Rechtliche und datenschutzrechtliche Einordnung

Technische und organisatorische Maßnahmen

Art. 32 DSGVO verpflichtet Verantwortliche, ein dem Risiko angemessenes Schutzniveau sicherzustellen. Im Kontext dieser Angriffswelle stellen sich für Unternehmen, die Microsoft 365 und Power BI einsetzen, zwei konkrete Fragen: Erstens, ob die Konfiguration von Power BI – insbesondere hinsichtlich der Berechtigungen zur Erstellung externer Abonnements – als TOM angemessen dokumentiert und beschränkt ist. Zweitens, ob die Nutzung eines Dienstleisters (Microsoft), dessen Plattform strukturell für Social-Engineering-Angriffe missbrauchbar ist bzw. missbraucht wird, mit den eigenen Risikobewertungen vereinbar ist.

Meldepflichten bei Datenschutzverletzungen

Sofern Beschäftigte oder Kunden eines Unternehmens durch diese Phishing-Kampagne tatsächlich Opfer eines Betrugs werden und dabei personenbezogene Daten (Zugangsdaten, Zahlungsinformationen) offengelegt haben, ist zu prüfen, ob eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO vorliegt. Die 72-Stunden-Frist zur Meldung bei der zuständigen Aufsichtsbehörde beginnt, sobald dem Verantwortlichen die Verletzung bekannt wird.

Integrität und Vertraulichkeit

Das Grundsatzprinzip der Integrität und Vertraulichkeit nach Art. 5 Abs. 1 lit. f DSGVO verlangt, dass personenbezogene Daten gegen unbefugte Verarbeitung geschützt werden. Werden Mitarbeitende durch diesen Angriffsvektor zur Preisgabe von Zugangsdaten oder Zahlungsinformationen gebracht, ist die Vertraulichkeit betroffener Datenbestände gefährdet. Unternehmen, die keine hinreichenden Schutz- und Sensibilisierungsmaßnahmen etabliert haben, riskieren, im Schadenfall eine unzureichende Umsetzung dieses Grundsatzes dokumentieren zu müssen.

Auftragsverarbeitung und Drittanbieter-Risiko

Unternehmen, die Microsoft 365 im Rahmen eines Auftragsverarbeitungsvertrags (AVV) nutzen, müssen sich bewusst sein, dass der beschriebene Missbrauch kein Datenleck auf Seiten Microsofts darstellt, sondern eine Ausnutzung einer regulären Plattformfunktion. Gleichwohl sollte unbedingt geprüft und bewertet werden, ob der Einsatz von Power BI in der aktuellen Standardkonfiguration mit den eigenen IT-Sicherheitsrichtlinien vereinbar ist. Da die E-Mail von Microsofts legitimer Infrastruktur stammt und alle kryptographischen Prüfverfahren besteht, sind Gateway-Lösungen, Spam-Filter und Reputationssysteme strukturell wirkungslos. Selbst Advanced-Threat-Protection-Lösungen wie Microsoft Defender haben diese Mails initial nicht geflaggt. Der Angriff ist technisch anspruchslos durchzuführen, für Empfänger ohne Vorinformation jedoch schwer erkennbar. Besonders gefährdet sind Beschäftigte ohne IT-Affinität und Personen, die nicht mit Power-BI-Benachrichtigungen vertraut sind.