Xerox machte die Offenlegung eines Ransomware-Angriffs zu einem Verantwortungstest für die Dokumenteninfrastruktur

Zusammenfassung

• Xerox ist ein Fall von Verantwortung, da die öffentlichen Beweise zu den Meldungen von 2020 über Maze uneinheitlich sind: Die öffentlichen Berichte beschrieben Ransomware-Vorwürfe und eine angebliche Datenveröffentlichung, während die verfügbaren Unternehmensinformationen keine detaillierte Analyse nach dem Vorfall lieferten.
• Die zentrale Frage ist, wer die Segmentierung, Überwachung, Kontinuität der Dokumentendienste, den Datenumfang, die Kundenbenachrichtigung und den Nachweis, dass die Wiederherstellung dem in den öffentlichen Berichten behaupteten oder implizierten Risiko entsprach, kontrollierte.
• Dieser Artikel behandelt die Anschuldigungen von Leak-Seiten und die Medienberichterstattung als berichtete Beweise, nicht als vollständiges forensisches Fazit über die Systeme von Xerox.
• Die öffentlichen Dokumente von Xerox zu Sicherheit, Datenschutz, Produkten und Investoren werden als Nachweise für die Verpflichtungen gegenüber Kunden und den Risikorahmen verwendet, nicht als Beleg dafür, dass alle Kontrollen von 2020 wie vorgesehen funktionierten.
• Die bleibende Lehre ist, dass die Offenlegung eines Ransomware-Angriffs auf eine Dokumenteninfrastruktur bestätigte Fakten, wahrscheinliche betriebliche Gefährdung, Behauptungen der Angreifer und unbekannte forensische Details trennen muss.

Warum dieser Fall zu einer Risiko- und Verantwortungsakte gehört

Xerox machte den Nachweis einer Ransomware-Offenlegung zu einem Verantwortungstest für die Dokumenteninfrastruktur, da der öffentliche Auslöser kein gepflegter Unternehmensbericht war. Es war eine Mischung aus öffentlichen Berichten, Anschuldigungen, die der Maze-Ransomware-Operation zugeschrieben wurden, und begrenzten Beweisen von Kundenseite darüber, was genau bei Xerox passiert war. Berichte wiehttps://www.bleepingcomputer.com/news/security/maze-ransomware-gang-claims-to-have-breached-xerox-corporation/undhttps://databreaches.net/maze-ransomware-gang-claims-to-have-breached-xerox-corporation/sind daher nützlich als Chronologie und Belege für öffentliche Aussagen, aber sie allein können den Eindringweg, den Datenumfang, die Betriebsunterbrechung, die Kundengefährdung oder die rechtliche Haftung nicht feststellen. Die erste Disziplin in dieser Akte ist es, die Existenz einer gemeldeten Leak-Behauptung nicht in eine vollständige Verletzungserzählung zu verwandeln.

Der Unternehmenskontext ist wichtig. Xerox ist nicht nur eine Druckermarke. Das Unternehmen hat Managed-Printing-Dienste, Bürodienste, Dokumenten-Workflows, Geräteflotten, Software, Support, Verbrauchsmaterialien, Finanzierungsbeziehungen und Serviceverträge verkauft. Eine Ransomware-Behauptung, die ein solches Unternehmen betrifft, kann für kleine und mittlere Kunden von Bedeutung sein, da die Dokumenteninfrastruktur oft in der Nähe von Rechnungen, Personalakten, Verträgen, Versanddokumenten, gescannten Ausweisen, Servicetickets, Kundenkommunikation, Rechtsakten und internen Abläufen liegt. Öffentliche Seiten von Xerox wiehttps://www.xerox.com/en-us/about/security-solutions,https://security.business.xerox.com/en-us/,https://www.xerox.com/en-us/about/privacy-policyundhttps://www.xerox.com/en-us/information-securityliefern den Kontext von Vertrauen und Sicherheit, den das Unternehmen präsentiert und anhand dessen Kunden den Vorfall bewerten würden.

Die Verantwortungsfrage ist nicht, ob einer Ransomware-Gruppe geglaubt werden sollte. Sie sollte nicht als neutraler Prüfer behandelt werden. Das Problem ist, dass Ransomware-Gruppen öffentlichen Druck erzeugen können, indem sie Zugriff behaupten oder Stichproben veröffentlichen, während Unternehmen mit spärlichen oder juristischen Aussagen reagieren können. Kunden befinden sich dann zwischen zwei unvollständigen Erzählungen: einer interessierten Angreifererzählung und einer Unternehmenserzählung, die durch Ermittlungen, rechtliche Prüfung, Versicherungen, Verträge, Strafverfolgung und Reputationsmanagement eingeschränkt sein kann.

Die Öffentlichkeit sollte stattdessen eine praktische Kontrollfrage stellen: Wer hatte die Fähigkeit, zu verhindern, zu erkennen, einzudämmen, offenzulegen und die Behebung nachzuweisen?

Die Antwort beginnt innerhalb des Unternehmens, endet aber nicht dort. Xerox kontrollierte seine Netzwerkarchitektur, Identitäts- und Zugriffsverwaltung, Endpunktüberwachung, Pläne zur Kontinuität der Dokumentendienste, Kommunikationskanäle mit Kunden und Nachweise der Vorfallreaktion. Kunden kontrollierten ihre eigenen Dokumenten-Workflows, Gerätekonfigurationen, Druckserver, Authentifizierungsentscheidungen, vertragliche Anforderungen und Daten, die über von Xerox verwaltete Dienste gesendet wurden. Sicherheitsanbieter und Partner könnten Elemente der Erkennung, Reaktion, Sicherung oder verwalteten Infrastruktur kontrolliert haben.

Aufsichtsbehörden und Investoren kontrollierten bestimmte Offenlegungsanreize. Eine glaubwürdige Verantwortungsakte benennt diese Grenzen, ohne zu behaupten, dass öffentliche Quellen jedes private Protokoll offenlegen.

