezogene Daten verändert, gelöscht, ausgespäht oder weitergeleitet werden. Die Verletzung dieser Pflicht führt zu einem Schadensersatzanspruch des Betroffenen. Fazit Im Hinblick auf die unbemerkte Verbreitung von Schadsoftware über das Netzwerk des Unternehmers besteht ein erhebliches Haftungsrisiko. Da es kaum Möglichkeiten der Haftungsreduzierung oder -abwälzung gibt und erhebliche finanzielle Schäden drohen, ist ein optimaler Schutz gegen Schadsoftware unerlässlich. 4

5 Über die Task Force "IT-Sicherheit in der Wirtschaft" des Bundesministeriums für Wirtschaft und Technologie Die Task Force IT-Sicherheit in der Wirtschaft" ist eine Initiative des Bundesministeriums für Wirtschaft und Technologie, die gemeinsam mit IT-Sicherheitsexperten aus Wissenschaft, Wirtschaft und Verwaltung vor allem kleine und mittelständische Unternehmen für IT-Sicherheit sensibilisieren und dabei unterstützen will, die Sicherheit der IKT-Systeme zu verbessern. Weitere Informationen zur Task Force und ihren Angeboten sind unter abrufbar. 5