Regelmäßige Überwachung und Aktualisierung der technischen und organisatorischen Maßnahmen

Die britische Datenschutzbehörde (ICO) hat gegen den Dienstleister Capita eine Geldstrafe in Höhe von 14 Millionen Pfund verhängt. Der Grund: unzureichende Sicherheitsmaßnahmen, die im März 2023 zu einem massiven Hackerangriff führten. Dabei wurden sensible Rentenunterlagen, Personalakten und Kundendaten von Hunderten von Organisationen gestohlen. Nach Angaben der Behörde hatte Capita, ein großer Anbieter von Outsourcing- und IT-Dienstleistungen, keine ausreichenden technischen und organisatorischen Maßnahmen getroffen. Auslöser für den Cyberangriff war das versehentliche Herunterladen einer schädlichen Datei durch einen Mitarbeiter. Obwohl schnell eine Sicherheitswarnung einging, dauerte es 58 Stunden, bis das betroffene Gerät isoliert wurde – genug Zeit für die Angreifer, um Malware zu installieren, Administratorrechte zu erlangen und fast ein Terabyte an Daten zu stehlen. Die Untersuchung ergab mehrere grundlegende Mängel bei den Sicherheitsmaßnahmen und organisatorischen Kontrollen: Es gab kein mehrstufiges Autorisierungsmodell für Administratorkonten. Warnungen wurden nicht umgehend bearbeitet, da das Security Operations Center unterbesetzt war, und Penetrationstests wurden nicht regelmäßig durchgeführt oder unternehmensweit ausgewertet.

Diese Entscheidung unterstreicht die Bedeutung angemessener TOMs und eines Notfallplans für IT-Sicherheitsvorfälle.

Sollten Sie Fragen haben oder weitere Informationen benötigen, können Sie sich jederzeit an uns wenden.