Der Fall gehört auch hierher, weil das Fehlen eines vollständigen öffentlichen Berichts selbst Teil des Beweisproblems ist. Die CISA-Dokumente zu Ransomware unterhttps://www.cisa.gov/stopransomwareundhttps://www.cisa.gov/news-events/news/ransomware-guide, die FBI-Ransomware-Hinweise unterhttps://www.fbi.gov/how-we-can-help-you/scams-and-safety/common-scams-and-crimes/ransomwareund die Vorfallreaktionsleitfäden wiehttps://www.cisa.gov/resources-tools/resources/incident-response-plan-irp-basicszeigen, was Organisationen rekonstruieren können sollten: Zeitplan, Umfang, Eindämmung, Wiederherstellung, betroffene Datenkategorien und Benutzeraktion. Wenn die öffentliche Akte diese Fakten nicht liefert, ist die richtige Schlussfolgerung nicht, sie zu erfinden. Die richtige Schlussfolgerung ist, dass Kunden und Risikoteams eine vollständige öffentliche Entscheidungsakte vermissten.

Die öffentliche Chronologie beginnt mit Berichterstattung, nicht mit einem vollständigen Unternehmensbericht

Die bestätigte öffentliche Chronologie ist eng. Im Jahr 2020 verknüpften öffentliche Berichte Xerox mit Maze-Ransomware-Behauptungen und einer angeblichen Datenveröffentlichung. Maze war damals weithin als Ransomware-Operation bekannt, die den Druck durch Verschlüsselung oder Störung mit dem Druck durch öffentliche Datenlecks kombinierte. Dieses allgemeine Ransomware-Muster wird in öffentlichen Kontrollquellen wie der MITRE ATT&CK-Technik zur Datenverschlüsselung unterhttps://attack.mitre.org/techniques/T1486/, den Referenzen zu Exfiltrationstechniken wiehttps://attack.mitre.org/techniques/T1567/und den CISA-Ransomware-Hinweisen beschrieben. Diese Quellen beweisen nicht, was bei Xerox passiert ist. Sie erklären, warum eine Behauptung auf einer Leak-Seite eine Verantwortungsfrage aufwirft, die von jedem Verschlüsselungsereignis getrennt ist.

Die fehlende Chronologie ist ebenso wichtig. Die öffentlich verfügbaren Dokumente liefern keine detaillierte, von Xerox verfasste Abfolge, die den ersten Eindringling, die erste Erkennung, die erste Eindämmung, betroffene Umgebungen, die Beeinträchtigung von Geschäftsdiensten, geprüfte Datenkategorien, Entscheidungen zur Kundenbenachrichtigung, Entscheidungen zur Mitarbeiterbenachrichtigung, die Einschaltung der Strafverfolgungsbehörden, die Wiederherstellung aus Backups und die Abschlusskriterien zeigt. Die SEC-Seite des Unternehmens unterhttps://www.sec.gov/edgar/browse/?CIK=108772und Xerox‘ Formular 10-K für 2020 unterhttps://www.sec.gov/Archives/edgar/data/108772/000010877221000007/xrx-20201231.htmsind nützlich für den Unternehmens- und Risikoberichtskontext, aber ein Risikofaktor in einem 10-K ist kein forensischer Vorfallbericht. Er informiert Anleger darüber, dass Cyberrisiken bestehen und wesentlich sein können. Er beantwortet in der Regel nicht die Kundenfrage, was bei einem benannten Ereignis passiert ist.

Diese Unterscheidung ist wichtig, weil die Zeit bei Ransomware keine einheitliche Zeit ist. Es gibt die Zeit der Kompromittierung, die Verweilzeit, die Erkennungszeit, die Eindämmungszeit, die Zeit der Verhandlung oder des öffentlichen Drucks, die Zeit der Dienstwiederherstellung, die Zeit der Benachrichtigung und die Zeit des langfristigen Datenmissbrauchs. Ein Unternehmen kann den Betrieb wiederherstellen, bevor es den Umfang der Exfiltration vollständig bestimmt hat. Es kann wissen, dass auf ein System zugegriffen wurde, bevor es weiß, ob Kundendaten betroffen waren.

Es kann zu dem Schluss kommen, dass ein Dienst nicht betroffen war, während es noch eine andere Umgebung untersucht. Es kann sagen, dass es keine Beweise für eine Schadenskategorie gibt, ohne das Fehlen bereits bewiesen zu haben. Eine gute Offenlegungsakte trennt diese Schritte.

Für Xerox-Kunden war die praktische Frage im Jahr 2020 nicht nur, ob der Name des Unternehmens auf einer Ransomware-Leak-Seite auftauchte. Es war die Frage, ob Dokumenten-Workflows, Managed-Printing-Dienste, Support-Portale, Gerätetelemetrie, Kundenverträge, Servicetickets, Mitarbeiterakten oder Lieferantendokumente im betroffenen Umfang lagen. Wenn die Antwort je nach Geschäftseinheit, Region, Dienst oder Kundenvertrag unterschiedlich ausfiel, sollte die öffentliche Akte klarstellen, dass dieser Umfang segmentiert war.

Wenn das Unternehmen es noch nicht sagen konnte, sollte die öffentliche Akte diese Unsicherheit bewahren und erklären, wann Kunden mehr erfahren würden.

Die Verantwortungsnorm beginnt daher mit der Chronologie: Was wurde berichtet? Was wurde bestätigt? Was wurde behauptet? Was blieb unbekannt? Die öffentlichen Berichte sind der Beweis, dass ein Ransomware-Offenlegungsproblem existierte. Sie sind nicht der Beweis für jede Datenbehauptung. Das Fehlen eines detaillierten öffentlichen Berichts hinterlässt eine Lücke, die Risikoteams ehrlich behandeln müssen, anstatt sie mit Annahmen zu füllen.

Beweise von Leak-Seiten sind Druckbeweise, keine neutralen Beweise

Ransomware im Maze-Zeitalter veränderte die Offenlegungsanreize für Unternehmen, da Angreifer öffentliche Leak-Seiten nutzten, um Schweigen zu erschweren. Eine Veröffentlichung auf einer Leak-Seite konnte Druck auf ein Unternehmen ausüben, Kunden alarmieren, Medienberichterstattung anziehen und regulatorische Fragen aufwerfen, bevor das Unternehmen seine interne Bewertung abgeschlossen hatte. Das macht den Inhalt der Leak-Seite nicht in jedem Detail zuverlässig. Angreifer haben Anreize, den Zugriff zu übertreiben, Dateien falsch zu kennzeichnen, Material wiederzuverwenden oder selektive Stichproben zu veröffentlichen.

Sie können auch echtes Material veröffentlichen. Verantwortung erfordert, beide Aussagen gleichzeitig zu halten.

