Was ist bestätigt?
Ende Mai 2023 wurde bekannt, dass die Schweizer IT-Dienstleisterin Xplain AG von einem Ransomware-Angriff der Gruppe «Play» betroffen war. Die Angreifer stahlen Daten und veröffentlichten am 14. Juni 2023 mutmasslich das gesamte entwendete Datenpaket im Darknet.
Der EDÖB dokumentiert eine erste Veröffentlichung von 5 GB am 1. Juni und eine zweite von rund 420 GB am 14. Juni 2023, in der die erste Tranche enthalten war. Das BACS analysierte rund 1,3 Millionen veröffentlichte Dateiobjekte.
Welche Daten waren betroffen?
Das veröffentlichte Paket enthielt Daten von Xplain und Daten aus der Bundesverwaltung. Laut BACS befanden sich darunter klassifizierte Informationen sowie besonders schützenswerte Personendaten. Der Vorfall betraf damit nicht nur die angegriffene Dienstleisterin, sondern auch Behörden- und Personendaten, die bei ihr gespeichert waren.
Die zitierten offiziellen Quellen beziffern weder einen finanziellen Gesamtschaden noch eine bestätigte Dauer eines Betriebsausfalls. Sie machen auch keine Angaben zu einer Versicherungspolice oder zu einer Schadenregulierung bei Xplain.
Einordnung für die Cyberversicherung
Aus dem Vorfall allein lässt sich keine Deckungszusage ableiten. Je nach Vertrag können unter anderem Incident Response und IT-Forensik, Rechts- und Datenschutzberatung, Datenwiederherstellung, Betriebsunterbrechung oder Krisenkommunikation relevante Bausteine sein. Ob und in welchem Umfang eine Leistung besteht, hängt insbesondere vom Vertragswortlaut, von Sublimiten und Ausschlüssen, von vereinbarten Sicherheitsobliegenheiten und vom konkreten Schadenprozess ab.
Lehren für Schweizer Unternehmen
- Bei IT-Dienstleistern sollte klar geregelt sein, welche Daten sie benötigen, wie lange sie diese aufbewahren und wie sie sie löschen.
- Verträge, Zugriffsrechte und Kontrollmöglichkeiten sollten auch den Umgang mit produktiven und besonders schützenswerten Daten abdecken.
- Ein gemeinsamer Notfallplan mit Dienstleistern erleichtert Analyse, Kommunikation und Wiederherstellung nach einem Vorfall.
- Bei einer Cyberversicherung sollten Abhängigkeiten von Dienstleistern und die Voraussetzungen der einzelnen Deckungsbausteine ausdrücklich geprüft werden.