Wie viel kostet Sie eine Datenschutzverletzung und können Sie diese reduzieren?

Laut dem aktuellen Bericht „Trends in Cybersecurity Breach Disclosures“ belaufen sich die durchschnittlichen Kosten einer Datenschutzverletzung für ein börsennotiertes Unternehmen auf 116 Millionen US-Dollar.

Es ist jedoch zu bedenken, dass diese Zahl bei den größten Fällen verzerrt sein wird.

Der Bericht basiert auf 639 Cybersicherheitsverstößen seit 2011 und umfasst einige der größten Verstöße, die wir bisher gesehen haben, darunter:

• Der 2017 aufgedeckte Equifax-Verstoß kostete rund 2 Milliarden US-Dollar.
• Der Verstoß gegen Home Depot, der 2014 bekannt wurde, kostete rund 298 Millionen US-Dollar.
• Der 2013 aufgedeckte Target-Verstoß kostete rund 292 Millionen US-Dollar.
• Der 2018 aufgedeckte Marriott-Verstoß kostete rund 114 Millionen US-Dollar.
• Der 2012 aufgedeckte Facebook-Verstoß kostete rund 5 Milliarden US-Dollar.

Zudem ist zu beachten, dass rund 26 % der Unternehmen immer wieder ins Visier von Cyberkriminellen geraten. Zu diesen Unternehmen gehören Facebook, Sony, Amazon, Comcast und T-Mobile USA.

Laut Daten aus dem Jahr 2019 waren die Datentypen, an denen Hacker am meisten interessiert waren, Kundennamen, Adressen und E-Mail-Adressen, die jeweils 48 %, 29 % und 28 % ausmachten.

Im Jahr 2018 gehörten Namen und Kreditkartendaten zu den Arten von Informationen, die im Zuge einer Datenpanne am häufigsten gestohlen wurden. Außerdem haben wir von 2016 bis 2019 einen Anstieg der Zahl gestohlener Sozialversicherungsnummern (SSNs) um 500 % festgestellt.

In Bezug auf die Methoden, mit denen Cyberkriminelle an Daten gelangten, waren 34 % der Datenschutzverletzungen mit Malware verbunden, 25 % beruhten auf Phishing-Kampagnen, 20 % beinhalteten unbefugten Zugriff und 12 % waren die Folge falsch konfigurierter Systeme. Von den Organisationen, bei denen es zu einer Datenschutzverletzung kam, gaben 43 % die Art des Angriffs nicht bekannt.

In den meisten Fällen waren es die Sanierungskosten und der Kursverfall, die den größten finanziellen Schaden verursachten. Wie zu erwarten war, führte der Diebstahl von Finanzdaten zu den größten Verlusten.

Reaktionszeiten bei Datenschutzverletzungen

Dem Bericht zufolge dauerte es durchschnittlich 108 Tage, bis ein Datenschutzverstoß entdeckt wurde, und weitere 49 Tage, bis ein Verstoß offengelegt wurde.

Die längste aufgezeichnete „Verweildauer“ aller Vorfälle war mit Yahoo! verbunden. Es dauerte bis zu 1.649 Tage, bis die Datenpanne bekannt wurde. Der Verstoß wurde erstmals 2013 entdeckt und dann 2016 offengelegt. Yahoo! wurde von der Securities and Exchange Commission mit einer Geldstrafe von 35 Millionen US-Dollar belegt, weil es den Verstoß nicht rechtzeitig gemeldet hatte. Im Jahr 2017 hat Yahoo! wurde vom US-Telekommunikationsunternehmen Verizon übernommen.

Es ist zu beachten, dass es mit zunehmender Komplexität von Sicherheitsbedrohungen zwangsläufig länger dauern wird, bis sie erkannt und eingedämmt werden.

Heutzutage verlassen sich viele Unternehmen darauf, dass spezialisierte Auftragnehmer eine forensische Untersuchung durchführen, bevor sie die Behörden benachrichtigen.

