Im März 2023 traf ein Ransomware-Angriff der Hackergruppe "Play" die NZZ-Mediengruppe hart. Während der Vorfall selbst lange in der Kritik stand, sorgt nun die Informationspolitik des Medienhauses für neue Debatten: Von 4000 betroffenen Personen wurden nur 42 direkt über den Datenklau informiert.
Ein digitaler Vertrauensbruch: Der Fall NZZ-Mediengruppe
Im März 2023 geriet die NZZ-Mediengruppe ins Visier der international agierenden Hackergruppe "Play". Was als Ransomware-Angriff auf die IT-Infrastruktur begann, entwickelte sich zu einem massiven Datendiebstahl, der bis heute datenschutzrechtliche Fragen aufwirft. Nachdem die Erpressungsversuche der Täter scheiterten, veröffentlichten diese die erbeuteten Daten im Darknet [1]. Betroffen waren rund 4000 aktuelle und ehemalige Mitarbeitende, deren sensible Informationen – darunter Arztzeugnisse, Bankverbindungen und intime E-Mails – für Unbefugte zugänglich gemacht wurden [1].
Nur ein Bruchteil persönlich informiert
Besonders kritisch wurde in der Nachbetrachtung die Kommunikationsstrategie der NZZ beurteilt. Trotz der hohen Zahl von Betroffenen wurden nach Angaben aus dem Unternehmen lediglich 42 Personen direkt kontaktiert. Das Medienhaus argumentierte, man habe "von Beginn an sorgfältig aufgearbeitet" und fortlaufend über die Unternehmenswebseite informiert, zudem sei eine Kontaktstelle für Betroffene eingerichtet worden [1].
Kritiker, darunter die Journalistin Adrienne Fichter, halten dieses Vorgehen jedoch für unzureichend. Fichter, die den Fall zur Anzeige brachte, bemängelt, dass man bei ehemaligen Mitarbeitenden nicht voraussetzen könne, dass diese das Unternehmen weiterhin aktiv verfolgen und somit die Informationen auf der Webseite wahrnehmen würden [1]. Eine proaktive Benachrichtigung sei bei solch sensiblen Datenbeständen das Mindestmaß an gebotener Transparenz.
Untersuchung des EDÖB ohne Folgen
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Edöb) leitete nach der Anzeige von Fichter eine Untersuchung ein, stellte das Verfahren jedoch letztlich ein. In der Begründung wurde dargelegt, dass die NZZ glaubwürdig habe aufzeigen können, dass die gewählte Informationspraxis als zulässig eingestuft werden konnte [1]. Der Edöb, dessen Aufgabe in der Feststellung des Sachverhalts und einer entsprechenden rechtlichen Würdigung liegt, sah offenbar keinen Anlass für weiterführende Sanktionen [1].
Fichter kritisiert jedoch auch diesen Prozess scharf. Sie wirft dem Edöb vor, sich im Rahmen der Untersuchung primär auf die Argumentation der von der NZZ beauftragten Anwälte gestützt zu haben, anstatt durch eigene tiefgreifende Recherchen den Sachverhalt unabhängig zu verifizieren [1].
Ein Fallbeispiel für die Unternehmenspraxis
Die Debatte um den NZZ-Hack verdeutlicht eine wachsende Lücke zwischen technischer Realität und kommunikativer Verantwortung im Falle eines Datenabflusses. Während rechtliche Rahmenbedingungen wie das Datenschutzgesetz oft Spielräume bei der Wahl der Informationsmittel lassen, bleibt die Erwartungshaltung der Öffentlichkeit – und insbesondere der Betroffenen – hoch. Der Fall zeigt, dass das bloße Einrichten einer Kontaktstelle für viele Experten nicht mehr ausreicht, um dem Anspruch an moderne Unternehmensführung und Datensicherheit gerecht zu werden [1].
Mit der zunehmenden Professionalisierung von Ransomware-Gruppen wie "Play" steigt der Druck auf Unternehmen, auch die internen Kommunikationsprozesse für den Krisenfall proaktiv zu gestalten. Die kritische Aufarbeitung durch Medien und Betroffene fungiert dabei als notwendiges Korrektiv, um die Standards für den Umgang mit personenbezogenen Daten langfristig zu sichern.