Berechnung der hohen Kosten von Datenschutzverletzungen im Jahr 2021

Wenn wir über Datenschutzverletzungen sprechen, wird häufig nur auf die „Datensätze“ Bezug genommen, die offengelegt wurden. Das Problem dabei ist, dass uns der Kontext fehlt, wenn wir die Kosten von Datenschutzverletzungen nicht berücksichtigen. Schließlich gibt es kaum ein anschaulicheres Beispiel für die Auswirkungen auf ein Unternehmen als die Tatsache, in welchem Umfang sich diese auf das Geschäftsergebnis auswirken.

In diesem Artikel werden wir uns mit folgenden Themen befassen:

• Warum es zu Datenschutzverletzungen kommt.
• Die wichtigsten Faktoren, die die Kosten von Datenschutzverletzungen beeinflussen.
• Durchschnittliche Kosten einer Datenpanne.
• Beispiele für Datenschutzverletzungen in den Jahren 2020 und 2021.
• Wie hoch die Kosten dieser Datenschutzverletzungen möglicherweise waren.
• Was Ihr Unternehmen tun kann, um die Auswirkungen abzumildern.

(Falls Sie wenig Zeit haben, finden Sie am Ende des Artikels eine kurze Zusammenfassung.)

Warum kommt es zu Datenschutzverletzungen?

Wir unterscheiden drei Hauptkategorien von Ursachen für Datenschutzverletzungen: menschliches Versagen, böswillige Angriffe und Systemstörungen.

Dank eines Berichts von IBM Security über die Kosten von Datenschutzverletzungen lässt sich jedoch feststellen, dass die technische Seite der Dinge nur selten allein dafür verantwortlich ist. Nein, in 75 % der Fälle liegt die Schuld bei den Menschen, die die Technologie nutzen – sei es durch menschliches Versagen oder durch böswillige Angriffe jeglicher Art.

Quelle: Bericht „Cost of Data Breach Report 2020“, IBM Security

Betrachtet man die Kategorie der böswilligen Angriffe etwas genauer, so wird deutlich, dass unsichere Cloud-Konfigurationen und schwache Passwörter einen Großteil der Schuld tragen. Beides lässt sich tatsächlich durch regelmäßige Schulungen zur Sensibilisierung für Sicherheitsfragen und eine wirksame Sicherheitsrichtlinie eindämmen.

Quelle: Bericht „Cost of Data Breach Report 2020“, IBM Security

Die Komplexität moderner Sicherheitssysteme hat zweifellos dazu geführt, dass Sicherheitsteams vor immer größeren Herausforderungen stehen. Da verschiedene Bereiche des Unternehmens zunehmend auf externe Software zurückgreifen müssen, eröffnet dies einen weiteren Angriffsvektor, gegen den Schutzmaßnahmen ergriffen werden müssen. Auch Phishing-Angriffe lassen sich als potenzieller Angriffsvektor kaum außer Acht lassen, da sie 14 % aller böswilligen Datenverletzungen ausmachen.

Berechnung der Kosten von Datenschutzverletzungen

Es gibt viele Faktoren zu berücksichtigen, wenn wir versuchen wollen, die voraussichtlichen Kosten einer Datenpanne zu ermitteln, doch im Wesentlichen lassen sich diese in vier wesentliche Kostenbereiche unterteilen:

• Erkennung und Eskalation: Darunter versteht man alle Maßnahmen, die ein Unternehmen ergreift, um eine Sicherheitsverletzung aufzudecken, wie beispielsweise Audit-Dienstleistungen.
• Hinweis: Sobald eine Organisation festgestellt hat, dass ein Problem vorliegt, muss sie nicht nur mit den betroffenen Personen, sondern auch mit den Aufsichtsbehörden, Rechtsexperten und Beratern im Bereich des Datenschutzrechts kommunizieren.
• Umsatzverluste: Je nach Art des Sicherheitsvorfalls kann es bei einem Unternehmen zu Betriebsausfällen kommen, die sich negativ auf den Umsatz auswirken; langfristig muss das Unternehmen zudem mit einem Imageschaden rechnen.
• Reaktion im Nachhinein: Nachdem die Sicherheitsverletzung eingetreten ist und die betroffenen Nutzer benachrichtigt wurden, kommt es zu einer Flut von Anfragen, potenziellen Rechtskosten, Geldbußen und möglicherweise auch zu Angeboten und Rabatten, um das angeschlagene Ansehen ein wenig wiederherzustellen.

Neben diesen Hauptkostenfaktoren gibt es noch einige weitere Aspekte, die wir berücksichtigen können. So variieren beispielsweise die Kosten pro Datensatz je nach Land und Branche, wobei Datensätze aus dem US-Gesundheitswesen am teuersten sind.

