Wann gilt ein IT-Hack rechtlich als höhere Gewalt?
Das Gericht hat den berüchtigten Citrix-Hack bei der Staatsanwaltschaft (OM) offiziell als eine Situation höherer Gewalt eingestuft.
Diese Entscheidung basiert auf der Tatsache, dass es sich um eine unbekannte Zero-Day-Schwachstelle handelte, die vollständig außerhalb des Einfluss- und Risikobereichs der Organisation lag.
Ein entscheidendes Element in diesem Urteil war, dass für diese spezifische Schwachstelle noch kein Sicherheitsupdate verfügbar war, während die Staatsanwaltschaft alle vorherigen Updates rechtzeitig installiert hatte.
Während des Vorfalls war die vollständige Trennung vom Internet eine notwendige Maßnahme, um weiteren Zugriff auf äußerst sensible Informationen zu verhindern.
Das Gericht entschied, dass der Angriff vernünftigerweise nicht vorhersehbar oder vermeidbar war und dass die Staatsanwaltschaft mit Hochdruck und in Abstimmung mit Partnern in der Kette an einer schrittweisen Wiederherstellung gearbeitet hat.
Eine wichtige Lektion für Organisationen: Ein Hack gilt rechtlich nicht automatisch als höhere Gewalt. Nachweisbare Vorbereitung, Prävention, die Notwendigkeit des Eingreifens sowie eine angemessene Wiederherstellung fallen beim Endurteil stark ins Gewicht.
Lesen Sie den Artikel auf uitspraken.rechtspraak.nl für weitere Informationen.