Der externe Gehaltsdienstleister Infoniqa Österreich GmbH wurde Opfer eines Cyberangriffs. Infoniqa hat die ÖAW darüber informiert, dass kriminelle Hacker im Zuge des Cyberangriffs personenbezogene Daten entwendet haben. Nach eingehender Prüfung müssen wir aktuell davon ausgehen, dass sämtliche Mitarbeitenden, die bei der ÖAW beschäftigt sind oder waren sowie sonstige an der ÖAW tätige Personen und gegebenenfalls deren Angehörige betroffen sein können, sofern die personenbezogenen Daten an Infoniqa Österreich GmbH übermittelt wurden (insbesondere seit 2019). Das kann auch die Töchter der ÖAW (CeMM, IMBA, GMI) betreffen.

Die Datenschutzgrundverordnung sieht vor, dass die betroffenen Personen unverzüglich zu informieren sind, was wir hiermit tun. Die ÖAW bedauert die unangenehme Situation und unternimmt alles in ihren Möglichkeiten Stehende, um den Vorfall aufzuarbeiten und die negativen Folgen für die Betroffenen so gering wie möglich zu halten.

Aufgrund der Art der kompromittierten personenbezogenen Daten besteht die Gefahr, dass es zB zu Identitätsdiebstahl oder anderen in den FAQs beschrieben potenziellen Szenarien kommen kann. Eine detaillierte Beschreibung der bereits ergriffenen sowie der vorgesehenen Maßnahmen zur Behebung der Datenschutzverletzung und zur Abmilderung möglicher nachteiliger Auswirkungen finden Sie in den bereitgestellten FAQ (siehe unten). 

Sollten Sie Fragen im Zusammenhang mit dem Vorfall haben, können Sie sich vertrauensvoll an den Datenschutzbeauftragten richten, der unter datenschutz@oeaw.ac.at erreichbar ist.

Was ist genau passiert?

Unser externer Dienstleister Infoniqa Österreich GmbH (nachfolgend auch kurz „INFONIQA"), der für die ÖAW Gehaltsabrechnungsdienste durchführt und die elektronische Personalakte führt, ist Ziel eines Cyberangriffs geworden. Dabei kam es zu einem Datendiebstahl. Ein Teil der gestohlenen Daten wurde von den Hackern im Darknet veröffentlicht. Die ÖAW selbst wurde nicht angegriffen. Die zuständigen Behörden sind eingebunden. Nach aktuellem Wissensstand sind vom Cyberangriff bei INFONIQA rund 300 Kundenunternehmen in Österreich betroffen, einer dieser betroffenen Kunden ist die ÖAW.

Wer ist INFONIQA?

Das Unternehmen Infoniqa Österreich GmbH ist ein führender Softwareanbieter im HR- und Finance-Bereich im DACH Raum. Das Unternehmen wurde 1988 gegründet und ist heute an 11 Standorten vertreten. INFONIQA betreut 35.000 Kundenunternehmen.

Welche Daten verwaltet INFONIQA?

INFONIQA verwaltet personenbezogene Daten im Zusammenhang mit der Führung des Personalaktes und der Gehaltsabrechnung. Zu diesem Zwecke werden Abrechnungsdaten wie etwa Stammdaten, Bankdaten, Sozialversicherungsdaten, Bankkarte, e-Card, Daten des Personalakts wie etwa: Kontaktdaten, Reisepass, Personalausweis, Staatsbürgerschaftsnachweis, Geburtsurkunde, Meldezettel, Angabe zur Familienbeihilfe, Heiratsurkunden, Behindertenpass, Zeugnisse, Aufenthaltstitel und Visum verarbeitet.

Für welche Verwendungszwecke und auf welchen Rechtsgrundlagen wurden personenbezogene Daten an INFONIQA übermittelt?  

Die ÖAW verarbeitet personenbezogene Daten zum Zwecke der Gehaltsverrechnung und zum Zwecke der Führung des Personalakts. Die Rechtsgrundlagen finden sich somit in der Vertragserfüllung oder etwa in der Erfüllung einer rechtlichen Pflicht.

