Cybersicherheit in den USA: Richterin bestätigt Klagerecht der FTC

In den USA hat eine Bundesbezirksrichterin in New Jersey vergangene Woche ein für die Entwicklung im Bereich Cybersicherheit wichtiges Urteil gefällt. Sie bestätigte, dass die Handelsbehörde FTC das Recht hat, Firmen im Fall von Datendiebstählen wegen mangelhafter Sicherheitsmaßnahmen zu verklagen. Damit trug sie zur Präzisierung der sehr breit und vage gefassten Rechte bei, die der Behörde bei der Gründung 1914 – also vor genau 100 Jahren – zugesprochen wurden.

Ursprung des Prozesses war ein FTC-Verfahren gegen die Wyndham Worldwide Corporation gewesen, die hunderttausende Kredit- und Kontodaten von Kunden verloren hatte, was zu 10,6 Millionen Dollar Schaden durch Betrüger führte. Wyndham zweifelte an, dass die FTC überhaupt das Recht habe, Unternehmen für solche Verluste zur Verantwortung zu ziehen. Richterin Esther Salas bestätigte dies, sodass der ursprüngliche Prozess FTC gegen Wyndham nun weiter verhandelt werden kann. Das Unternehmen hat laut FTC Software unangemessen konfiguriert, schwache Passwörter genutzt und Server mangelhaft abgesichert.

Zu den Aufgaben der Federal Trade Commission, wie die FTC ausgeschrieben heißt, gehört der Schutz von Verbrauchern vor Betrug und unfairen Geschäftspraktiken. Solche Fälle kann sie durch Maßnahmen verhindern, im Missbrauchsfall Entschädigungen erstreiten, Handelsregeln erlassen, Nachforschungen anstellen und dem Kongress Berichte sowie Vorschläge für Gesetze zukommen zu lassen.

Ob diese Rechte den Bereich Cybersecurity umfassen, blieb 1914 naturgemäß offen. Außer für den Verbraucherschutz ist die FTC auch für Kartellfragen zuständig, hat also die Aufgaben einer Wettbewerbsbehörde.

Das Urteil bezieht sich nur auf die Klagemöglichkeit der FTC. Es lässt eine Reihe von Fragen offen, etwa nach der Verantwortung – welche Schuld trifft in einem solchen Fall den Angreifer, welche das schlecht gesicherte Unternehmen und welche den Softwareanbieter, in dessen Produkt die genutzte Sicherheitslücke steckte? Unklar bleibt überdies auch, wer definiert und wer beurteilt, ob Sicherheitsmaßnahmen angemessen oder fahrlässig sind.

[mit Material von Ken Hess, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.