- Anzeigen -
Besuchen Sie auch unser Zeitschriftenportfolio im Bereich Governance, Risk, Compliance & Interne Revision

Datenschutzgesetze machen Datenpannen teuer


Internationale Vergleichsstudie zu den Kosten von Datenmissbrauchsfällen
Gesetzesregelungen haben signifikante Auswirkungen auf die Schadenshöhe


(10.05.10) - Das auf die Technologiethemen Datenschutz und Informationsmanagement spezialisierte Marktanalyseunternehmen Ponemon Institute hat erstmals eine internationale Vergleichsstudie zu den Kosten von Datenmissbrauchsfällen durchgeführt. Die "2009 Annual Study: Global Cost of a Data Breach" erfasst die Auswirkungen von mehr als einhundert realen Fällen von Datenmissbrauch aus dem Jahr 2009. Unterstützt wurde diese Studie, an der 133 Unternehmen und Organisationen 18 unterschiedlicher Branchen aus den fünf Ländern Australien, Frankreich, Großbritannien, Deutschland und USA teilnahmen, von der PGP Corporation.

Die Untersuchung ergab international eine durchschnittliche Gesamtkostensumme von 3,43 Millionen US-Dollar für jeden einzelnen Fall von Datenmissbrauch; der Schaden lag damit im Schnitt bei 142 US-Dollar pro betroffenen Datensatz. Dabei ergaben sich deutliche Unterschiede zwischen den Ergebnissen für die einzelnen Länder - während beispielsweise in Großbritannien lediglich Kosten in Höhe von 98 US-Dollar pro kompromittierten Datensatz anfielen, lag dieser Wert in den USA bei 204 US-Dollar.

Als durchschnittliche Kosten eines Falles von Datenmissbrauch konnten für die an der Studie beteiligten Länder folgende Werte ermittelt werden:

Bild: PGP


Gesetzliche Vorgaben erhöhen die Kosten bei Datenpannen signifikant
Die Studie zeigt, dass die durch Datenpannen entstandenen Kosten in Ländern mit einer gesetzlich verankerten Veröffentlichungspflicht bei Datenmissbrauchsfällen signifikant höher sind als in Ländern ohne solche Gesetze. So lagen die Kosten pro betroffenen Datensatz beispielsweise in den USA, wo mittlerweile 46 der 50 Bundesstaaten eine Veröffentlichungspflicht eingeführt haben, um 43 Prozent über dem globalen Durchschnittswert. Die zweithöchsten Kosten entstanden in Deutschland, wo adäquate Gesetze seit Juli 2009 gelten; hier lag der Durchschnitt 25 Prozent über dem internationalen Vergleichswert. Dagegen wiesen die Länder Australien, Frankreich und Großbritannien, in denen die Veröffentlichungspflicht bei Datenpannen gesetzlich noch nicht festgeschrieben ist, im internationalen Vergleich unterdurchschnittliche Kosten pro kompromittierten Datensatz auf.

"Eine zentrale Schlussfolgerung aus den Ergebnissen dieser Studie ist, dass regulative Vorschriften deutlichste Auswirkungen auf die Höhe der Kosten von Datenpannen haben", so Dr. Larry Ponemon, Vorsitzender und Gründer des Ponemon Institutes. "Die Situation in den USA belegt dies und es ist klar, dass die Kosten auch in den anderen Ländern der Welt steigen werden, wenn dort eine Veröffentlichungspflicht bei Datenmissbrauchsfällen gesetzlich verankert wird."

In Großbritannien, wo bislang lediglich der öffentliche Dienst und Finanzorganisationen mit gesetzlichen Auflagen bei Datenmissbrauchsfällen konfrontiert sind, liegen die Kosten 45 Prozent unterhalb des globalen Durchschnitts und damit bei weniger als der Hälfte dessen, was US-Unternehmen im Schadensfall pro Datensatz durchschnittlich aufwenden müssen.

"Es kann kaum überraschen, dass die finanziellen Folgen einer Datenpanne in den USA, wo die Datenschutzgesetze nicht nur streng, sondern auch ausgereift sind, am schwersten wiegen. Wundern darf man sich dagegen über das relativ niedrige Kostenniveau in Großbritannien", so der Kommentar von Jonathan Armstrong, ein auf den Bereich Technologie spezialisierter Anwalt der international renommierten Anwaltskanzlei Duane Morris. "Es wird interessant sein, zu sehen, wie steil die Kosten in Großbritannien zukünftig ansteigen werden, wenn die dortige Datenschutzbehörde - das U.K. Information Commissioner's Office - ihre Vorgaben für den Datenschutz einschließlich der avisierten hohen Geldstrafen bei Verstößen für alle Unternehmen konsequent umsetzt."