Natürlich nehmen solche Untersuchungen Zeit in Anspruch, und obwohl es wichtig ist, ausreichend Beweise über den Vorfall zu sammeln, bevor der Verstoß der Öffentlichkeit bekannt gegeben wird, könnte ein Versäumnis, schnell zu handeln, darauf hindeuten, dass die internen Kontrollen des Unternehmens unzureichend sind. Dies könnte zu einem weiteren Reputationsschaden und noch höheren Kosten führen.

Laut dem „Cost of a Data Breach Report“ von IBM und dem Ponemon Institute aus dem Jahr 2019 gilt beispielsweise: Je länger es dauert, bis ein Unternehmen einen Sicherheitsvorfall erkennt und darauf reagiert, desto mehr Geld muss es in der Regel zahlen.

Organisationen, die über einen formellen, gut getesteten Incident Response Plan (IRP) verfügen, geben durchschnittlich 3,51 Millionen US-Dollar aus, um die Kosten eines Verstoßes zu decken, wohingegen Organisationen, die über keinen IRP verfügen, durchschnittlich 4,74 Millionen US-Dollar ausgeben.

Wie Sie sehen, ist es ein zweischneidiges Schwert. Es ist wichtig zu verstehen, was passiert ist, bevor der Verstoß offengelegt wird. Wenn es jedoch zu lange dauert, könnte es das Unternehmen am Ende mehr Geld kosten, als dieses Wissen wert ist.

Wie können Unternehmen die Kosten eines Verstoßes minimieren?

Die Reaktion auf Vorfälle ist in der Regel in Schlüsselphasen unterteilt, darunter: Vorbereitung, Identifizierung, Eindämmung, Beseitigung, Wiederherstellung und gewonnene Erkenntnisse.

Im Hinblick auf die Minimierung der Kosten eines Verstoßes sollte unser Hauptaugenmerk jedoch auf der Fähigkeit liegen, den Verstoß rechtzeitig zu erkennen, einzudämmen und offenzulegen.

Sobald der Verstoß offengelegt wurde, können Sie sicherstellen, dass der Verstoß behoben wurde, und anschließend Ihr System wieder in den Betriebszustand versetzen.

Um den Identifizierungsprozess zu beschleunigen, müssen Sie unbedingt Technologien verwenden, die Einblick in die betroffenen Datentypen und die Ereignisse vor dem Vorfall ermöglichen.

Zunächst ist es hilfreich, wenn Sie über eine präzise Bestandsaufnahme Ihrer Daten verfügen, wo diese gespeichert sind und wie die Daten klassifiziert sind. Wenn nur ein bestimmter Server betroffen war, können Sie anhand dieser Bestandsaufnahme eine fundierte Einschätzung der kompromittierten Daten vornehmen.

Eine Datenklassifizierungslösung durchsucht Ihr Dateisystem automatisch nach sensiblen Daten und klassifiziert die Daten auf der Grundlage der für Ihr Unternehmen relevanten Datenschutzgesetze. Dadurch wird die Durchführung einer forensischen Analyse erheblich vereinfacht.

Natürlich nützt die Datenklassifizierung allein nicht viel, aber sie wird den Prozess der Zuweisung von Zugriffskontrollen für kritische Vermögenswerte rationalisieren. Zusätzlich zu einer Datenklassifizierungslösung müssen Sie sicherstellen, dass Sie über ein detailliertes Protokoll aller Ereignisse im Zusammenhang mit Ihren sensiblen Daten verfügen.

Eine Datensicherheitsplattform aggregiert und analysiert Ereignisprotokolle aus mehreren Quellen, einschließlich der gängigsten Cloud-Plattformen.

Mit diesen Lösungen können Sie eine detaillierte Suche nach allen Ereignissen durchführen, die vor dem Vorfall stattgefunden haben. Die meisten Echtzeit-Auditing-Lösungen sind in der Lage, automatisch Berichte zu erstellen, die an die Anforderungen der wichtigsten Datenschutzbestimmungen angepasst sind.

Auch wenn für die Einführung dieser Lösungen zunächst Vorabkosten anfallen, können Sie damit den Aufsichtsbehörden die Einzelheiten eines Sicherheitsvorfalls schnell und effizient offenlegen und so möglicherweise deutlich mehr Geld sparen, als für die Lösung ausgegeben wurde.