So berechnen Sie die Kapitalrendite (ROI) der Schulung Ihrer Mitarbeiter im Rahmen einer Sensibilisierungskampagne zum Thema Sicherheit.
Eine Studie des Ministeriums für Kultur, Medien und Sport (DCMS) ergab, dass 39 % der britischen Unternehmen im Jahr 2022 Opfer eines Cyberangriffs wurden. Die Kosten dieser Vorfälle sind nicht unerheblich. Der DCMS-Bericht bezifferte die finanziellen Auswirkungen eines einzelnen Cyberangriffs auf 19.400 £ für ein mittelständisches Unternehmen. Wenn man bedenkt, dass Unternehmen täglich der Gefahr von Cyberangriffen ausgesetzt sind, gibt dies Anlass zur Sorge.
Schulungen zur Sensibilisierung für Sicherheitsfragen gehören zu den Maßnahmen, mit denen sich die Wahrscheinlichkeit verringern lässt, dass ein Angriff stattfindet oder sich weiterentwickelt. Dies führt zu einer Senkung der durch einen Angriff verursachten Kosten. Doch rechtfertigt das Risiko eines Angriffs die Kosten für die Durchführung solcher Schulungen?
Zu berücksichtigende Faktoren bei der Berechnung des ROI einer Sensibilisierungskampagne zum Thema Sicherheit
Bevor man sich mit der Frage „Lohnt sich eine Sicherheitsschulung?“ befasst, ist eine Bestandsaufnahme der damit verbundenen Aspekte erforderlich. Ein Cyberangriff und/oder eine Datenpanne umfasst viele verschiedene Aspekte, die jeweils mit materiellen und immateriellen Kosten verbunden sind.
Hier finden Sie einen Überblick über einige der wahrscheinlichsten Kosten, die durch einen Cyberangriff entstehen können:
Der direkte finanzielle Schaden durch einen Cyberangriff
Die unmittelbaren Auswirkungen eines Cyberangriffs hängen sowohl von der Art des Cyberangriffs als auch von der jeweiligen Organisation ab. So kann beispielsweise ein Ransomware-Angriff die Zahlung eines Lösegelds erfordern (auch wenn eine Zahlung nicht als Strategie empfohlen wird). Es ist jedoch anzumerken, dass die Lösegeldsummen in den letzten Jahren gestiegen sind.
Einem Bericht von Nordlocker zufolge stieg die durchschnittliche Lösegeldzahlung um 78 %, wodurch sich das Lösegeld auf die atemberaubende Summe von 541.010 US-Dollar (478.000 Pfund) belief.
Zu den Kosten eines Cyberangriffs können auch Schäden an IT-Systemen, der Zeitaufwand für die Behebung der Folgen des Angriffs sowie Sammelklagen gehören: Im Vereinigten Königreich stieg die Zahl der Sammelklagen nach einem Cyberangriff zwischen 2018 und 2020 um 120 %.
Die durchschnittlichen Kosten eines Cyberangriffs sollten bei der Berechnung der Kapitalrendite (ROI) einer Sensibilisierungskampagne berücksichtigt werden. Dabei sollte jedoch auch die durchschnittliche Anzahl der Angriffe pro Jahr einbezogen werden. Laut dem DCMS-Bericht schätzen 31 % der Unternehmen und 26 % der gemeinnützigen Organisationen, dass sie mindestens einmal pro Woche angegriffen wurden.
Zeitaufwand und Arbeitsaufwand zur Eindämmung einer Sicherheitsverletzung
Eine der Folgen eines Cyberangriffs besteht darin, dass es schwierig ist, die Exploit-Kette aufzuspüren und den Schaden einzudämmen. Ein IBM-Bericht über die Kosten von Datenschutzverletzungen ergab, dass die durchschnittliche Zeit bis zur Eindämmung einer Datenschutzverletzung im Jahr 2022 bei 277 Tagen lag. Während dieser Zeit steigen die Kosten stetig an.
Sie sollten Ausfallzeiten von IT-Systemen, IT-Support sowie geschätzte Produktivitätsverluste in Ihre Berechnung des ROI einer Sensibilisierungskampagne zum Thema Sicherheit einbeziehen.
Rufschädigung
Reputationsschäden sind immateriell und daher schwer zu quantifizieren. Nach einem Cyberangriff, der zu einer Beeinträchtigung der Reputation führt, spielen jedoch zahlreiche Faktoren eine Rolle. Dazu gehört ein allgemeiner Vertrauensverlust, der sich auf Kunden, den Aktienkurs und das Partner-Ökosystem auswirkt.
Dieser Vertrauensverlust ist besonders gravierend, wenn Kunden ein Unternehmen nach einem Datenschutzvorfall verlassen. Eine Studie von YouGov und Okta ergab, dass 88 % der Kunden die Nutzung der Dienste eines Unternehmens einstellen, wenn sie das Gefühl haben, dass dieses nicht in der Lage ist, ihre Daten zu schützen.
Reputationsschäden lassen sich nur schwer quantifizieren und daher in eine Gleichung einbeziehen; möglicherweise verfügen Sie jedoch über Daten zum Kundenverlust, die aus Business-Intelligence-Lösungen (BI) stammen.