Hinzu kommt die Art der Daten selbst. Personenbezogene Daten (PII) von Kunden sind die kostspieligste und bei weitem am häufigsten betroffene Datenart. Insgesamt lässt sich jedoch feststellen, dass die durchschnittlichen Kosten pro Datensatz bei kleinen bis großen Datenschutzverletzungen bei beunruhigenden 146 US-Dollar liegen.

Quelle: Bericht „Cost of Data Breach Report 2020“, IBM Security

Wir sprechen von „klein bis groß“, da es noch einen weiteren, an der Größenordnung orientierten Kostenfaktor gibt:

Der gefürchtete„Mega-Datenleck“.

Jeder Datenverstoß, bei dem mehr als 1 Million Datensätze betroffen sind, wird als „Mega-Datenverstoß“ definiert; er stellt für die betroffenen Organisationen das absolut schlimmste Szenario dar. Dies sind auch die Datenverstöße, von denen wir am häufigsten hören – schlichtweg, weil sie so umfangreich sind.

Quelle: Bericht „Cost of Data Breach Report 2020“, IBM Security

Da es sich um so umfangreiche Vorfälle handelt, müssen sie zudem getrennt von den kleinen bis hin zu den großen Datenschutzverletzungen analysiert werden; andernfalls würden sie die Zahlen verzerren.

Aktuelle Datenschutzverletzungen und deren Kosten

Anhand der oben genannten Zahlen lässt sich abschätzen, wie hoch die Kosten für diese Unternehmen bei einigen der besonders viel beachteten Datenschutzverletzungen waren.

Ohne bestimmte Reihenfolge geben wir Ihnen hier einen Überblick über einige der größeren Datenschutzverletzungen, die in den letzten gut 12 Monaten aufgetreten sind, sowie über die damit verbundenen Kosten.

533 Millionen – Facebook, 3. April 2021

Geschätzte Kosten: 3,7 Milliarden Dollar

Art der offengelegten Daten: Telefonnummern, Geburtsdatum, Standorte (einschließlich historischer Daten), vollständiger Name, einige E-Mail-Adressen.

Anfang April 2021 wurde bekannt, dass die personenbezogenen Daten von mehr als einer halben Milliarde Facebook-Nutzern offengelegt worden waren. Facebook verzichtete darauf, die betroffenen Nutzer zu benachrichtigen (möglicherweise aus Kostengründen, da wir wissen, dass Benachrichtigungen und nachträgliche Maßnahmen zwei der größten Kostenfaktoren darstellen), nachdem deren Daten durch Ausnutzung einer Sicherheitslücke in einer inzwischen eingestellten Funktion abgegriffen worden waren.

250 Millionen – Microsoft, 22. Januar 2020

Geschätzte Kosten: 1,8 Milliarden US-Dollar

Art der offengelegten Daten: E-Mail-Adressen, IP-Adressen, Chat-Protokolle.

Das Jahr 2020 hatte gerade erst begonnen, da gab Microsoft bereits eine schwerwiegende Datenschutzverletzung bekannt. Zwar wurden keine konkreten Zahlen genannt, doch Schätzungen gehen von 250 Millionen betroffenen Datensätzen aus. Diese Datensätze enthielten E-Mail- und IP-Adressen sowie Chat-Protokolle zwischen Support-Mitarbeitern und Kunden. Microsoft räumte ein, dass dieser Datenverstoß auf eine „Fehlkonfiguration einer internen Kundensupport-Datenbank“ zurückzuführen sei.

9 Millionen – EasyJet, 12. Mai 2020

Geschätzte Kosten: 50 Millionen Dollar

Art der offengelegten Daten: Kredit- und Debitkarten

Im Mai 2020 gab EasyJet bekannt, dass bei einem von dem Unternehmen als „äußerst raffinierter Cyberangriff“ bezeichneten Vorfall auf 9 Millionen Kundendatensätze „zugegriffen“ worden sei. Dieser Angriff kam für EasyJet zu einem ungünstigen Zeitpunkt, da die Auswirkungen der Pandemie gerade erst spürbar wurden und Kreditkartendaten betroffen waren. Dies führte zudem dazu, dass sich 10.000 Personen einer Sammelklage gegen EasyJet anschlossen. Je nach Ausgang dieses Verfahrens könnte sich die geschätzte Summe von 50 Millionen Dollar auf mehrere Milliarden erhöhen, da jedes der Opfer möglicherweise Anspruch auf 2.500 Dollar hat.

5,2 Millionen – Marriott, 31. März 2020

Geschätzte Kosten: 50 Millionen Dollar

Art der offengelegten Daten: Namen, Adressen, einige Telefonnummern und E-Mail-Adressen

Der Hotelgigant Marriott gab bekannt, dass die Daten von 5,2 Millionen Gästen offengelegt wurden, nachdem Hacker an die Anmeldedaten zweier Mitarbeiter gelangt waren. Dies geschah zusätzlich zu einem früheren Datenleck im Jahr 2018, als eine Tochtergesellschaft von Marriott gehackt wurde und dabei Millionen unverschlüsselter Passnummern und Kreditkartendaten offengelegt wurden.

