Jusletter IT

Bei einer DDoS-Attacke wird eine Website innert kürzester Zeit tausendfach aufgerufen mit dem Ziel, dass das System wegen der Datenlast zusammenbricht. Für einen Webshop ein Umsatz-, und damit einhergehend auch ein Kundenverlust, daneben zusätzlich auch ein Reputationsrisiko.
Mit einer Viren-Attacke können Programme auf ein Computersystem eingeschleust werden, welche die Daten verschlüsseln. Der Computeranwender kann das System nicht mehr benutzen.¹ Nach Zahlung eines Lösegeldes ist das Computersystem wieder benutzbar.²

Neben dem Lahmlegen eines Systems ist es auch ein Zugriff von unberechtigten Dritten auf ein System möglich. Via bekannten technischen Schwachstellen oder bekannten Benutzernamen mit Passwort dazu, können Daten auf einem System in falsche Hände geraten. Ein solcher «Hack» dient der Datenbeschaffung, z. B. Kreditkartendaten von Kunden.

Gemäss einer Studie sollen 23% der Schweizer Unternehmen bereit sein, im Falle einer Ransomware-Attacke Lösegeld zu bezahlen, weltweit liegt dieser Wert bei 33%.³ Bei dieser hohen Quote von Zahlungsbereitschaft stellt sich buchhalterisch die Frage, wie ein solcher Fall erfasst werden soll. Der Geldempfänger ist nicht bekannt und der genaue Geldfluss zum Empfänger nicht nachvollziehbar. Es liegen abgesehen von Printscreens keine Belege vor, allenfalls Mails mit nicht nachvollziehbarem Absender. Solche Belege sind aus handelsrechtlicher Sicht nicht ordnungsgemäss. Ein Beleg soll «Beweis leisten für die gebuchten Vorgänge».⁴ Da hier kein Originalbeleg von einem identifizierbaren Dritten vorliegt, und auch die Zahlung keinen Rückschluss auf den Empfänger zulässt, liegt kein solcher Beweis vor.⁵ Der vom Gesetz verlangte Nachvollzug eines Sachverhalts lässt sich nicht belegen.⁶

Auf welchem Aufwandkonto soll eine solche Zahlung erfasst werden, wo in der Rechnungslegung soll wie darüber berichtet werden? Kann ein solcher Fall im übrigen Betriebs- oder Verwaltungsaufwand⁷ erfasst werden und unerkannt versickern? Oder wäre dies ein Thema, welches in der Erfolgsrechnung unter «einmalig» oder «ausserordentlich» aufzuführen ist?⁸ Letzteres trifft wohl eher zu, denn Lösegeldzahlungen gehören nicht zum üblichen Geschäftsaufwand. Das Lösegeld als Betriebsaufwand zu erfassen wäre zudem ein Hinweis auf eine mangelhafte IT-Sicherheit, als deren Folge man einen solchen Aufwand in Kauf nimmt. Bei Verbuchung und Ausweis unter «einmalig» oder «ausserordentlich» wird ein Kommentar dazu im Anhang notwendig.⁹ Die Erfahrung zeigt, dass Auswirkungen einer mangelhaften IT-Sicherheit nicht nur die eigene Firma schädigen kann. Es können auch Kunden und Lieferanten betroffen sein, sei es dass die weltgrösste Reederei keine Aufträge mehr entgegennehmen konnte, seien es Paketkunden, deren Paket nicht verzollt werden konnten.¹⁰ Die Lösegeldzahlung selbst kann im Verhältnis zum Umsatz einen unwesentlichen Betrag darstellen, weshalb auf den ersten Blick kein Kommentar im Anhang notwendig erscheint.¹¹ Das Schadenspotential einer mangelhaften IT-Organisation ist jedoch wesentlich, deshalb ist eine Kommentierung im Anhang angebracht. Die Aktionäre wissen somit über dieses Missgeschick Bescheid. Sie können sich Gedanken über mögliche finanzielle Auswirkungen solcher Organisationsmängel machen, und auch über die mögliche Verantwortlichkeit der Organe diskutieren.¹²

