Breach Counsel
Bei IT-Sicherheitsvorfällen ist schnelles und entschlossenes, aber auch gut durchdachtes Handeln entscheidend. Datenlecks, Ransomware-Attacken und andere Cyberangriffe können weitreichende rechtliche, finanzielle und reputative Folgen für Ihr Unternehmen haben. Ein Breach Counsel ist Ihr verlässlicher Partner, der Sie bei der Bewältigung solcher Vorfälle begleitet und sicherstellt, dass Sie rechtlich auf der sicheren Seite bleiben.
Was ist ein Breach Counsel?
Ein Breach Counsel ist ein spezialisierter Rechtsanwalt, der Unternehmen in der Krisensituation eines IT-Sicherheits- oder -Datenschutzvorfalls begleitet. Im Fall eines Datenlecks, einer Cyberattacke oder einer anderen Bedrohung hilft der Breach Counsel dabei, schnell und rechtssicher zu reagieren. Der Breach Counsel hilft dem betroffenen Unternehmen dabei, eine Krisenorganisation aufzubauen, in welcher schnell fundierte und rechtssichere Entscheidungen getroffen werden können. Dies umfasst die Kommunikation mit Behörden (Polizei, Staatsanwaltschaft und Datenschutzaufsicht) sowie die Beratung in der rechtssicheren Kommunikation mit ihren Kunden, Lieferraten, Partnern und Mitarbeitern. Der Breach Counsel unterstützt Sie während der Krise, Entscheidungen so zu treffen, dass diese später auch für Versicherer und andere Beteiligte nachvollziehbar festgehalten werden. Denn das Krisenmanagement eines Breach Counsels endet nicht mit der Bewältigung des Vorfalls, sondern erstreckt sich im Nachgang vor allem auf die Schadensbewertung und -minderung sowie die Kommunikation mit der Versicherung. Darüber hinaus berät der Breach Counsel in Bezug auf die rechtlichen Folgen in Form von möglichen Bußgeldern oder Schadensersatzansprüchen und unterstützt bei der Wiederherstellung von Systemen und der Optimierung von Sicherheitsprozessen, um zukünftige Vorfälle zu verhindern. Der Breach Counsel sorgt dafür, dass Unternehmen in Krisensituationen nicht nur schnell handeln, sondern auch die gesetzlichen Anforderungen vollständig erfüllen.
Wann ist ein Breach Counsel von Vorteil?
Ein Breach Counsel ist besonders vorteilhaft, wenn ein Unternehmen von einem Datenschutzvorfall oder einer Cyberattacke betroffen ist. Die Unterstützung eines spezialisierten Beraters ermöglicht eine schnelle, gezielte und rechtssichere Reaktion auf Sicherheitsvorfälle von Beginn des Vorfalls bis zur finalen Abwicklung. Ein wesentlicher Vorteil ist die Minimierung von rechtlichen und finanziellen Risiken, da der Breach Counsel sicherstellt, dass alle gesetzlichen und vertraglichen Meldepflichten zeitgerecht beachtet und potenzielle Schadensersatzforderungen oder Bußgelder vermieden werden. Darüber hinaus schützt er die Reputation des Unternehmens, indem er eine klare und koordinierte Kommunikation mit betroffenen Kunden, Behörden und Partnern gewährleistet. Der Breach Counsel hilft nicht nur, die unmittelbaren Auswirkungen eines Vorfalls zu bewältigen, sondern trägt auch zur langfristigen Verbesserung der Sicherheitsstrategie bei, sodass das Unternehmen künftige Vorfälle besser verhindern kann. So werden die Geschäftskontinuität gesichert und das Vertrauen in das Unternehmen gestärkt.
Unsere Leistungen als Breach Counsel
- Incident Response
Wir bieten Ihnen zuverlässige Unterstützung bei der Bewältigung von IT-Sicherheitsvorfällen wie Data Leakage, Hacking oder Ransomware-Attacken an. - Risikobewertung
Wir analysieren den Vorfall, um rechtliche, finanzielle und betriebliche Risiken schnell zu identifizieren und zu mindern. - Melde- und Benachrichtigungspflichten
Wir unterstützen Sie bei der rechtssicheren Meldung von Vorfällen an Datenschutzbehörden und der Benachrichtigung von betroffenen Personen. - Kommunikation
Wir beraten Sie zur transparenten und strategischen Kommunikation mit Kunden, Partnern und Medien. - Koordination mit Behörden und Versicherungen
Wir übernehmen die Kommunikation mit Datenschutzaufsichtsbehörden, um Ihre Interessen zu vertreten, und mit Versicherern, um eine korrekte Abwicklung Ihrer Schäden zu gewährleisten. - Nachbereitung
Wir unterstützen Sie bei der Implementierung von Präventionsmaßnahmen, um zukünftige Vorfälle zu vermeiden.