Was kann Ihr Unternehmen tun, um die Auswirkungen abzumildern?

Es ist offensichtlich, dass Organisationen jeder Art und Größe nicht völlig immun sind. Ob nun aus Unachtsamkeit oder böswilliger Absicht – solange Menschen mit Maschinen interagieren, wird es immer Schwachstellen geben.

Außerdem wird es Menschen geben, die bereit und in der Lage sind, diese Schwachstellen auszunutzen.

Es ist jedoch nicht alles nur düster, denn es gibt zahlreiche Maßnahmen, die Ihr Unternehmen sofort ergreifen kann, um das Risiko einer Datenpanne zu verringern.

Quelle: Bericht „Cost of Data Breach Report 2020“, IBM Security

• Tests zur Reaktion auf Sicherheitsvorfälle: Zu wissen, was im schlimmsten Fall zu tun ist, kann Ihrem Unternehmen über 230.000 Dollar einsparen. Tools für das Incident-Management helfen Ihnen dabei, alle beteiligten Komponenten zu bündeln, und verschaffen Ihnen einen Überblick über den Lebenszyklus eines Vorfalls, sobald dieser eintritt. Es ist jedoch ebenfalls von entscheidender Bedeutung, dass Sie all dies durch simulierte Angriffe auf die Probe stellen. Nicht nur das IT-Team sollte in die Tests einbezogen werden. Alle Mitarbeiter, vom Vertriebsmitarbeiter bis zum Support-Mitarbeiter, sollten einbezogen werden. Dies gilt insbesondere angesichts der sich ständig weiterentwickelnden Bedrohungen wie Phishing und Ransomware. 96 % aller Datenlecks gehen auf E-Mails zurück, doch die Durchführung simulierter Phishing-Angriffe zur Vorbereitung Ihres Teams muss weder kostspielig noch zeitaufwendig sein.

• Schulungen zur Sensibilisierung für Sicherheitsfragen: Die zunehmende Verbreitung von Telearbeit hat eine weitere Schwachstelle geschaffen, da Mitarbeiter potenziell unsichere Geräte und Verbindungen nutzen, um auf sensible Daten zuzugreifen. Daher können Schulungen zur Cybersicherheit für Mitarbeiter heute mehr denn je dazu beitragen, die Risiken (und potenziellen Kosten) von Datenschutzverletzungen zu verringern.

• Umfassende Verschlüsselung: Bei vielen vielbeachteten Datenlecks handelte es sich um Fälle, in denen sensible Daten in unverschlüsselten Dateien gespeichert waren, wobei Passwörter und Kreditkartendaten mitunter einfach unverschlüsselt im Klartext vorlagen. Die Einführung einer unternehmensweiten Verschlüsselung kann enorme Auswirkungen haben, setzt jedoch voraus, dass Ihre Mitarbeiter auf dem neuesten Stand sind. Dies führt uns nahtlos zur nächsten Lösung.

• Richtlinienverwaltung: Damit Lösungen wie Verschlüsselung funktionieren können, müssen Sie über eine wirksame Cybersicherheitsrichtlinie verfügen und – was noch wichtiger ist – sicherstellen, dass jeder weiß, was er zu tun hat. Bei herkömmlichen Ansätzen zum Richtlinienmanagement muss die Personalabteilung oft Teammitglieder hinterherlaufen und ihnen zunehmend verärgerte E-Mails schicken, in denen gefragt wird, ob sie die neue Cybersicherheitsrichtlinie gelesen und verstanden haben. Und falls das betreffende Teammitglied sie gelesen hat: Könnte es sie bitte unterschreiben und zurücksenden? Bitte? Stattdessen kann Ihr Unternehmen durch den Einsatz einer Plattform zur Verwaltung von Cybersicherheitsrichtlinien Wissenslücken bei den Mitarbeitern sowie Mängel in den Richtlinien aufdecken und die Kosten von Datenschutzverletzungen auf ein Minimum reduzieren.

TL;DR

• Sie können verheerende finanzielle Folgen haben: Weltweit kosten Datenpannen Unternehmen im Durchschnitt 2,8 Millionen Pfund pro Vorfall
• Die meisten Datenschutzverletzungen sind böswilliger Natur: Mehr als die Hälfte aller Datenschutzverletzungen ist auf böswillige Handlungen zurückzuführen.
• Wie meine Mutter immer sagte: „Vorausgehende Vorbereitung und Planung beugen schlechten Leistungen vor“: Die Einrichtung eines Notfallteams, das Testen Ihres Notfallplans, der Einsatz von Verschlüsselung und die Schulung Ihrer Nutzer gehören zu den Maßnahmen mit der größten Wirkung.