Nichteinhaltung und Bußgelder
Mehrere Datenschutzvorschriften, darunter PCI-DSS und die DSGVO, schreiben die Durchführung von Schulungen zur Sensibilisierung für Sicherheitsfragen vor oder empfehlen diese nachdrücklich. Wenn Sie daher nachweisen können, dass Ihre Organisation solche Schulungen durchführt, sollte dies bei etwaigen späteren Durchsetzungsmaßnahmen der Aufsichtsbehörden berücksichtigt werden.
Bei der Berechnung des ROI einer Sensibilisierungskampagne zum Thema Sicherheit sollten jedoch die in Ihrer Branche üblichen Kosten für Bußgelder aufgrund von Verstößen berücksichtigt werden.
Informationen zur Höhe der Bußgelder, die Ihrem Unternehmen nach einem Datenschutzverstoß auferlegt werden könnten, finden Sie auf der Website des Information Commissioner’s Office (ICO). So legen beispielsweise die britische DSGVO und das Datenschutzgesetz von 2018 (DPA 2018) ein Höchstbußgeld von 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes fest.
Versicherungsprämien
Laut einer Studie des Versicherungsunternehmens Hiscox planen 63 % der britischen Unternehmen, im Rahmen ihrer Strategie eine Cyberversicherung abzuschließen. Darüber hinaus können die Prämien gesenkt werden, wenn Sie das Risiko durch Schulungen zur Sensibilisierung der Mitarbeiter für Sicherheitsfragen verringern.
Beziehen Sie die Kosten für eine Cyberversicherung in die Rentabilitätsberechnung (ROI) Ihrer Sensibilisierungskampagne im Bereich Sicherheit als Teil Ihrer Gesamtkosten für die Sicherheitsstrategie mit ein.
Zu den weiteren ROI-Kosten zählen:
- Die Kosten für das Schulungspaket und etwaige Zusatzfunktionen, wie beispielsweise Schulungen zur Phishing-Simulation.
- Verwaltungskosten für die Durchführung des Programms.
- Ausfallzeit, die dadurch entsteht, dass ein Mitarbeiter Übungen im Rahmen der Sicherheitsschulung durchführt.
So berechnen Sie den ROI von Schulungen zur Cybersicherheit
Sobald Sie über die Daten verfügen, können Sie diese in eine ROI-Formel einsetzen. Glücklicherweise hat bereits jemand untersucht, wie sich eine Formel für Schulungen zur Sicherheitssensibilisierung ableiten lässt.
Eine ROI-Formel sieht in ihrer einfachsten Form wie folgt aus:
ROI = Berechnung des ROI von Sensibilisierungskampagnen zum Thema Sicherheit
Wo:
R = Rendite (Ertrag)
I = Investition (Kosten)
Wie Sie jedoch gesehen haben, ist die Berechnung von R und I im Sicherheitsbereich komplizierter, da dabei immaterielle Kosten wie beispielsweise Reputationsschäden eine Rolle spielen.
Glücklicherweise haben sich Fachleute aus der Sicherheitsbranche mit der Komplexität der Ermittlung des ROI für Investitionen in Sicherheitsschulungen befasst. Michael Coden stützt sich beispielsweise auf Forschungsergebnisse des Massachusetts Institute of Technology (MIT).
Eine Studie des MIT stützt die Berechnung der Kosten von Cybersicherheitsvorfällen auf die einzelnen Schritte, die zu einem solchen Vorfall führen. Auf der Grundlage dieser Forschungsergebnisse wurde ein Rahmenkonzept namens STACHT entwickelt. Unter Verwendung dieses Rahmenkonzepts hat Coden eine Formel zur Ermittlung des ROI von Cybersicherheitsprojekten (wie beispielsweise Schulungskampagnen zur Sensibilisierung für Sicherheitsfragen) entwickelt, die folgende Faktoren berücksichtigt:
Wo:
Wahrscheinlichkeit einer Kompromittierung (PC) = Bedrohungen multipliziert mit Schwachstellen
Auswirkung eines Kompromisses (IC) = Vermögenswert multipliziert mit den Verlusten, falls es zu einem Kompromiss kommt
Die Coden-Gleichung wird projektbezogen angewendet und gibt auf der Grundlage von Schätzungen den voraussichtlichen ROI an.
Eine eher qualitative Betrachtung des ROI von Kampagnen zur Sensibilisierung für Sicherheitsfragen
Bitte beachten Sie, dass sich die Berechnung des ROI von Schulungen zur Sensibilisierung für Sicherheitsfragen möglicherweise nicht darauf beschränken lässt, Daten in eine Formel einzugeben. Stattdessen kann bereits die Erstellung einer Liste potenzieller Kosten und Auswirkungen eines Cyberangriffs ausreichen, um zu belegen, dass sich solche Schulungen lohnen.
Der Mensch steht weiterhin im Fokus der Cyberkriminellen; sollte es eine Möglichkeit geben, diesen Kreislauf zu durchbrechen, würde dies natürlich zu einer Verringerung des Risikos und der Kosten führen.
In einem Bericht von Osterman wurden Schulungen zur Cybersicherheit als „unverzichtbar“ für die Abwehr von Cyberangriffen bezeichnet. Der Bericht unterstreicht die Wirksamkeit von Sicherheitsschulungen; so zeigen die Daten beispielsweise, dass vor der Schulung nur 11 % der Mitarbeiter eine Phishing-E-Mail erkennen konnten, während nach der Schulung 64 % in der Lage waren, Phishing-Versuche zu erkennen. Solche Belege können bei der Ermittlung des Nutzens einer Sensibilisierungskampagne im Bereich Sicherheit äußerst aussagekräftig sein.