Für Xerox müssen die öffentlichen Artikel über Maze-Behauptungen als Drittberichterstattung über eine öffentliche Behauptung behandelt werden. Die Behauptung ist wichtig, weil Kunden und Mitarbeiter sie nicht ignorieren können. Aber eine verantwortungsvolle Analyse muss „Maze hat behauptet“ von „Xerox hat bestätigt“ trennen. Dieselbe Trennung muss für Dateibeispiele, Screenshots, Verzeichnislisten und behauptete Datenmengen gelten. Ein Beispiel kann zeigen, dass bestimmtes Material existiert, ohne einen vollständigen Zugriff zu beweisen. Ein behauptetes Volumen kann Bedenken hervorrufen, ohne eine vollständige Exfiltration zu beweisen.

Ein fehlendes Unternehmensbekenntnis kann auf Unsicherheit, rechtliche Beschränkungen oder den Stand der Ermittlungen zurückzuführen sein; es beweist nicht, dass die Behauptung falsch ist.

Deshalb ist die Quellenbehandlung zentral. Die Sicherheitsseiten des Unternehmens wiehttps://www.xerox.com/en-us/about/security-solutionsundhttps://security.business.xerox.com/en-us/zeigen den Sicherheits- und Servicerahmen, den Xerox seinen Kunden präsentiert. Die Datenschutzdokumente wiehttps://www.xerox.com/en-us/about/privacy-policyzeigen den Kontext der Verarbeitung personenbezogener Daten. Die regulatorischen Einreichungen wiehttps://www.sec.gov/edgar/browse/?CIK=108772zeigen den Risikorahmen für Anleger. Unabhängige Leitfäden des NIST unterhttps://www.nist.gov/cyberframeworkund Vorfallreaktionsleitfäden unterhttps://csrc.nist.gov/pubs/sp/800/61/r2/finalzeigen, wie Organisationen Reaktionsbeweise strukturieren sollten. Keiner dieser Wege sollte auf eine einzelne Behauptung reduziert werden.

Das Verantwortungsproblem tritt auf, wenn Kunden aus partiellen Wegen Entscheidungen treffen müssen. Ein Beschaffungsteam muss möglicherweise entscheiden, ob eine Managed-Printing-Bereitstellung ausgesetzt werden soll. Ein Kundensicherheitsteam muss möglicherweise überlegen, ob mit Xerox verbundene Systeme isoliert werden sollen. Ein Mitarbeiter muss möglicherweise wissen, ob Personal- oder Gehaltsdaten offengelegt wurden. Ein kleines Unternehmen muss möglicherweise verstehen, ob gescannte Dokumente oder Servicedatensätze durch die betroffene Umgebung gelaufen sind.

Jede Entscheidung erfordert mehr als die Tatsache, dass eine Ransomware-Gruppe eine Behauptung aufgestellt hat.

Die öffentliche Akte muss daher fünf Beweisfragen beantworten. Erstens: Welche öffentliche Behauptung wurde aufgestellt und von wem? Zweitens: Was hat Xerox bestätigt oder dementiert? Drittens: Welche Datenkategorien wurden sichtbar behauptet oder später bestätigt? Viertens: Welche Dienste, geografischen Gebiete oder Systeme befanden sich im Umfang oder außerhalb des Umfangs? Fünftens: Welche Maßnahmen sollten Kunden oder Mitarbeiter ergreifen? Wenn eine Antwort nicht verfügbar ist, muss dies als unbekannt angegeben werden. Unsicherheit zu bewahren ist keine Schwäche.

Es ist der einzig vertretbare Weg, um zu vermeiden, dass Angreiferbehauptungen in Tatsachen verwandelt werden.

Die Dokumenteninfrastruktur verwandelt einen Unternehmensvorfall in eine Kundenschicksalsfrage

Ein Ransomware-Vorfall bei einem Anbieter von Dokumenteninfrastruktur wirft andere Fragen auf als ein Ransomware-Vorfall in einer rein internen Büroumgebung. Xerox-Kunden können Geräte, Managed-Printing-Dienste, Workflow-Tools, Scanprozesse, Cloud-verbundenes Druckmanagement und Supportdienste nutzen, die Geschäftsdokumente verarbeiten oder berühren. Die Sensitivität ist nicht einheitlich. Ein Druckauftrag für Marketingmaterial unterscheidet sich von einem Pass-Scan, einem Gesundheitsformular, einem Rechtsvertrag, einem Kreditakt oder einer Personalakte.

Der Anbieter kennt möglicherweise nicht den Inhalt jedes Kundendokuments, aber er kennt die Architektur, durch die diese Dokumente fließen.

Deshalb ist die Netzwerksegmentierung eine zentrale Verantwortungsfrage. Die öffentliche Frage ist nicht einfach, ob ein Ransomware ein Xerox-System erreicht hat. Es ist die Frage, ob die Kundendokumentumgebungen, Managed-Service-Plattformen, Supportsysteme, die interne IT des Unternehmens, Entwicklungsumgebungen, Abrechnungssysteme und Mitarbeitersysteme ausreichend getrennt waren, sodass eine Kompromittierung in einem Bereich nicht eine Kompromittierung in allen impliziert. Segmentierung, Least Privilege, Protokollierung, privilegierte Zugriffskontrolle, Backup-Trennung und Vorfallsisolation sind keine abstrakten Best Practices.

Sie sind die Kontrollen, die bestimmen, ob ein Kunde einen Ransomware-Bericht als eingegrenzt oder systemisch behandeln kann.

NIST SP 800-53 unterhttps://csrc.nist.gov/pubs/sp/800/53/r5/upd1/finalund die CIS-Kontrollen unterhttps://www.cisecurity.org/controlsbieten ein öffentliches Kontrollvokabular für Zugriffskontrolle, Prüfung, Wiederherstellung, Konfigurationsmanagement und Vorfallreaktion. Sie sind keine Xerox-spezifischen Schlussfolgerungen. Sie helfen zu definieren, welche Beweise nützlich wären: Identitätsgrenzen, privilegierte Zugriffsaufzeichnungen, Geräteverwaltungsgrenzen, Ergebnisse von Backup-Tests, Protokollaufbewahrung, Endpunkterkennungsabdeckung und eine dienstspezifische Auswirkungsmatrix. Ein Unternehmen muss nicht jedes sensible technische Detail offenlegen, um Kunden mitzuteilen, welche Kontrollkategorien geprüft wurden und welche Art von Grenze bestätigt wurde.

