Motivation

Im Bundeslagebild 2021 Cybercrime des BKA wurde im Vergleich zum Vorjahr ein Anstieg der Deliktsbereiche Ausspähen von Daten (§ 202a StGB) und Datenhehlerei (§ 202d StGB) um 38,6 % registriert. Sensitive Daten werden stetig durch die Ausnutzung von IT-Sicherheitslücken in Unternehmen erlangt und erfahrungsgemäß entweder auf PasteBin-Seiten oder in nur Privilegierten zugänglichen Bereichen des Internets (z.B. Deep- und Darknet) verbreitet. Den durch diese Datenleaks Betroffenen können (wissentlich und unwissentlich) Schäden entstehen (finanziell, Reputation).

Im BMBF-geförderten Vorgängerprojekt EIDI des Konsortiums konnte eine Möglichkeit gefunden werden, die eigenen Datensätze auf einen Leak zu überprüfen und eine datenschutzkonforme Warnung von mittelbar durch den Leak betroffenen Unternehmen ermöglicht werden.

Es fehlt jedoch u.a. an einer Möglichkeit, gefundene Datensätze anonym in den Mechanismus einbringen zu können. Meldungen von Datenleaks, gefundenen Datensätzen durch IT-Sicherheitsforschende (“white hats”) sowie unternehmerische Whistleblower resultieren häufig in strafrechtlichen Ermittlungen gegen diese bzw. in negierenden Aussagen der Unternehmen. Eine anonyme Eingabe erscheint nicht nur vor diesem Hintergrund vorzugswürdig. Eine schnelle und effektive Einbindung in den Analyseprozess dient gleichzeitig der Stärkung der Datensouveränität sowohl von Bürger:innen als auch von Unternehmen. Weiterhin steht es im Einklang mit dem Zweck des zukünftigen Hinweisgeberschutzgesetzes (nationale Umsetzung der Whistleblower-Richtlinie) sowie den zukünftigen Meldepflichten von IT-Sicherheitslücken im Entwurf des Cyber Resilience Act (CRA-E).

Ziel des Projekts ist daher auch eine schnellere Warnung bei einem positiven Ergebnis der Analyse und eine wirksamere Verhinderung der rechtswidrigen Nutzung von abhandengekommenen Daten in einem hochagilen Umfeld. Gerade zur Verhinderung weiterer Schäden ist dies von entscheidender Bedeutung.