Die ÖAW hat INFONIQA mit der Durchführung der zuvor genannten Zwecke beauftragt. Die Beauftragung selbst erfolgt auf Basis mehrerer Verträge, zu denen auch der Auftragsverarbeitungsvertrag zählt. Dabei hat INFONIQA zugesagt, die Sicherheitsstandards im Sinne der Richtlinien des Instituts Österreichischer Wirtschaftsprüfer:innen einzuhalten. Eine gesonderte Rechtsgrundlage ist für diese Form der Übermittlung in der DSGVO nicht vorgesehen.

Bei INFONIQA handelt es sich um den Marktführer in diesem Bereich, der eine halbe Million Dienstnehmer:innen abrechnet.

Welche Daten sind betroffen und mit welchen zukünfitgen Veröffentlichungen ist zu rechnen? 

Ein Teil der gestohlenen Daten wurde von den Hackern im Darknet veröffentlicht. Wir gehen aktuell davon aus, dass sämtliche bei INFONIQA verarbeiteten personenbezogenen Daten vom Vorfall betroffen sein können. Über die Anzahl der betroffenen Datensätze und die ungefähre Anzahl der betroffenen Personen können wir keine Angaben machen; wir haben INFONIQA aufgefordert, den betroffenen Datenbestand und die Anzahl der betroffenen Datensätze zu nennen. Wir gehen aktuell daher davon aus, dass sämtliche Mitarbeitenden sowie Beamte, Vertragsbedienstete, allenfalls Angehörige der Vorgenannten Gastforscher:innen und Werkvertragsnehmer:innen betroffen sein können, die bei der ÖAW insbesondere seit 2019 beschäftigt sind oder waren, sofern die personenbezogenen Daten an INFONIQA übermittelt wurden. 

Ist damit zu rechnen, dass meine Daten illegal verwendet werden? Sofort oder erst in einigen Jahren?

Das ist schwer pauschal zu beantworten — beides ist möglich. Und es ist ebenso möglich, dass Sie von einer illegalen Verwendung gar nicht betroffen sein werden.

• Sofortiger Missbrauch kann insbesondere dann passieren, wenn Daten direkt monetär verwertbar sind (z. B. Kreditkarten, Online-Banking-Zugang, aktive Login-Daten).

• Verzögerter Missbrauch kann insbesondere dann auftreten, wenn Angreifer Daten zunächst sammeln, verpacken oder verkaufen (z. B. Identitätsdaten, Geburtsdaten, Ausweiskopien). Solche Daten können Wochen, Monate oder sogar Jahre später auftauchen, wenn sie kombiniert oder für gezielte Angriffe (Social Engineering, Kreditbetrug) genutzt werden.

Fortlaufende Wachsamkeit ist in jedem Fall wichtig.

Was hat die ÖAW getan, um den Sachverhalt zu klären? 

Die ÖAW hat sich unmittelbar, nachdem ihr der Cyberangriff von INFONIQA zur Kenntnis gebracht wurde, mit den zuständigen Behörden in Verbindung gesetzt und die Datenschutzbehörde informiert. Es wurde zudem sofort ein Krisenstab an der ÖAW eingerichtet und alle zuständigen Abteilungen der Zentralen Verwaltung und an den Tochter-GesmbHs kümmern sich laufend um die Angelegenheit. Die ÖAW tut derzeit alles in ihren Möglichkeiten Stehende, um den Sachverhalt aufzuarbeiten und notwendige Maßnahmen zu ergreifen.

Wie wird sichergestellt, dass es zu keiner weiteren Sicherheitslücke bei INFONIQA kommt? 

Die ÖAW hat eine externe Cybersecurity-Firma beauftragt, um die Wirksamkeit der gesetzten und geplanten IT-Sicherheitsmaßnahmen bei INFONIQA zu überprüfen. Diese wird feststellen, ob die zugesagten Sicherheitsmaßnahmen auch entsprechend umgesetzt wurden.