Druck- und Dokumenten-Workflows schaffen auch eine gemeinsame Grenze mit dem Kunden. Kunden können Druckserver, Treiber, Authentifizierung, Gerätespeicher, Adressbücher, Scan-to-E-Mail-Funktionen, Cloud-Repositorien, Pull-Print-Warteschlangen und Wartungszugriff konfigurieren. Xerox kann Geräte, Dienste, Software, Support oder Fernverwaltung bereitstellen. Die praktische Kontrollfrage fordert daher beide Parteien auf, den Datenfluss zu kartieren. Wenn ein Ransomware-Bericht den Anbieter betrifft, muss ein Kunde wissen, ob seine lokale Druckinfrastruktur mit der betroffenen Umgebung verbunden war.

Wenn ein Kundensystem kompromittiert ist, muss der Anbieter wissen, ob sein Fernsupportkanal zu einem Einstiegspunkt oder Datenpfad werden könnte.

Die öffentliche Akte von 2020 gab dem externen Leser diese vollständige Karte nicht. Diese Lücke muss die Schlussfolgerung prägen. Es wäre zu stark zu sagen, dass die gemeldete Maze-Behauptung eine Gefährdung von Kundendokumenten bewiesen hat. Es wäre zu schwach zu sagen, dass Kunden ohne eine detaillierte öffentliche Bestätigung keinen Grund hatten, schwierige Fragen zu stellen. Die Dokumenteninfrastruktur ist nah am operativen Gedächtnis. Ein Ransomware-Bericht, der ihren Anbieter betrifft, verdient daher eine strukturierte Antwort zu den Dienstgrenzen.

Dienstkontinuität ist mehr als die Tatsache, dass Drucker noch funktionierten

Der Ausdruck „Dokumentendienstkontinuität“ mag banal klingen, bis ein Unternehmen den Zugriff auf Druck-, Scan-, Workflow-, Service-Support, Verbrauchsmaterialien, Geräteverwaltung oder Dokumentenweiterleitung in einer Krise verliert. Kleine und mittlere Organisationen nutzen oft genau deshalb Managed-Printing- und Dokumentendienste, weil sie keine umfangreiche interne Supportkapazität vorhalten wollen. Diese Abhängigkeit schafft eine Verantwortung, wenn der Anbieter mit einer Ransomware-Behauptung konfrontiert wird. Die Auswirkung auf den Benutzer kann kein einzelner globaler Ausfall sein.

Es können verzögerte Serviceanrufe, ausgesetzter Supportzugriff, geänderte Fernverwaltungspraktiken, Störungen bei Abrechnung oder Beschaffung, Verzögerungen bei Geräte-Patches oder die vorübergehende Isolierung verbundener Systeme sein.

Die öffentlichen Berichte rund um den Maze-Vorfall bei Xerox haben kein gemessenes Protokoll von Kundenausfällen erstellt. Diese Unsicherheit ist wichtig. Ein Fehlen von Beweisen für einen öffentlichen Ausfall sollte nicht in eine große Betriebsstörung umgeschrieben werden. Aber es sollte auch nicht in einen Beweis umgeschrieben werden, dass das Kontinuitätsrisiko null war. Ein guter Vorfallbericht würde kritische Kundendienste, interne Unternehmenssysteme, Service-Support, Lieferkettenabläufe, Daten-Repositorien und Kundenportale unterscheiden.

Er würde sagen, was betroffen war, was nicht betroffen war, was noch geprüft wurde und wie Kunden ihre eigene Gefährdung bestätigen sollten.

Die Kontinuitätsnorm sollte praktisch sein. Kunden mussten wissen, ob mit Xerox verbundene Anmeldeinformationen widerrufen werden mussten, ob sich der Fernzugriff auf Dienste geändert hatte, ob Geräte-Firmware oder Verwaltungskonsolen geprüft werden mussten, ob Support-Tickets oder Anhänge betroffen waren und ob Kontinuitätskontrollen getestet worden waren. Die CISA-Grundlagen zur Vorfallreaktion unterhttps://www.cisa.gov/resources-tools/resources/incident-response-plan-irp-basicssind hier nützlich, da es nicht nur um technische Behebung geht. Es geht um Koordination, Kommunikation, Rollen und den Zeitplan der Entscheidungen.

Auch Vorstände und Beschaffungsteams brauchten Beweise. Ein Unternehmen, das Dokumentendienste kauft, könnte Fragen stellen, ob die Backups des Anbieters isoliert waren, ob die Ransomware-Eindämmung die Deaktivierung von Kundendiensten erforderte, ob Service-Level-Verpflichtungen eingehalten wurden und ob externe Einsatzkräfte den Umfang bestätigt haben. Wenn der Anbieter keine privaten forensischen Details veröffentlichen kann, kann er Kunden dennoch spezifische Antworten über vertragliche Kanäle geben. Öffentliche Verantwortung erfordert nicht die Offenlegung eines Netzwerkdiagramms.

Sie erfordert genügend Informationen, damit Kunden entscheiden können, ob sie Schutzmaßnahmen ergreifen müssen.

Das Risiko für kleine Kunden ist die Kostenabwälzung. Ein großer Anbieter kann Ermittlungs- und Wiederherstellungskosten intern absorbieren. Ein kleiner Kunde kann die Unsicherheit absorbieren: Personalzeit, dringende Anbieterprüfung, Versicherungsfragen, rechtliche Prüfung, vorübergehende Workflow-Änderungen und Kundenberuhigung. Wenn der Anbieter wenig sagt, vervielfacht sich die nachgelagerte Kostenlast auf die Kunden. Die Offenlegung der Dienstkontinuität ist daher keine PR-Frage. Sie ist eine Möglichkeit, unnötige defensive Arbeit zu reduzieren, indem Kunden Fakten erhalten, die sie nutzen können.

Die Bestimmung des Datenumfangs muss Mitarbeiter, Kunden, Verträge und Dokumente unterscheiden

Die Offenlegung eines Ransomware-Vorfalls wird oft verwirrend, weil das Wort „Daten“ für viele Kategorien verwendet wird. In einer Xerox-ähnlichen Umgebung könnten die möglichen Kategorien Mitarbeiterakten, Kundenkontaktdaten, Serviceverträge, Rechnungen, Geräteserviceaufzeichnungen, technische Support-Tickets, Beschaffungsunterlagen, Lieferantendokumente, Quell- oder Konfigurationsdateien, interne E-Mails, gescannte Kundendokumente oder Systemmetadaten umfassen. Öffentliche Berichte über einen angeblichen Datenleck sagen den Lesern nicht automatisch, welche dieser Kategorien betroffen waren.

