Meldung von Informationssicherheitsvorfällen

Ein Informationssicherheitsvorfall ist jedes Ereignis, bei dem die Vertraulichkeit, die Integrität, die Verfügbarkeit und/oder die Authentizität von Informationen verletzt wird. Dies umfasst analoge sowie digitalisierte Informationen.  Ein Informationssicherheitsvorfall kann mit einer Datenschutzverletzung einhergehen, wenn personenbezogene Daten betroffen sind.

Beispiele für Informationssicherheitsvorfälle sind:
  • Sie entdecken, dass von Dritten E-Mails über Ihren HSBI-Mail-Account versendet werden.
  • Es öffnen sich auf Ihrem Endgerät Webseiten, die Sie nicht selbst aktiv angesteuert haben.
  • Sie haben einen verdächtigen E-Mail-Anhang geöffnet.
  • Sie erhalten eine E-Mail mit personenbezogenen Daten, auf die Sie keinen Zugriff haben sollten.
  • Sie haben versehentlich vertrauliche Daten in einem offenen E-Mail-Verteiler (CC) versandt, die Sie nur verdeckt (BCC) hätten senden dürfen.
  • Sie haben Ihren Laptop oder ein Speichermedium, auf dem sich vertrauliche Forschungsdaten befinden, verloren.
  • Sie haben plötzlich Zugriff auf einen administrativen Bereich einer HSBI-Anwendung, obwohl Sie kein/e Administrator/in sind.
  • Sie finden ein ausgedrucktes Dokument mit sensiblen Vertragsdaten im öffentlich zugänglichen Bereich der Hochschule.

Warum ist die Meldung von Informationssicherheitsvorfällen wichtig?

Informationssicherheitsvorfälle können negative Auswirkungen auf die Hochschule sowie auf die Rechte und Freiheit von einer Datenschutzverletzung betroffenen Personen haben, sodass schnellstmöglich Maßnahmen zur Schadensbegrenzung vorzunehmen sind. Beschäftige und Studierende sind deshalb verpflichtet, einen Informationssicherheitsvorfall unverzüglich nach Kenntnisnahme zu melden. Die Meldung hat Vorrang vor dem Tagesgeschäft.

Wo und wie sind Informationssicherheitsvorfälle zu melden?

Für eine Meldung füllen Sie das nebenstehende Formular aus und senden Sie es an informationssicherheitsvorfall@hsbi.de.

Sie müssen bei einer Meldung nur die Felder des Formulars ausfüllen, zu denen Ihnen Informationen vorliegen. Fehlende Informationen können bei der folgenden Bearbeitung des Vorfalls durch das Vorfallteam ergänzt werden.

Die Datenschutz-Information zum Umgang mit Ihren personenbezogenen Daten im Rahmen der Meldung können Sie in der nebenstehenden Downloadbox einsehen.

Was passiert nach der Meldung eines Informationssicherheitsvorfalls?

Die interne Meldung eines Informationssicherheitsvorfalls wird vertraulich von einem durch die Hochschulleitung eingesetzten Vorfallteam (Datenschutzbeauftragte/r, Informationssicherheitsbeauftragte/r, IT-Sicherheitsbeauftragte/r, Leitung der DVZ) bearbeitet. Es geht dabei ausdrücklich nicht darum, „Schuldige“ zu identifizieren und zu sanktionieren, sondern das Vorfallteam prüft und bewertet die Schadensauswirkungen und bestimmt die Maßnahmen zur Schadensbegrenzung für die Betroffenen und für die Hochschule. Dabei werden ggfs. Rückfragen an die meldende Person gestellt und bei Bedarf weitere Personen hinzugezogen (z.B. die Systemadministration). Auf dieser Basis bereitet das Vorfallteam die Entscheidungen der Präsidentin vor, ob die Aufsichtsbehörden (LDI NRW, MKW NRW) sowie nötigenfalls die vom Vorfall Betroffenen zu informieren sind. Im Nachgang berät das Vorfallteam über weitere mögliche Maßnahmen zur Prävention ähnlich gelagerter Vorfälle (Lessons learned, kontinuierlicher Verbesserungsprozess). Weitere Informationen dazu finden Beschäftigte im Datenschutz-Managementsystem der HSBI (Intranet).

Warum ist ein schnelles Melden von Informationssicherheitsvorfällen wichtig?

Je länger Sicherheitslücken und Datenschutzverletzungen unentdeckt bleiben, desto eher können sie durch Personen mit böswilligen Absichten ausgenutzt werden. Die Reaktionszeit bei Informationssicherheitsvorfällen ist deshalb von zentraler Bedeutung.

Zudem hat das Vorfallteam ab dem Zeitpunkt, zu dem (einem Beschäftigten) der HSBI der (potentielle) Vorfall bekannt ist, eine Frist von 72 Stunden, um den Vorfall zu analysieren, zu bewerten und nötigenfalls (nach Entscheidung der Präsidentin) an die Aufsichtsbehörden zu melden.