Zusammenfassung

  • Die Melde-Seite des Australian Cyber Security Centre schickt Cyberkriminalität an die Polizei, sicherheitsrelevante Vorfälle und Schwachstellen an ASD's ACSC und Lösegeld- oder Cyber-Erpressungszahlungen an das Department of Home Affairs, gestützt auf section 27 des Cyber Security Act 2024.
  • Der Schutz, den dieselbe Seite dem Meldenden zeigt, ist allein die Überschrift „How ASD protects your privacy: limited use obligation“; im am 13. November 2026 erfassten Text stehen weder Frist noch Sanktion noch Umfang dieser Pflicht.

Die öffentliche Eingangstür für eine Meldung in Australien fragt nicht zuerst, was passiert ist. Sie fragt, in welche der Kategorien der Vorfall gehört. Die Antwort wechselt den Adressaten.

Liest man die Melde-Seite des Australian Cyber Security Centre als Instrument und nicht als Formular, liegt die Logik offen. Cyberkriminalität geht an die Polizei. Sicherheitsrelevante Vorfälle und Schwachstellen gehen an ASD's ACSC. Lösegeld- und Cyber-Erpressungszahlungen gehen an das Department of Home Affairs. Diese Zuordnung stellt die Seite des Zentrums selbst so dar; festgehalten ist hier, was am 13. November 2026 als Auszug des Suchanbieters erfasst wurde, nicht ein vollständiges Archiv der Seite.

Der Zahlungskorridor trägt ein Gesetzeszitat. Der Wortlaut lohnt langsames Lesen:

Report a ransomware or cyber extortion payment to the Department of Home Affairs. Under section 27 of the Cyber Security Act 2024, a reporting business entity has an obligation to report to the Government if you have made or are aware another entity has made on your behalf, a ransomware or cyber extortion payment.

Der Auslöser ist nicht nur das Geld, das die eigene Firma gezahlt hat. Er reicht auch auf den, der weiß, dass eine andere Einheit in seinem Namen gezahlt hat. Eine Organisation, die dem Erpresser keinen Cent überwiesen hat, kann innerhalb der Pflicht stehen, weil Versicherer, Berater, Managed-Service-Provider oder Muttergesellschaft die Forderung beglichen haben. Der Satz wächst nach oben und erreicht die Abteilung, die Dinge am spätesten erfährt und am schlechtesten dokumentiert.

Die Definitionsarbeit hängt an „reporting business entity“, und die Seite definiert den Begriff nicht. Der Adressat heißt „the Government“, und die Seite nennt als Korridor das Department of Home Affairs. Beides ist keine Spitzfindigkeit: dort entscheidet sich, ob die eigene Firma in der Pflicht steht und in wessen Händen der Datensatz bleibt.

Nun die andere Hälfte des Tauschs. Auf derselben Seite, in derselben Struktur, erscheint der Schutz, den der Meldende glauben soll, als Überschrift. „How ASD protects your privacy: limited use obligation“.

Eine Überschrift ist eine Einordnung, kein Umfang. Ein Umfang beantwortet vier Fragen. Welches Material ist erfasst: der Vorfallbericht, die Zahlungsmeldung, Anlagen, Namen von Verantwortlichen, die forensische Zeitachse. Welche Verwendungen sind erlaubt. Welche sind ausgenommen: Weitergabe an eine andere Aufsicht, Übernahme in ein Durchsetzungsverfahren, Veröffentlichung. Wie lange wird aufbewahrt, und wer außerhalb dieser Liste darf eine Verwendung genehmigen.

Der erfasste Text enthält keine dieser Antworten. Das ist eine begrenzte Feststellung über zwei Seiten am 13. November 2026, und dort endet sie. Nicht im gelesenen Material zu stehen heißt nicht, nirgends zu existieren.

Auf den am 13. November 2026 erfassten Seiten des Zentrums (Melde-Seite und report-and-recover-Seite) stehen weder eine Frist für die Meldung nach section 27 noch eine Sanktion für das Unterlassen, weder eine Definition von reporting business entity noch der Umfang der limited use obligation. Der beschlossene Text des Cyber Security Act 2024 war nicht Teil des für diese Darstellung gelesenen Materials, und nichts hier charakterisiert das Gesetz über das eine Zitat hinaus, das die Seite selbst druckt. Das Schweigen einer Hinweisseite ist nicht das Schweigen eines Gesetzes, und die ehrliche Lesart der Überschrift lautet: die Sache ist noch nicht entschieden.

Der Unterschied zählt, weil er bestimmt, wer beruhigt wird. Wenn ein Vorfall passiert, ruft die Öffentlichkeit ASD's ACSC an. Adressat der Zahlungspflicht ist über „the Government“ das Department of Home Affairs. Eine Seite, zwei Ziele, zwei Zuständigkeiten. Ein Vorstand, der das als eine einzige Pforte liest, unterstellt einen Datensatz, einen Schutz und einen Verantwortlichen. Tatsächlich ist es eine Fläche mit drei Korridoren, und die Rechenschaft muss über alle drei gebaut werden.

Was ein Meldender vor der Übergabe von Material über die Wand schriftlich bekommen sollte, ist unspektakulär und kurz: das Gesetzeszitat und die operativen Bedingungen statt der Zusammenfassung. Ob die eigene Firma reporting business entity ist, und woraus. Die Frist und den Moment, in dem sie zu laufen beginnt. Die Sanktion und ob sie straf- oder verwaltungsrechtlich ist. Zum Schutz: erlaubte Verwendungen, ausgenommene Verwendungen, Aufbewahrungsregel und die Stelle, die eine weitere Tür öffnen darf.

Wer das verlangt, macht aus der Überschrift ein Versprechen mit Eigentümer. Wer die Überschrift ohne das annimmt, überlässt den Umfang dem späteren Tag — und dem, der dann das Dokument in der Hand hat.

Das Australian Cyber Security Centre hat im Verzeichnis von BTW bereits einen früheren Artikel hinterlegt. Dieser Beitrag charakterisiert dessen Inhalt nicht; die Recherche dieses Laufs hat ihn nicht gefunden. Der Unterschied liegt hier im Gegenstand des Blicks. Kein Profil des Zentrums, sondern die Empfangsseite als Werkzeug, das entscheidet, wo die schlimmste Nacht einer Firma abgelegt wird.

Die Seite des Zentrums tut ihre Arbeit: sie sagt, welche Tür zu drücken ist. Was mit dem geschieht, was man hineinträgt, sagt sie noch nicht. Solange Verantwortlicher, Aufbewahrungsregel und Ausnahmeliste nicht neben dieser Überschrift stehen, übernimmt die meldende Organisation den Vorfall und die Ungewissheit im selben Paket.