Die Bestimmung des Datenumfangs ist eine Verantwortungspflicht, da verschiedene Kategorien unterschiedliche Maßnahmen nach sich ziehen. Mitarbeiterdaten können Identitätsschutzmaßnahmen und eine Arbeitsplatzmeldung erfordern. Kundendaten aus Verträgen können eine kundenspezifische Benachrichtigung und eine kaufmännische Prüfung erfordern. Technische Konfigurationsdaten können einen Identitätswechsel oder eine Architekturprüfung erfordern. Support-Tickets können erfordern, dass Kunden nach sensiblen Anhängen suchen. Gescannte Dokumente könnten Vertraulichkeitsverpflichtungen auslösen, die vom Inhalt und der Gerichtsbarkeit abhängen.

Eine einzige Aussage, dass „Daten betroffen oder nicht betroffen waren“, ist für diese Umgebung zu grob.

Die Datenschutzdokumente von Xerox unterhttps://www.xerox.com/en-us/about/privacy-policybieten einen öffentlichen Rahmen für die Verarbeitung personenbezogener Daten, während die Vertrauensdokumente des Unternehmens die Sicherheitslage liefern. Aber eine vorfallspezifische Datenumfangsakte würde mehr erfordern. Sie würde erklären, welche Geschäftseinheit die betroffenen Systeme besaß, ob die Daten Xerox-Mitarbeiter, Kunden, Endbenutzer, Geräte, Lieferanten oder interne Abläufe betrafen und ob Kunden etwas unter ihrer eigenen Kontrolle prüfen sollten. Wenn die Antwort noch unbekannt war, sollte das Unternehmen sagen, was noch untersucht wurde.

Die Unterscheidung zwischen „keine Beweise“ und „Beweis für fehlenden Zugriff“ ist wichtig. Ein Unternehmen kann sagen, dass es keine Beweise dafür hat, dass auf Kundendokumente zugegriffen wurde. Das kann bedeuten, dass Protokolle geprüft wurden und keinen Zugriff zeigten. Es kann auch bedeuten, dass die Untersuchung noch keine solchen Beweise gefunden hat oder dass die Protokolle nicht ausreichten, um das Fehlen zu beweisen. Kunden müssen die Stärke der Aussage kennen. Dieselbe Formulierung kann ein sehr unterschiedliches Beweisgewicht haben.

Die Regel für diese Akte ist es, schwache Beweise nicht in eine starke Schlussfolgerung zu verwandeln.

Hier zählen auch Datensouveränität und -lokalität. Xerox ist global tätig und Kunden können sich in verschiedenen Rechtsräumen mit unterschiedlichen Meldepflichten und Erwartungen befinden. Eine globale Vorfallsakte sollte nicht eine einheitliche rechtliche oder betriebliche Antwort annehmen. Ein Kunde in einer Gerichtsbarkeit benötigt möglicherweise andere Dokumentationen als ein Kunde anderswo. Eine gute Offenlegungsakte identifiziert gegebenenfalls die Geografie und erklärt, ob die Datenlokalität die Benachrichtigung beeinflusst hat.

Wenn die öffentlichen Beweise dieses Detail nicht preisgeben, sollte der Artikel es als unbekannt markieren, anstatt eine globale Gleichförmigkeit zu implizieren.

Offenlegung sollte Kunden nicht zwischen Schweigen und Angreiferbehauptungen wählen lassen

Krisenkommunikation in Ransomware-Fällen hat eine spezifische Belastung. Sagt das Unternehmen zu wenig, füllen die Angreifer die Lücke. Sagt das Unternehmen zu früh, kann es den Umfang falsch einschätzen. Verwendet es nur allgemeine Zusicherungen, können Kunden nicht handeln. Wiederholt es die Angreiferbehauptungen zu direkt, kann es sie verstärken. Die Verantwortungsnorm ist nicht maximale Offenlegung; es ist nützliche Offenlegung. Kunden benötigen bestätigte Informationen, die ausreichen, um während der laufenden Untersuchung angemessene Maßnahmen zu ergreifen.

Eine nützliche Offenlegung würde die bekannte Grenze des Ereignisses, den Betriebszustand, die untersuchten Kategorien, die von Kunden geforderten oder nicht geforderten Maßnahmen und den geplanten Aktualisierungszeitplan angeben. Sie würde vermeiden, Schweigen als Tugend zu behandeln.

Ein Unternehmen kann sagen, dass eine Ransomware-Gruppe Behauptungen aufgestellt hat, dass diese Behauptungen untersucht werden, dass bestimmte Dienste funktionieren, dass bestimmte Systeme isoliert wurden, dass es Beweise für den Zugriff auf bestimmte Daten gibt oder nicht, und dass Kunden direkt benachrichtigt werden, wenn ihre Informationen als im Umfang bestätigt werden. Diese Art von Aussage reduziert sowohl Panik als auch Selbstgefälligkeit.

Die seit 2020 verfügbare öffentliche Akte von Xerox hat keinen detaillierten öffentlichen Bericht mit diesen Elementen geliefert. Das beweist nicht, dass Xerox nicht privat mit betroffenen Parteien kommuniziert hat. Private Hinweise, Kommunikation mit Aufsichtsbehörden, Versicherern und Strafverfolgungsbehörden können außerhalb der öffentlichen Akte existieren. Aber die öffentliche Verantwortung ist durch das begrenzt, was Leser überprüfen können. Ein Kunde außerhalb der direkten Benachrichtigungsliste muss beurteilen, ob die öffentliche Akte für Beschaffung, Sicherheitsprüfung und Lieferantenrisikomanagement ausreicht.

Die SEC-Cyber-Offenlegungsregel von 2023 unterhttps://www.sec.gov/intelligence team/press-releases/2023-139ist als späterer regulatorischer Kontext relevant, da sie die Forderung der Anleger nach einer für die Entscheidungsfindung nützlicheren Offenlegung von Cybervorfällen und Risikomanagement widerspiegelt. Sie sollte nicht rückwirkend als Verpflichtung von Xerox im Jahr 2020 in diesem Artikel auferlegt werden. Ihr Wert ist vergleichend: Märkte und Regulierungsbehörden erwarten zunehmend von Unternehmen, dass sie Cyberrisiken so erklären, dass Entscheidungsträger sie nutzen können. Eine Ransomware-Offenlegung, die Kunden zwischen Angreiferbehauptungen und allgemeinen Risikofaktoren zurücklässt, ist ein schwaches Verantwortungsmodell.