Die ESTV teilte auf Anfrage mit, dass zur steuerlichen Abzugsfähigkeit einer solchen Lösegeldzahlung noch keine Erfahrungswerte vorliegen. Die geltende Steuerpraxis liesse jedoch effektiv bezahlte Schmiergelder oder verdeckte Kommissionen trotz ihres widerrechtlichen oder unsittlichen Charakters als Gewinnungskosten bzw. geschäftsmässig begründete Aufwendungen zu. Anzunehmen ist, dass sich die ESTV auf die Rechtsprechung im Zusammenhang mit unsittlichen Einnahmen abstützen wird.¹³ Wichtig aus Sicht der ESTV ist jedoch die geschäftsmässige Begründetheit und der Nachweis der Ausrichtung. Mit einem Beleg, der keinen Rückschluss auf den Empfänger des Geldes zulässt, könnte diese Anforderung nicht erfüllt sein.

Zu prüfen ist somit, ob eine Strafanzeige gegen Unbekannt einzureichen und zugleich auch eine Meldung bei MELANI¹⁴ vorzunehmen hilft, eine Beilage zum Buchungsbeleg vorzuweisen und zugleich ein Hinweis sein könnte, dass sich die betroffene Unternehmung um eine Aufklärung der Angelegenheit bemüht. Wer z. B. mittels einer lediglich vorgespielten Virus-Attacke – im Internet lassen sich problemlos Printscreens finden – Gewinne aus seiner Firma in eine schwarze Kasse verlagern möchte, wird das Risiko nach einer Strafanzeige aufzufliegen kaum in Kauf nehmen. Von Seiten der ESTV sind jedoch keine der beiden vorgenannten Schritte zwingend vorgegeben.

Im Zusammenhang mit der MWST muss das Risiko, ob eine Bezugssteuer¹⁵ geschuldet wird, abgeklärt werden. Würde man einen Software-Spezialisten im Ausland bitten, die Daten wieder lesbar zu machen und bei ihm eine entsprechende Software einkaufen, würden zweifelsohne die MWST-Folgen geprüft werden. Die Rechnung des Lieferanten müsste den Anforderungen von Art. 26 des Bundesgesetzes über die Mehrwertsteuer (MWSTG) entsprechen und zeigen, ob das ausländische Unternehmen in der Schweiz mit einer MWST-Nummer registriert ist.

Nach einer Lösegeldzahlung wird je nach Art der Dateiverschlüsselung ein Code und ggf. eine Software zur Wiederlesbarkeit der Dateien übermittelt. Die Leistung des Erpressers unterscheidet sich kaum von der einer legalen Softwarelieferantin. Ob die Zahlung an eine im Inland tätige Organisation geleistet wird, lässt sich mangels Nachweis des Empfängers nicht beweisen. Die ESTV teilte hierzu mit, dass mangels Leistungswillen des Lösegeldzahlenden kaum mit MWST-Folgen zu rechnen wäre, im Einzelfall könnte jedoch je nach Gegebenheit trotzdem eine MWST geschuldet sein.