Die folgenden Maßnahmen hat die ÖAW ergriffen: 

• Das Verschlüsselungsverfahren mit INFONIQA wurde aktualisiert 

• Änderung der Kennwörter 

• Zahlungen (Gehalt, Reisekosten etc.) werden erst nach Prüfung der Integrität der Daten durchgeführt 

Die folgenden Maßnahmen wurden zusätzlich von INFONIQA ergriffen: 

• Isolation der Systeme, um das Schadensmaß auf ein Minimum zu begrenzen 

• Sicherung und Analyse von Protokollen und Log-Daten sowie die Untersuchung der Systemaktivitäten, um verdächtige Spuren zu identifizieren 

• Durchführung von System-Scans zur Überprüfung auf Schadsoftware und um bekannte Bedrohungsmuster abzugleichen 

• Prüfung der System- und Sicherheitsrichtlinien, um mögliche Schwachstellen zu identifizieren und zu beheben 

• Durchführung einer Impact-Analyse der fachlichen Prozesse, um ein Lagebild zu erstellen und zu verstehen, welche Geschäftsbereiche und Leistungen vom Angriff betroffen sind 

Zwei externe Cyber-Security-Spezialistenteams untersuchen betroffene Systeme, analysieren die möglichen Ursachen und erstellen erste Wiederherstellungspläne 

Werden meine Daten wieder aus dem Darknet gelöscht oder kann ich sie im Darknet zurückkaufen? 

Nein, das ist leider nicht möglich, da man Daten im Internet de facto nicht löschen lassen kann.

Der Kontakt zu Anbietern im Darknet garantiert nicht, dass Ihre Daten anschließend gelöscht werden oder nicht weiterverkauft werden.

Welche wahrscheinlichen Folgen ergeben sich aus der Veröffentlichung meiner Daten und Dokumente? 

Es kann nicht ausgeschlossen werden, dass es infolge des Cyberangriffs zu gezielten Phishing-Versuchen kommen könnte, die Betrugsversuche und finanzielle Verluste nach sich ziehen könnten. Zudem könnte es zu Bloßstellungen, Diskriminierung und auch zu Identitätsdiebstählen kommen.

Was soll ich jetzt tun und worauf soll ich achten?  

Bitte seien Sie sich bewusst, dass die von den Kriminellen bei INFONIQA erbeuteten Daten missbräuchlich verwendet werden könnten. Beachten Sie daher folgende Hinweise, um sich gegen Phishing oder Identitätsbetrug zu schützen:

• Bitte kontrollieren Sie regelmäßig Ihre Kontobewegungen. Dafür gibt es die Möglichkeit, Benachrichtigungen für Transaktionen zu aktivieren und Ihr Bankinstitut bei Unregelmäßigkeiten, Fragen oder Anliegen zu informieren. Sie können mit Ihrer Bank auch besprechen, ob ein Kontonummernwechsel oder die Ausstellung einer neuen Bankkarte zweckmäßig sind.

• Seien Sie besonders aufmerksam bei ungewöhnlichen Kontaktaufnahmen.

• Öffnen Sie keine verdächtigen E-Mail-Anhänge bzw. Links und seien Sie auch bei unverlangt zugesandten Briefen oder Telefonanrufen von Ihnen unbekannten Anrufer:innen aufmerksam. Löschen Sie verdächtige E-Mails.

• Wenn Sie zu viele Spam-Nachrichten erhalten, können Sie einen Spam-Filter nutzen.

• Aktiveren Sie, wo möglich, die Zwei-Faktor-Authentifizierung und verwenden Sie jedes Passwort nur einmal. Geben Sie Ihre Passwörter keinesfalls weiter und seien Sie bei der Verwaltung sorgsam. Nutzen Sie ggf. Passwort-Manager (das sind Programme, die dabei helfen, Benutzernamen und verschiedene Passwörter sicher zu verwalten).

• Es kann sein, dass die Täter Ihre Telefonnummer für weitere Angriffe nutzen, etwa durch eine Nutzung von Mehrwertnummern. Die Nutzung von Mehrwertnummern kann beim Handy-Provider gesperrt werden. Sollten Sie Anrufe aus dem Ausland erhalten und können Sie diesen Anruf keinem persönlichen Sachverhalt zuordnen, ist es ratsam den Anruf nicht anzunehmen und die Nummer zu blockieren.