Die Offenlegung muss auch nachhaltig sein. Eine erste Erklärung kann unvollständig sein. Nachfolgende Aktualisierungen sollten klarstellen, was sich geändert hat. Wenn sich eine frühe Annahme als falsch erweist, sollte das Unternehmen sie korrigieren. Wenn eine öffentliche Leak-Behauptung geprüft und als begrenzt befunden wird, sollte das Unternehmen die Grundlage auf angemessenem Niveau erläutern. Wenn eine Behauptung nicht gestützt wird, sollte das Unternehmen sagen, welche Beweise diese Schlussfolgerung stützen. Vertrauen wird durch dokumentierte Eingrenzung wiederhergestellt, nicht indem Vertrauen ohne Beweise gefordert wird.

Sicherheitsautomatisierung ist nur dann verantwortlich, wenn sie überprüfbare Beweise produziert

Ransomware-Prävention und -Erkennung hängen oft von automatisierten Kontrollen ab: Endpunkterkennung, Identitätswarnungen, Netzwerkanomalieerkennung, E-Mail-Filterung, Schwachstellenanalyse, Backup-Überwachung und Indikatoren für Datenverlust. Diese Werkzeuge sind wertvoll, aber sie schaffen nur dann Verantwortung, wenn sie Beweise liefern, die geprüft werden können. In einem Ransomware-Offenlegungsfall geht es nicht darum, ob ein Unternehmen Sicherheitstools besitzt.

Es geht darum, ob die Tools geholfen haben, den Eindringweg, betroffene Systeme, den Exfiltrationsversuch, den Privilegienmissbrauch, die laterale Bewegung und die Wiederherstellungsgrenze zu identifizieren.

MITRE ATT&CK-Techniken wiehttps://attack.mitre.org/techniques/T1486/für verschlüsselte Daten,https://attack.mitre.org/techniques/T1490/für die Hemmung der Systemwiederherstellung undhttps://attack.mitre.org/techniques/T1567/für die Exfiltration über Webdienste bieten ein öffentliches Vokabular für das, was Ermittler in Ransomware-Fällen suchen könnten. Sie beweisen nicht die Handlungen von Maze bei Xerox. Sie zeigen, warum Vorfallsbeweise sowohl die Auswirkung auf die Verfügbarkeit als auch das Risiko der Datenoffenlegung abdecken sollten. Ransomware ist nicht nur eine Geschichte von Festplattenverschlüsselung. Es kann eine Geschichte von Anmeldeinformationen, Exfiltration, Backup, Offenlegung und Erpressung sein.

Die Verantwortungsfrage ist, ob die Überwachung in der Lage war, diese Zweige zu unterscheiden. Wenn die Verschlüsselung verhindert wurde, aber Daten die Umgebung verlassen haben, ist das Risikoprofil anders als bei einem reinen Verschlüsselungsereignis. Wenn die Datenproben alt waren oder aus einer weniger sensiblen Umgebung stammten, ist das Risiko anders als bei aktuellen Kundendokumenten. Wenn Angreifer auf die Unternehmens-IT, aber nicht auf Managed-Service-Plattformen zugegriffen haben, benötigen Kunden diese Grenze.

Wenn die Protokolle nicht ausreichten, um einen dieser Punkte zu beweisen, muss das Unternehmen sagen, dass die Schlussfolgerung begrenzt ist.

Automatisierung kann auch versagen, indem sie Warnungen generiert, die nicht bearbeitet werden. Die öffentliche Akte zeigt nicht, ob dies bei Xerox passiert ist, daher sollte der Artikel es nicht behaupten. Aber eine forensische Offenlegung sollte dennoch beantworten, ob die Erkennung rechtzeitig erfolgte, ob die Eskalation funktionierte, ob privilegierte Anmeldeinformationen betroffen waren und ob Reaktionsmaßnahmen verzögert wurden. Dies sind Managementfragen, nicht nur technische Fragen.

Ein Tool kann erkennen; eine Organisation entscheidet, ob die Warnung einen Geschäftsprozess stoppt, ein System isoliert oder eine Kundenbenachrichtigung auslöst.

Die stärksten Belege für die Behebung würden Kategorien enthalten statt sensibler Details: Die Endpunkterkennungsabdeckung wurde erweitert, der privilegierte Zugriff wurde geprüft, die Segmentierungsregeln wurden geändert, die Backup-Wiederherstellung wurde getestet, die Exfiltrationsüberwachung wurde verbessert und die Kundenabhängigkeiten wurden kartiert. Ohne diese Belege können Kunden zu Recht fragen, ob der Vorfall genutzt wurde, um das Kontrollsystem zu verbessern, oder einfach, um die öffentliche Erzählung abzuschließen.

Risikofaktoren für Anleger sind keine Vorfallberichte für Kunden

Die Anlegereinreichungen von Xerox sind relevant, da Cyberrisiken den Betrieb, den Ruf, die rechtliche Gefährdung und die finanzielle Leistung beeinträchtigen können. Das Formular 10-K von 2020 unterhttps://www.sec.gov/Archives/edgar/data/108772/000010877221000007/xrx-20201231.htmfügt sich in dieses System der Unternehmensoffenlegung ein. Es hilft zu zeigen, wie ein börsennotiertes Unternehmen das Cybersicherheitsrisiko den Anlegern präsentiert. Aber Risikofaktoren für Anleger sind in der Regel allgemein. Sie warnen, dass Vorfälle auftreten können oder Konsequenzen haben können. Sie sagen einem Managed-Printing-Kunden in der Regel nicht, ob ein bestimmtes Support-Ticket, ein Dokumenten-Workflow oder ein Geräteverwaltungssystem betroffen war.