Wer einem Unbekannten wissentlich via Kryptowährung ein Lösegeld zukommen lässt, hilft bereits mit der Art der Zahlung mit, das Auffinden dieser Mittel zu vereiteln. Besteht das Risiko, dass der Unternehmung, welche das Lösegeld zahlt eine Untersuchung im Zusammenhang mit Geldwäscherei im Sinne von Art. 305^bis des Strafgesetzbuches (StGB) droht? Mit der Kryptowährungsabbuchung ist die Lösegeldzahlung, anders als eine Barzahlung die zuerst z. B. auf ein Bankkonto eingeschleust werden muss, je nach Vorgehensweise von Beginn weg versteckt und nutzbar. Ob sich das Lösegeld in Kryptowährung wirklich vollständig verschleiern lässt, ist jedoch umstritten.¹⁶ Bei strafrechtlichen Überlegungen muss zudem berücksichtigt werden, dass die das Lösegeld zahlende Unternehmung als Rechtfertigungsgrund einen Notstand geltend machen wird. Zu prüfen wäre trotzdem, inwieweit hier die Lösegeldzahlenden die Gefahr selbst in pflichtwidriger Weise herbeigeführt haben und ihnen somit für die Notstandshandlung ein Vorwurf gemacht werden kann.¹⁷ Das aktuelle Recht führt nicht mehr explizit auf, dass der Notstand nicht selbst verschuldet entstehen darf.¹⁸ Es ist trotzdem davon auszugehen, dass ein Fall wie im alten Recht formuliert beurteilt werden sollte.¹⁹ Eine Abklärung, ob eine Lösegeldzahlung wegen eines mangelhaft betreuten Computersystems erfolgte, könnte ein solches Selbstverschulden aufzeigen.
Würde jedoch z. B. eine Terror-Gruppe auf diese Art Geld generieren, könnte die Einschränkung in Art. 260^quiquies Abs. 2 StGB bei den Lösegeldzahlenden zu keiner Strafe führen. In Frankreich wird der Lafarge Holcim Konzern jedoch im Zusammenhang mit Schutzgeldzahlungen zur Sicherung ihrer Anlagen in Syrien die Finanzierung von terroristischen Vorhaben vorgeworfen (Bei diesem Fall handelt es sich nicht um Erpressung mittels Computerviren). Bei jeder Art von Erpressung einen Notstand geltend zu machen, ist somit nicht möglich.²⁰

Über eine Fallkonstellation im Sinne von Art. 102 StGB, bei der ein IT-Organisationsmangel zu einem Verbrechen oder Vergehen führte, welches keiner verantwortlichen Person zugeordnet werden konnte, und schlussendlich eine Busse zur Folge hatte, ist bis heute kein Urteil bekannt. Eine mangelhaft unterhaltene IT-Infrastruktur kann, schaut man auf die Häufigkeit von Presseberichten über Viren-Attacken, als ein in Kauf nehmen von einer solchen Attacke betrachtet werden. In Kauf nehmen wäre strafrechtlich gesehen ein Eventualvorsatz.²¹ Wer sein Computersystem nicht ordnungsgemäss schützt nimmt in Kauf, dass sein System einem anderen System einen Schaden zufügt. Wird mit einem Botnetz²² eine DDoS Attacke auf einen fremden Computer ausgeführt, können nicht nur Computer von Unternehmen, sondern auch ungeschützte Computer von Privatpersonen an der Attacke beteiligt sein. Der PC und die Gefährdungshaftung als neues Thema?

Es ist möglich, dass trotz oder gerade wegen eines professionellen Umgangs mit der IT-Sicherheit, ein Computervirus sich auf einem System ausbreiten kann. Updates werden in einem professionell betreuten System zentral gesteuert. Ein Update mit einer aktualisierten Virusabwehr wird erst mit einigen Tagen Verzögerung aufgeschaltet, weil zuerst abgeklärt werden muss, ob dieses Update mit allen Anwendungen des Unternehmens kompatibel ist. Sonst riskiert das Unternehmen, dass es zwar einen Security-Update installiert hat, aber z. B. die Anwendung für die tägliche Kundenbearbeitung nicht mehr funktioniert. Gewisse Antimalware-Updates sollen jedoch nicht verzögert werden können.²³

Der mittels Virus oder DDoS erpressten Unternehmung ist klar, dass mit einer Zahlung eine kriminelle Organisation unterstützt wird. Der Reputationsverlust bei einem Bekanntwerden wird jedoch häufig als grösseres Problem betrachtet, und deshalb wird trotzdem bezahlt. Auch auf eine Strafanzeige wird verzichtet, weil man nicht die Polizei im Haus haben will. Die Lösegeldzahlung vom obenstehend beschriebenen Fall der Firma Uber wurde trotz Meldepflicht verschwiegen und erst ein Jahr später bekannt gegeben.²⁴

