ISMS/Recht/Grundlagen

Rechtliche Grundlagen der Informationssicherheit - Kurzbeschreibung

Beschreibung

Gesetzliche Rahmenbedingungen

Corporate Governance kann als Rahmen der IT-Sicherheit gesehen werden

• Der Begriff stammt aus dem strategischen Management und bezeichnet einen Prozess zur Steuerung eines privatwirtschaftlichen Unternehmens
• Durch Regeln und Kontrollmechanismen wird ein Ausgleich zwischen den verschiedenen Interessengruppen (Stakeholdern) angestrebt
• Der Prozess dient dem Erhalt des Unternehmens und unterliegt einer regelmäßigen externen Überprüfung

Rechtsvorschriften

Rechtsvorschriften zur Informationssicherheit

Bereich	Gesetze
Corporate Governance	KonTraG
Datenschutz	Datenschutz
IT-Sicherheitsgesetz	IT-Sicherheitsgesetz, Informationssicherheitsgesetz, IT-SiG
Strafrecht	Informationssicherheit/Strafrecht
BSI-Gesetz	BSIG

Informationssicherheitrecht - Rechtsvorschriften zur Informationssicherheit

Beschreibung

Regelung	Beschreibung
AGG	Allgemeines Gleichbehandlungsgesetz
AktG	Aktiengesetz § 76 Leitung der Aktiengesellschaft § 91 Organisation / Buchführung § 93 Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder § 161 Erklärung zum Corporate Governance Kodex
AO	Abgabenordnung (Steuerrecht) § 147 Aufbewahrungsfrist
BDSG	Bundesdatenschutzgesetz
BetrVG / PersVG	Betriebsverfassungsgesetz / Personalvertretungsgesetz
BSIG
DSGVO	EU-Datenschutz-Grundverordnung
HGB	Handelsgesetzbuch (Handelsrecht) § 238 Buchführungspflicht § 257 Aufbewahrung von Unterlagen, Aufbewahrungsfristen § 261 Vorlegung von Unterlagen auf Bild- oder Datenträgern
Fernabsatzgesetz	(geregelt im BGB und Informationspflichtverordnung) regelt Aspekte um Internetpräsenz (u. a. Ausweisungspflicht, Widerruf und Rückgabe, Shopangebot)
GenDG	Gendiagnostikgesetz
GoBD	Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff
IT-Sicherheitsgesetz	Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme
KonTraG	Gesetz zur Kontrolle und Transparenz im Unternehmensbereich
KWG	Kreditwesengesetz
MaRisk	Mindestanforderungen Risikomanagement (BaFin)
SGB	Sozialgesetzbuch
SigG	Signaturgesetz
StGB	Strafgesetzbuch § 202 Verletzung des Briefgeheimnisses § 202c Ausspähen von Daten („Hackerparagraph“) § 203 Geheimhaltungspflicht besonderer Berufsgruppen § 206 Verletzung des Post- oder Fernmeldegeheimnisses § 266 Abwendung von Schäden vom Unternehmen § 303a Datenveränderung § 303b Computersabotage
TTDSG	Telekommunikation-Telemedien-Datenschutz-Gesetz (gilt für Internet-, E-Mail-, Onlinetelefonie-Provider und sonstige Transportdienste sowie für eBanking, eShops, Datenbankdienste, Onlinemedien, Newsletter und Redaktionen)
UrhG	Urheberrechtsgesetz
UWG	Gesetz gegen unlauteren Wettbewerb

Anhang

Siehe auch

• Informationssicherheit/Recht
• Informationssicherheit/Recht/Grundlagen
• Informationssicherheit/Recht/Haftung
• Informationssicherheit/Recht/Strafrecht

---

Informationssicherheit/Recht

Keine Seiten oder Unterkategorien

TMP

Rechtliche Rahmenbedingungen der Informationssicherheit

Beschreibung

Informationssicherheit dürfen aufgrund enormer Haftungsrisiken nicht vernachlässigt werden

Empfehlungen

• Regelmäßige Datensicherung
• Anti-Virus-Programm (regelmäßiger Updates)
• Firewall
• Ordnungsgemäße Lizenzverwaltung
• Bestellung eines Informationssicherheits- und Softwarebeauftragten
• Aufbau eines Managementsystems für Informationssicherheit

Recht der Informationssicherheit

Vorschriften und Gesetzesanforderungen

Stellen Sie sich vor …

Bei Ihnen gespeicherte Daten gelangen an die Öffentlichkeit

• Daten werden mutwillig oder durch ein Unglück unwiederbringlich zerstört
• Oder aus Ihrem Haus werden Massen-E-Mails mit Viren verschickt

Welche Konsequenzen drohen?