Diese Lücke zwischen der Offenlegung gegenüber Anlegern und der Offenlegung gegenüber Kunden ist wichtig. Ein börsennotiertes Unternehmen kann die Erwartungen an die Wertpapieroffenlegung erfüllen und gleichzeitig Kunden mit praktischen betrieblichen Fragen zurücklassen. Umgekehrt kann ein Unternehmen direkt mit betroffenen Kunden kommunizieren, was für die breite Öffentlichkeit nicht sichtbar ist. Eine faire Verantwortungsakte geht nicht davon aus, dass Anlegereinreichungen die vollständige Offenlegungsakte darstellen.

Sie besteht darauf, dass öffentliche Aussagen zu Risiko und Kontrolle mit vorfallspezifischen Beweisen verknüpft werden sollten, wenn ein Unternehmen öffentlich mit einem Ransomware-Vorfall in Verbindung gebracht wird.

Die späteren SEC-Dokumente zur Cyber-Offenlegung unterhttps://www.sec.gov/intelligence team/press-releases/2023-139zeigen, wie sich das regulatorische Umfeld hin zu einer strukturierteren Cyber-Governance und Berichterstattung über materielle Vorfälle entwickelt hat. Auch hier ist diese spätere Regel nicht der Maßstab, um jede Entscheidung von 2020 zu beurteilen. Sie ist der Beweis für den breiteren Verantwortungstrend: Anleger und Kunden benötigen gleichermaßen nutzbare Cyber-Informationen für die Entscheidungsfindung. Ein Ransomware-Vorwurf, der ein globales Dokumentendienstunternehmen betrifft, ist genau die Art von Ereignis, die die Grenzen der generischen Risikosprache aufzeigt.

Die rechtliche Haftung muss ebenfalls mit Vorsicht behandelt werden. Die öffentlichen Beweise in dieser Akte belegen nicht, dass Xerox gegen ein bestimmtes Gesetz verstoßen, einen bestimmten Kundenvertrag gebrochen oder einen quantifizierten Kundenverlust verursacht hat. Sie belegen, dass die öffentliche Akte Fragen zu Offenlegung, Vertrauen und Kontrolle aufgeworfen hat. Diese Fragen sind auch ohne ein endgültiges rechtliches Fazit legitim. Verantwortung ist weiter gefasst als rechtliche Haftung, aber sie sollte nicht vorgeben, ein Gerichtsurteil zu sein.

Für Beschaffungsteams ist die Anlegerakte ein Ausgangspunkt, kein Endpunkt. Sie sollten vorfallspezifische Zusicherungen, Zusammenfassungen unabhängiger Bewertungen, falls verfügbar, Aussagen zu Dienstgrenzen, Sicherheitsverbesserungen und vertragliche Benachrichtigungsmechanismen verlangen. Wenn ein Anbieter keine öffentlichen Details bereitstellen kann, kann er möglicherweise vertrauliche Details an Kunden weitergeben. Der entscheidende Punkt ist, dass jemand in der Lage sein muss, das Ereignis mit den Kontrollen und dem Kundenrisiko zu verknüpfen.

Wiederherstellungsnachweise müssen der Art des fraglichen Schadens entsprechen

Die Wiederherstellung nach einem Ransomware-Vorfall wird oft als Systemwiederherstellung beschrieben. Das ist notwendig, aber möglicherweise nicht ausreichend. Wenn das öffentliche Risiko die Datenoffenlegung umfasst, muss die Wiederherstellung auch die Bestimmung des Datenumfangs, die Benachrichtigung, die Überprüfung von Anmeldeinformationen, die Überwachung und die Beobachtungspunkte für Missbrauch umfassen. Wenn das öffentliche Risiko die Abhängigkeit von Kundendiensten umfasst, muss die Wiederherstellung die Dienstwiederherstellung und die Kommunikation mit Kunden umfassen.

Wenn das öffentliche Risiko die Dokumenteninfrastruktur umfasst, muss die Wiederherstellung die Gewissheit umfassen, dass Dokumenten-Workflows und verbundene Dienste nicht stillschweigend kompromittiert wurden.

Die stärksten Wiederherstellungsnachweise für Xerox-ähnliche Dienste hätten mehrere Teile. Sie würden die betroffene Umgebung identifizieren. Sie würden erklären, ob produktive Kundendienste betroffen waren und wenn ja, wie. Sie würden beschreiben, ob Kunden- oder Mitarbeiterdatenkategorien als im Umfang bestätigt wurden. Sie würden sagen, ob Fernsupport, Geräteverwaltung oder Kundenportale eine Änderung von Anmeldeinformationen oder Konfigurationsänderungen erforderten. Sie würden erklären, was Kunden tun sollten und was das Unternehmen bereits getan hatte.

Sie würden klarstellen, welche Fakten bestätigt waren und welche noch untersucht wurden.

Öffentliche Normquellen helfen, diese Reparaturakte zu definieren. Das NIST-Cybersecurity-Framework-Material unterhttps://www.nist.gov/cyberframeworkorganisiert die Funktionen Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Der NIST-Leitfaden zur Vorfallbehandlung unterhttps://csrc.nist.gov/pubs/sp/800/61/r2/finalbetont Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung sowie Aktivitäten nach dem Vorfall. Die CIS-Kontrollen unterhttps://www.cisecurity.org/controlsbieten eine praktische Checkliste. Diese Rahmenwerke schaffen keine Xerox-spezifische Schlussfolgerung. Sie zeigen, dass die Wiederherstellung Artefakte hinterlassen sollte: Entscheidungen, Protokolle, Umfang, Eindämmung, Lehren und Kontrolländerungen.

Das Vertrauen des Artikels ist mittel, da die öffentliche Akte nicht leer, aber unvollständig ist. Es gibt genügend öffentliche Berichte, um die Analyse eines Verantwortungsproblems bei der Ransomware-Offenlegung zu rechtfertigen. Es gibt nicht genügend öffentliche Beweise, um eine vollständige interne Ereigniskette zu behaupten. Dieses Vertrauensniveau muss jede Schlussfolgerung prägen. Die wahrscheinliche Verantwortungslast liegt bei der Partei, die die Systeme und die Kommunikation kontrollierte, aber spezifische Schlussfolgerungen zum Eindringweg, zu Datentypen und zum Kundenschaden bleiben durch die öffentlichen Beweise begrenzt.