Ansprechpartner
Dirk Koch
Rechtsanwalt | Partner
CEHv11 – Certified Ethical Hacker | Data Protection Risk Manager | CIPP/E
Breach Counsel
Zunächst muss der Sachverhalt aufgeklärt werden: Was ist passiert, wann wurde der Vorfall entdeckt, welche Systeme, Daten, Informationen und Geschäftsprozesse sind betroffen und ob personenbezogene Daten, Geschäftsgeheimnisse oder sonstige vertrauliche Informationen betroffen sein können. Parallel sind Sofortmaßnahmen zur Eingrenzung und Beweissicherung einzuleiten, etwa die Sicherung von Logfiles, die Beschränkung betroffener Zugänge und die Einbindung von IT-Forensik. Zu beachten ist dabei, dass datenschutzrechtliche Meldefristen sehr kurz sind und bereits mit der Kenntnis vom Vorfall zu laufen beginnen. Erst auf dieser Grundlage lässt sich belastbar prüfen, welche nächsten Schritte erforderlich sind, insbesondere interne Eskalation, Krisenkommunikation, Wiederherstellung des Betriebs sowie mögliche Melde- und Benachrichtigungspflichten nach DSGVO, dem Cybersicherheitsrecht oder sonstigen einschlägigen Vorgaben.
Breach Counsel bezeichnet die spezialisierte anwaltliche Begleitung eines Unternehmens unmittelbar nach einem Datenschutz- oder Sicherheitsvorfall, insbesondere bei der rechtlichen Bewertung, den Meldepflichten und der Kommunikation mit Behörden und Betroffenen. Häufig koordiniert diese Begleitung auch die Zusammenarbeit mit forensischen IT-Dienstleistern bis hin zur Durchsetzung von Ansprüchen gegenüber dem Versicherer. Ziel ist es, rechtliche, regulatorische und reputationsbezogene Risiken in der akuten Krisensituation bei möglichst geringer Betriebsunterbrechung zu minimieren.
Nein. Die Bewältigung eines IT-Sicherheitsvorfalls endet rechtlich häufig nicht mit der technischen Eindämmung, der Wiederherstellung der Systeme oder der Erfüllung möglicher Meldepflichten. Gerade bei bestehender Cyber-Versicherung müssen die entstandenen Kosten, Maßnahmen und Kausalzusammenhänge gegenüber dem Versicherer nachvollziehbar aufbereitet und belegt werden. In der Praxis entstehen hier häufig Differenzen zwischen Versicherten und Versicherern, etwa zur Erforderlichkeit einzelner Maßnahmen, zur Höhe der erstattungsfähigen Kosten oder zum Umfang des Versicherungsschutzes. Hinzu kommen häufig Betroffenenanfragen, Schadensersatzforderungen nach Art. 82 DSGVO und Nachfragen der Aufsichtsbehörden. Eine frühzeitige anwaltliche Begleitung ist deshalb sinnvoll, um die Dokumentation von Beginn an versicherungsfest aufzusetzen und Ansprüche im Streitfall strukturiert durchsetzen zu können.
Nein. Ob ein IT-Sicherheitsvorfall gemeldet werden muss, hängt davon ab, welche Meldepflicht einschlägig ist. Datenschutzrechtlich ist eine Meldung an die Datenschutzaufsichtsbehörde nach Art. 33 DSGVO nur erforderlich, wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten betroffener Personen führt; die Meldung hat unverzüglich, möglichst binnen 72 Stunden zu erfolgen. Unabhängig davon können sich für bestimmte Unternehmen Meldepflichten gegenüber dem Bundesamt für Sicherheit in der Informationstechnik ergeben, wenn ein erheblicher Sicherheitsvorfall vorliegt; diese Pflichten folgen nicht unmittelbar aus der NIS-2-Richtlinie, sondern aus dem nationalen Umsetzungsrecht, insbesondere dem BSI-Gesetz in seiner jeweils geltenden Fassung. Für Finanzunternehmen und bestimmte IKT-Drittdienstleister können zudem Meldepflichten nach DORA gelten. Der Cyber Resilience Act betrifft vor allem Hersteller und Anbieter von Produkten mit digitalen Elementen und kann Meldepflichten bei aktiv ausgenutzten Schwachstellen oder schwerwiegenden Sicherheitsvorfällen auslösen; auch hier sind die gestuften Anwendungszeitpunkte zu berücksichtigen. Unternehmen sollten Vorfälle daher getrennt nach den einzelnen Regelungsregimen bewerten und die Entscheidung dokumentieren.
Eine Information der Betroffenen nach Art. 34 DSGVO ist erforderlich, wenn der Vorfall voraussichtlich zu einem hohen Risiko für deren Rechte und Freiheiten führt, etwa bei Offenlegung sensibler Gesundheits- oder Finanzdaten. Diese Benachrichtigung muss unverzüglich und in klarer, verständlicher Sprache erfolgen. Unter bestimmten Voraussetzungen kann von einer Benachrichtigung abgesehen werden, etwa wenn die Daten wirksam verschlüsselt waren oder durch nachfolgende Maßnahmen sichergestellt ist, dass das hohe Risiko nicht mehr besteht.
Anwaltliche Begleitung hilft, die rechtlichen Risiken einer möglichen Zahlung zu bewerten, etwa im Hinblick auf straf-, sanktions- und außenwirtschaftsrechtliche Aspekte bei Zahlungen an bestimmte Empfänger. Zusätzlich unterstützt sie bei der parallelen Erfüllung von Melde- und Dokumentationspflichten, die unabhängig von einer Zahlungsentscheidung bestehen. Auch die Frage, ob die Zahlungsentscheidung im Einklang mit den Sorgfaltspflichten der Geschäftsleitung getroffen und dokumentiert wurde, sollte rechtlich begleitet werden. Die Kommunikation mit Versicherern, Behörden und betroffenen Kunden sollte ebenfalls rechtlich abgestimmt erfolgen.