• Oft sind bei Versicherungsprodukten (wie etwa der Haushaltsversicherung) Unterstützungsleistungen in Zusammenhang mit Cyber-Crime-Vorfällen für Versicherungsnehmer:innen vorgesehen. Bitte prüfen Sie, ob dies bei Ihrer Versicherung der Fall ist.

• Darüber hinaus bieten Dritte Tools an, um mit einer gewissen zeitlichen Verzögerung und ohne Anspruch auf Vollständigkeit nachzuvollziehen, ob und welche Ihrer Daten im Dark-Net auffindbar sind. Mögliche Tools sind etwa sec.hpi.de/ilc/ oder haveibeenpwned.com.

• Bitte behandeln Sie den Vorfall zu Ihrem eigenen Schutz möglichst vertraulich und vermeiden Sie Veröffentlichungen dazu in Sozialen Medien oder an anderen Orten. Selbstverständlich können Sie aber Behörden und Ihre Bank informieren.

Was mache ich, wenn ich verdächtige Bewegungen auf meinem Konto entdecke? 

Nehmen Sie bitte unverzüglich Kontakt mit Ihrer Bank auf und informieren Sie diese über Unregelmäßigkeiten. Sperren Sie die betroffenen Konten/Karten. Bei einem Verdacht auf Betrug informieren Sie bitte auch die Polizei. 

Soll ich meinen Pass erneuern? 

Es gibt keine Empfehlungen von Expert:innen, einen Reisepass nach einem Cyberangriff automatisch zu erneuern. Wenn Sie sich dafür entscheiden, kann die Neuausstellung Ihres Reisepasses von Ihnen bei der zuständigen Bezirksbehörde oder dem Konsulat beantragt werden. Beachten Sie, dass normalerweise für Rechtsgeschäfte die Vorlage des Originalpasses notwendig ist, und eine ggf. veröffentlichte Kopie Ihres Passes dafür nicht ausreichen würde.

Was mache ich, wenn ich bemerke, dass meine Daten unerlaubt verwendet werden? 

Wenn ein Identitätsbetrug vorliegt oder andere Straftatbestände mit Ihren Daten verübt werden, melden Sie dies umgehend der nächstgelegenen Polizeidienststelle. Informieren Sie ihre Freunde und Bekannte, falls Sie von auffälligen Aktivitäten in Sozialen Medien oder Blogs in Ihrem Namen erfahren. Nehmen Sie Kontakt zu Sozialen Medien oder anderen Online-Diensten auf, um die in Ihren Namen erfolgten Aktivitäten und erstellten Profile löschen zu lassen. 

Wie lautet die Geschäftszahl der Anzeige, die INFONIQA bei der Landespolizeidirektion Steiermark eingebracht hat, damit ich diese bei Bedarf für Banken und ggf. Behörden verwenden kann? (Download Anzeigebestätigung) 

Die Geschäftszahl der Anzeigebestätigung lautet PAD/25/01634300/001/KRIM. 

Download Anzeigebestätigung

Die ÖAW hat eine ergänzende Sachverhaltsdarstellung eingebracht, deren Bestätigung Sie hier downloaden können.

Download ergänzende Sachverhaltsdarstellung

An wen wende ich mich, wenn ich weitere Fragen habe? 

Unser Helpdesk steht Ihnen bei allen weiteren Fragen zur Verfügung: helpdesk(at)oeaw.ac.at. Der Datenschutzbeauftragte der ÖAW, Dr. Thomas Berghammer, LL.M., Dr. Ignaz Seipel-Platz 2, 1010 Wien, ist unter datenschutz(at)oeaw.ac.at zu erreichen.

Für weitere Informationen können Sie auch die Erstanlaufstellen für Cyberkriminalität (z.B. Stadt Wien Cybercrime Helpline, 01 4000-4006; Meldestelle des Cybercrime-Competence-Centers C4 beim Bundesministerium für Inneres, against-cybercrime(at)bmi.gv.at) kontaktieren.