• dem Unternehmen / der Behörde
• den verantwortlichen Personen

	Beschreibung	Regelung
Vorstand haftet persönlich	wenn er Entwicklungen, die zukünftig ein Risiko für das Unternehmen darstellen könnten, nicht durch ein Risikomanagement überwacht und durch geeignete Maßnahmen vorbeugt	§ 91 Abs. 2 und § 93 Abs. 2 AktG
Geschäftsführern einer GmbH	wird im GmbH-Gesetz "die Sorgfalt eines ordentlichen Geschäftsmannes„ auferlegt	§ 43 Abs. 1 GmbHG
Im Aktiengesetz genannten Pflichten eines Vorstands	gelten auch im Rahmen des Handelsgesetzbuches	§ 317 Abs. 4 HGB
Handelsgesetzbuch verpflichtet Abschlussprüfer	zu prüfen, "ob die Risiken der künftigen Entwicklung zutreffend dargestellt sind"	§ 317 Abs. 2HGB
Bestimmte Berufsgruppen	Sonderregelungen im Strafgesetzbuch	Ärzte, Rechtsanwälte, Angehörige sozialer Berufe, ..
Verbraucherschutz	Belange des Verbraucherschutzes werden in verschiedenen Gesetzen behandelt
Datenschutz	Der Umgang mit personenbezogenen Daten wird in den Datenschutzgesetzen des Bundes und der Länder, dem Gesetz über den Datenschutz bei Telediensten, der Telekommunikations-Datenschutzverordnung sowie teilweise in den bereits aufgezählten Gesetzen geregelt.
Banken	Auch Banken sind inzwischen gezwungen, bei der Kreditvergabe IT-Risiken des Kreditnehmers zu berücksichtigen, was sich unmittelbar auf die angebotenen Konditionen auswirken wird

Rechtsgebiete

Vielzahl von Rechtsgebieten

Allgemeines Zivilrecht

• Datenschutzrecht
• Telekommunikationsrecht
• Urheberrecht
• GmbH-Recht
• Aktien-Recht

Sicherheit in der Informationstechnik

Definition

BSIG (Gesetz über die Errichtung des Bundesamtes für Sicherheit in der Informationstechnik) §2 Abs. 2

Sicherheit in der Informationstechnik im Sinne dieses Gesetzes

• Einhaltung bestimmter Sicherheitsstandards zu Informationen
• Verfügbarkeit
• Unversehrtheit
• Vertraulichkeit

Sicherheitsvorkehrungen

• in und bei der Anwendung
• von informationstechnischen Systemen oder Komponenten

Technische Regelwerke

Technische Regelwerke wie z. B. ITSEC

Haben zwar keine unmittelbare rechtliche Wirkung

• an zahlreichen Stellen fordert das Gesetz jedoch die Einhaltung der „allgemein anerkannten Regeln der Technik“
• technische Regelwerken kommt im Einzelfall „mittelbarer Gesetzescharakter“ zu

Folgen der Nichtbeachtung

der Anforderungen an Informationssicherheit

Zivilrechtlichen Folgen

Folge keiner oder unzureichender vertraglicher Regelungen

Verursacher

der Nichtbeachtung von Informationssicherheits-Anforderungen

Betroffener

nicht beachteter Informationssicherheits-Anforderungen

Fall 1: Schlampiger Fabrikant

Bei der Einrichtung neuer Arbeitsplätze stellt der technische Dienstleister mit großem Entsetzen fest

• die Hälfte der Auftragsdaten ist wegen Fehlens eines Anti-Virus-Programms mit einem Virus verseucht
• durch einen Hackerangriff ist das gesamte Eiche Nordisch-Vertriebsnetzwerk ausgefallen
• Virus versendet automatisch an alle in Outlook der Mitarbeiter gespeicherten Email-Adressen

In welchem Umfang muss die Firma Eiche Nordisch haften?

