Uber-Uncool: Wissen wir wirklich, wie viele Datenschutzverstöße es gibt?

Laut dem im Januar 2017 veröffentlichten Data Breach QuickView Report belief sich die Gesamtzahl der im Jahr 2016 gemeldeten Verstöße auf satte 4.149! Nach allem, was wir wissen, ist dies jedoch möglicherweise nur die Spitze des Eisbergs.

Im Oktober 2016 kam es bei Uber in den USA zu einem ziemlich schwerwiegenden Datenverstoß. Uber wusste nicht nur davon, sondern zahlte den Tätern sogar 100.000 US-Dollar, um die Daten zu löschen und den Angriff geheim zu halten - eine Straftat nach dem Recht des US-Bundesstaates Kalifornien. Persönliche Daten von 57 Millionen Kunden und Fahrern wurden gestohlen, darunter Namen, E-Mail-Adressen, Telefonnummern und Nummernschilder. Mithilfe von Anmeldeinformationen, die von Uber-Ingenieuren auf Github - einem beliebten Code-Repository - zur Schau gestellt wurden, konnten die Hacker die Daten von Ubers Amazon Web Services-Konto herunterladen. Und ja, ob Sie es glauben oder nicht, die Daten waren unverschlüsselt!

Uber ist nicht der Einzige, wenn es darum geht, solche Vorfälle nicht zu melden. Laut einem Bericht des Institute of Directors (IoD) werden lediglich 28 % der Cyberangriffe den Behörden gemeldet. Laut der Crown Records Management Survey hält ein Viertel der IT-Mitarbeiter in der Pharmaindustrie Datenschutzverletzungen geheim. Sports Direct geriet Anfang des Jahres in die Kritik, weil das Unternehmen keine Informationen über einen Datenverstoß im September 2016 offengelegt hatte, von dem 30.000 Mitarbeiter betroffen waren. Darüber hinaus wurden Equifax und die Securities and Exchange Commission (SEC) wegen ihrer langen Verzögerung bei der Meldung eines schwerwiegenden Sicherheitsvorfalls heftig kritisiert.

Warum melden Unternehmen ihre Verstöße nicht?

Der erste und offensichtlichste Grund, warum Unternehmen nicht allzu gerne darüber schreien, wie sie von Cyber-Köchen ausgeplündert wurden, liegt im Schaden, den eine Datenschutzverletzung dem Ruf ihres Unternehmens zufügen kann, ganz zu schweigen von den Führungskräften . Natürlich könnten die Folgen, wenn ein Verstoß nicht gemeldet wird, noch viel schlimmer sein. Ein weiterer Faktor könnte sein, dass Unternehmen nicht wirklich wissen, welche Pflichten sie haben oder wie sie einen Verstoß melden können, wenn einer auftritt. Dem IoD-Bericht zufolge wussten beispielsweise 68 % der Befragten - mit Sitz im Vereinigten Königreich - nicht einmal von ActionFraud - dem britischen National Fraud & Cyber Crime Reporting Centre. Darüber hinaus stimmen zwar 90 % der Führungskräfte der Bedeutung der Cybersicherheit zu, doch nur etwa 50 % verfügten über eine formelle Sicherheitsstrategie und nur 20 % verfügten über irgendeine Art von Cyber-Versicherungspolice.

Was kann getan werden, um diese Situation zu beheben?

Wie Sie vielleicht bereits wissen, tritt bald die Datenschutz-Grundverordnung (DSGVO) in Kraft. Nach der DSGVO sind Organisationen verpflichtet, die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Feststellung eines schwerwiegenden Verstoßes zu benachrichtigen. Wird die zuständige Behörde nicht benachrichtigt, kann ein Bußgeld von 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes verhängt werden. Werden diese Bußgelder Unternehmen dazu ermutigen, ihre Datenschutzverletzungen offenzulegen? Sie sollten dies tun, obwohl dies auch von der Fähigkeit und/oder Bereitschaft der Aufsichtsbehörde abhängt, die Regeln durchzusetzen.

Lepide ist ein führender Anbieter von Echtzeit-Ereigniserkennungs- und Berichtssoftware, die es Unternehmen ermöglicht, Insider-Bedrohungen zu erkennen, die Verbreitung von Ransomware zu verhindern und Compliance-Herausforderungen zu meistern.