Die Gesetze werden in Zukunft genauere Vorgaben über die Behandlung solcher Erpressungsfälle enthalten. Das aktuell diskutierte Bundesgesetz über die steuerliche Behandlung finanzieller Sanktionen könnte etwas Klarheit im Zusammenhang mit widerrechtlichen oder unsittlichen Aufwänden schaffen²⁵. Ein Postulat betreffend einer «Meldepflicht bei schwerwiegenden Sicherheitsvorfällen bei kritischen Infrastrukturen» wurde vom Nationalrat angenommen.²⁶ Der Bundesrat wird inzwischen für sein «mit angezogener Handbremse unterwegs» sein kritisiert.²⁷ Am 27. August 2018 wurde vom Bundesamt für wirtschaftliche Versorgung BWL ein IKT-Minimalstandard publiziert. Eine Pflicht zur Meldung von Vorfällen ist darin nicht enthalten. Die Publikation enthält Vorschläge zur Organisation der IT-Organisation und -Infrastruktur, um Cyber-Attacken zu verhindern. Die Ausführungen und Checklisten basieren auf internationalen Standards wie z. B. COBIT²⁸ und können als Best Practice Vorschlag betrachtet werden.²⁹

Wenn die Versorgung von Patienten in mehreren Spitälern wegen einem virenbefallenen System nicht mehr gewährleistet ist, spricht dies für eine generelle Meldepflicht.³⁰ Ebenso der Umstand, dass wegen eines Computervirus in Tschernobyl die Radioaktivität von Hand gemessen werden musste.³¹ Die Folgen, wenn ein Computer nicht virenbedingt ausfällt, sondern stattdessen falsche Resultate anzeigt, könnten verheerend sein. Eine Meldepflicht kann die Verbreitung von Computerviren vielleicht frühzeitig behindern oder den Ursprung des Computerschädlings besser zurückverfolgen lassen. Mit der Pflichtmeldung hätte ein Unternehmen auch einen Beleg, der die steuerliche Abzugsfähigkeit der Lösegeld-Buchung begründen hilft.

Unabhängig von den steuerlichen oder strafrechtlichen Fragen ist bereits heute mit Blick auf die möglichen zivilrechtlichen Folgen ein Unternehmen wie auch seine Organe gut beraten, die IT-Sicherheit laufend zu überwachen und die getroffenen Massnahmen zur Abwehr von möglichen Schäden zu dokumentieren.³² Eine nachlässig organisierte IT-Kontrolle kann nicht mit einem «Innovationsstreben» oder einer «schöpferischen Risikobereitschaft» entschuldigt werden.³³ Ein Organ muss sich beraten lassen, wenn es in einem Bereich unerfahren ist, und auch mit dieser Beratung darf es sich «nicht blindlings» auf dieses Urteil verlassen».³⁴ Die Reederei Maersk musste wegen eines (ursprünglich von der NSA³⁵ hergestellten) Virus ihr ganzes Computersystem wiederherstellen. Der Schaden betrug USD 300 Mio.³⁶ Angesichts solcher Summen könnte ein Aktionär zurecht unbequem werden. Gut beraten ist, wer den Versicherungsschutz für das Unternehmen wie auch für dessen Organe abklärt.

Die Postfinance übernimmt im E-Finance-Bereich bei finanziellen Schäden ihrer Kunden aus Phishing³⁷ bzw. Malware-Angriffen bis zu CHF 100’000 pro Fall.³⁸ Nicht gedeckt werden Schäden, die auf grobe Fahrlässigkeit des Kunden zurückzuführen sind. Dies dürfte wohl jene Kunden treffen, die kein Antivirusprogramm auf ihrem PC oder Smartphone installiert haben und trotzdem via einem solchen Gerät online arbeiten. Diese Einschränkung entspricht in Etwa dem Vorgehen bei einem Selbstverschulden, wie es im Zusammenhang mit dem Notstand thematisiert wurde.

Sikander von Bhicknapahari, lic.iur. / dipl. Experte in Rechnungslegung&Controlling, Freischaffend als Jurist und Controller, Dozent für Recht und Rechnungslegung an verschiedenen Instituten.