Kunden haben auch eigene Wiederherstellungspflichten. Ein Xerox-Kunde, der verwaltete Dokumentendienste nutzte, sollte Vermögensinventare führen, wissen, welche Geräte und Dienste mit den Systemen des Anbieters verbunden sind, den Fernzugriff einschränken, Druckserver überwachen, Geräteanmeldeinformationen verwalten, eigene Dokumentenflüsse aufzeichnen und festlegen, welche Hinweise des Anbieters interne Maßnahmen auslösen. Die Verantwortung des Anbieters hebt die Governance des Kunden nicht auf. Sie bedeutet, dass Kunden nicht effektiv regieren können, wenn die Akte des Anbieters zu vage ist.

Derselbe Punkt gilt für die Prüfung von Versicherungen und Verträgen. Ein Ransomware-Vorwurf kann Kunden dazu zwingen, zu prüfen, ob ihre eigenen Meldepflichten für Cyberversicherungen, Lieferantenrisikoakten, Geschäftskontinuitätspläne und regulatorische Bewertungen ausgelöst wurden. Diese Fragen erfordern nicht den Beweis, dass jede behauptete Datei authentisch war. Sie erfordern ausreichende Beweise vom Anbieter, um eine vertretbare Entscheidung zu treffen. Sagt der Anbieter zu wenig, können Kunden überbenachrichtigen, überreagieren, Dienste unnötig aussetzen oder dort nicht handeln, wo Maßnahmen erforderlich waren.

Gibt der Anbieter eine sorgfältige Grenzaussage, können Kunden ihre Reaktion am tatsächlichen Risiko ausrichten. Deshalb müssen Wiederherstellungsnachweise verhältnismäßig, spezifisch und überprüfbar sein. Das Ziel ist nicht, ein Unternehmen zu bestrafen, weil es ermittelt, bevor es spricht. Das Ziel ist sicherzustellen, dass Kunden nicht Spekulationen anstelle operativer Fakten setzen müssen.

Was würde die Bewertung ändern

Mehrere Beweisarten würden diese Bewertung wesentlich verändern. Ein von Xerox verfasster Bericht nach dem Vorfall mit Systemgrenze, Zeitplan, betroffenen Datenkategorien und Belegen für Abhilfemaßnahmen würde die Verantwortungsschlussfolgerung stärken oder einschränken. Regulatorische Hinweise, Kundenbenachrichtigungsschreiben, Prozessdokumente oder bestätigte Datenschutzverletzungsmeldungen würden konkretere Beweise für den Datenumfang liefern. Unabhängige forensische Zusammenfassungen würden helfen, Angreiferbehauptungen von bestätigtem Zugriff zu unterscheiden.

Kundenberichte über Dienstunterbrechungen oder erforderliche Abhilfemaßnahmen würden die betrieblichen Auswirkungen klären. Umgekehrt würden starke Beweise dafür, dass die behaupteten Daten nicht von Xerox-Systemen stammten oder dass die betroffene Grenze Kundendienste ausschloss, den Fall einschränken.

Die derzeitige öffentliche Akte rechtfertigt keine Aussagen zum genauen Eindringvektor, zur Verweilzeit, zur Datenmenge, zur Anzahl der Kunden, zum Lösegeld, zur Zahlung, zur vollständigen Dienstunterbrechung oder zur endgültigen rechtlichen Haftung. Diese Fakten sind in der öffentlichen Akte, die für diesen Artikel verwendet wurde, unbekannt. Es ist möglich, dass private Hinweise oder Ermittlungen einige davon beantwortet haben. Es ist auch möglich, dass die öffentlichen Berichte nur eine teilweise oder umstrittene Sichtweise eingefangen haben. Der Artikel bewahrt daher die Unsicherheit, anstatt Lücken zu füllen.

Diese Unsicherheit macht den Fall nicht irrelevant. Ransomware-Offenlegung hat eine Verantwortungsfunktion, selbst wenn die zugrunde liegenden Fakten unvollständig sind. Die öffentliche Akte zeigt den Kunden, wie ein Unternehmen mit umstrittenen Beweisen umgeht. Gibt es genügend Informationen, um bestätigte Fakten von Behauptungen zu trennen? Erklärt es die Kundenaktion? Verknüpft es die Wiederherstellung mit dem Dienst- und Datenrisiko? Erkennt es die Unsicherheit an, ohne sie zur Vermeidung von Kommunikation zu nutzen? Dies sind Governance-Fragen und nicht nur Vorfallsfakten.

Für die Dokumenteninfrastruktur sollte die Beweislast höher sein als generische Zusicherungen. Xerox-Kunden haben möglicherweise auf das Unternehmen für Workflows angewiesen, die sensible Betriebsdokumente transportierten. Sie brauchten keine öffentliche Veröffentlichung sensibler forensischer Details. Sie brauchten eine vertretbare Aussage zu Grenze, Umfang, Maßnahme und Reparatur. Wo diese öffentlichen Beweise fehlen, bleibt die Risikoakte offen.

Diese offene Akte hat einen praktischen Nutzen. Sie sagt zukünftigen Lieferantenrisikoprüfungen, welche Beweise vor Unterzeichnung oder Verlängerung von Dokumentendienstverträgen anzufordern sind: Dienstgrenzaussagen, Fernzugriffskontrollen, Kundendatenverarbeitung, Benachrichtigungsauslöser, Ransomware-Wiederherstellungstests und der Nachweis, dass behauptetes Leak-Material nach einem reproduzierbaren Prozess geprüft würde. Die Lehre ist nicht, jeden Anbieter als bereits kompromittiert zu behandeln. Es ist, die nächste Offenlegung weniger abhängig von Angreiferbehauptungen oder Schweigen zu machen.

Die endgültige Schlussfolgerung ist daher abgewogen. Die öffentlichen Berichte machten Xerox zu einem Fall von Ransomware-Offenlegungsverantwortung. Die öffentlichen Beweise beweisen nicht jede Daten- oder Betriebsbehauptung. Die Verantwortungsanalyse folgt der praktischen Kontrolle: Xerox kontrollierte die Systeme, die Segmentierung, die Erkennung, die Wiederherstellung und die kundenorientierte Erklärung für seine eigene Umgebung; Kunden kontrollierten ihre lokale Nutzung der Dokumentendienste und sollten die notwendigen Fakten zum Handeln erhalten haben; die Angreifer kontrollierten den öffentlichen Druck, aber nicht die Zuverlässigkeit.

Ein ausgereiftes Offenlegungssystem würde die Lücke zwischen diesen Konten verringern, indem es den verifizierten Umfang sichtbar macht, die Unsicherheit bewahrt und eine Reparatur zeigt, die dem geprüften Schaden entspricht.