Kundenschäden wegen unterbliebener Auftragserledigung

• Ausfallansprüche der Vertriebspartner
• EDV-Kosten der Geschäftspartner

Dies ist eine Frage des Verschuldens

die sich danach bemisst

• ob die Firma Eiche Nordisch die Regeln über die Informationssicherheit erfüllt hat

Hat sie dies getan, so ist ihr kein Fahrlässigkeitsvorwurf zu machen

• Fehlende Installation eines Anti-Virus-Programms begründet zumindest Mitverschulden

Grundsätzlich besteht keine Pflicht zum Einsatz einer Firewall

• wohl aber bei sensiblen Daten (Landgericht Köln)

Kein Fahrlässigkeitsvorwurf

bei ordnungsgemäßem Betrieb eines Anti-Virus-Programms

• inkl. Installation von Updates
• selbst verbreitenden Virus

Fall 2: Schlampige Dienstleister

Aufgrund der Umstände im Hause Eiche Nordisch ist Kai Kabel sehr verunsichert

• ihm unterläuft eine Unachtsamkeit, versehentlich
• löscht er sämtliche Adressdaten der Eiche Nordisch-Kunden

Grundsätzlich steht der Firma Eiche Nordisch ein Schadensersatzanspruch gegen Kai Kabe zu

i. d. R. erforderlicher Geldbetrag zur Wiederherstellung

Minderung und Ausschluss des Schadensersatzes

bei Nichtbeachtung der Regeln der Informationssicherheit

Ordnungsgemäße Datensicherung

• Regelmäßige Sicherung
• Überprüfung des Erfolgs der Sicherung
• Sichere Aufbewahrung des Backups
• ...

Strafrecht

Strafrechtliche Konsequenzen i.d.R. weniger relevant

§ 203 StGB sieht für bestimmte Berufsgruppen

Ärzte, Rechtsanwälte, ... eine Strafbarkeit vor

• wenn vertrauliche Daten öffentlich werden
• aufgrund zu schwacher Sicherheitsvorkehrungen

Die übrigen hier relevanten Straftatbestände

§ 202a - Ausspähen von Daten, § 303b Computersabotage

• betreffen eher Hacker oder Kriminelle als die Organisationsstruktur eines Unternehmens

Rechtliche Bedeutung der Informationssicherheit

Bereich	Beschreibung
Prozesssicherheit	Fehlerfreie Produktion
Einhaltung von DIN- und Qualitätsstandards	Qualitätsmanagement
Datenschutz	Recht auf informationelle Selbstbestimmung
Datensicherheit	Unternehmensführung auf valider Datenbasis

Produkthaftung

Informationssicherheit kann Schadensersatz infolge von Produkthaftung vermeiden

	Regelung
Schadensersatz statt der Leistung bei fehlerhafter Lieferung	§§ 281 ff., 440, 636 BGB
Mangelfolgeschaden bei Vertrag	§ 280 I BGB
Schadensersatz ohne Vertrag	§ 823 BGB
Gefährdungshaftung mit Haftungsausschluss-Tatbeständen	§ 1 ProdHG

Entlastungsbeweis

Informationssicherheit lässt Verschulden entfallen und ermöglicht Entlastungsbeweis

• Auswirkungen von Sorgfalt bei der Informationssicherheit auf Haftungsmaßstäbe

Möglicher Wegfall

Verschulden, d. h. Vorsatz und vor allem Fahrlässigkeit nach §§ 276, 278 BGB als

• Haftungsvoraussetzung bei Schadensersatz nach BGB

Entlastungsbeweis nach § 1 II Nr. 5 ProdHG

Weil Informationssicherheit dem Stand der Technik entspricht

Vorschriften und Anforderungen

Anforderung	Beschreibung
Informationssicherheitsgesetz
BSI – Gesetz	BSIG
Datenschutz	Datenschutz
Haftung	Informationssicherheit/Recht/Haftung
KonTraG	KonTraG
Vertragsgestaltung	Vertragsgestaltung
Softwarelizenzen	Softwarelizenzen
Penetrationstests	Penetrationstest/Recht