Umsatzeinbußen durch Vertrauensverluste verursachen den Großteil der Kosten
Mit einem Anteil von rund 44 Prozent an den durch Fälle von Datenmissbrauch verursachten Kosten bilden die entgangenen Umsätze den Hauptposten in der Schadensbilanz der betroffenen Unternehmen. Dies zeigt die Sensibilisierung der Verbraucher beim Thema Datenschutz auf und belegt die Auswirkungen der durch Datenpannen verursachten Imageverluste von Unternehmen bei der Bemühung um neue Kunden. Im Ländervergleich zeigten sich dabei deutliche Unterschiede - am stärksten betroffen waren US-amerikanische Unternehmen, bei denen entgangene Umsätze durchschnittlich 66 Prozent der Gesamtkosten eines Datenmissbrauchsfalls ausmachten.

Bild: PGP


"Unabhängig vom Standort eines Unternehmens leidet sein Ruf, wenn bekannt wird, dass es fahrlässig mit vertraulichen Daten umgeht", so Phillip Dunkelberger, President und CEO der PGP Corporation. "Daten sind ein wichtiges Kapital, das geschützt werden muss. Immer mehr Länder verabschieden verschärfte Datenschutzvorschriften und Gesetze, die Unternehmen eine Veröffentlichungspflicht im Falle einer Datenpanne auferlegen. Denn sie haben erkannt, dass Kunden das Vertrauen in Unternehmen verlieren und abwandern, wenn es zu einer Datenpanne kommt."

Datenschutzgesetze beeinflussen die Kosten für die Aufdeckung und Aufarbeitung von Datenpannen maßgeblich
Die durch die Aufdeckung und Aufarbeitung verursachten Kosten im Falle eines Datenmissbrauchs lagen in Deutschland mit 52 US-Dollar pro betroffenen Datensatz am höchsten, was die Aufwendungen der Unternehmen und Organisationen in neue Sicherheitstechnologien und -prozesse aufgrund der erfolgten Novellierung der Datenschutzgesetze reflektiert.

In den USA, wo entsprechende Gesetze bereits seit 2005 gelten, nahmen die Kosten dagegen in den letzten Jahren ab und lagen 2009 bei 8 US-Dollar pro betroffenen Datensatz. Dies legt nahe, dass US-amerikanische Unternehmen die Zeit genutzt haben, effizientere Erkennungs- und Aufarbeitungsprozesse zu etablieren. Es ist davon auszugehen, dass sich die Kosten auch in den anderen Ländern reduzieren werden, wenn die initialen Aktivitäten zur Einhaltung verschärfter gesetzlicher und branchenspezifischer Regelungen absolviert und die entsprechenden Prozesse auf die Arbeitsabläufe besser abgestimmt wurden.

Bild: PGP


Mehr Kosten durch Pannen mit externer Beteiligung oder kriminellem Hintergrund
Wenn externe Partner oder Dienstleister für einen Datenmissbrauchsfall verantwortlich waren, stieg in allen fünf Ländern die Schadenshöhe aufgrund der für die Aufklärung notwendigen zusätzlichen Forensik- und Ermittlungskosten. Dabei zeigte es sich, dass die Steigerungsrate bei der Beteiligung Dritter in den einzelnen Ländern höchst unterschiedlich war - am niedrigsten in den USA mit 12 Prozent und am höchsten in Frankreich mit 116 Prozent.

Bild: PGP


Fälle von Datenverlust, resultierend aus bösartigen oder kriminellen Aktivitäten, verursachen ebenfalls höhere Kosten als der Durchschnitt, wobei französische Unternehmen die größten negativen Auswirkungen erfahren mussten. Der Anteil der Fälle von Datenmissbrauch ausgehend von böswilligen oder kriminellen Attacken nahm in allen Ländern zu und liegt im Bereich zwischen 24 und 54 Prozent der Gesamtfälle. Dies lässt die Schlussfolgerungen zu, dass IT-Organisationen mehr in geeignete proaktive Schutzmaßnahmen investieren sollten, um insgesamt die Kosten zu reduzieren.

Bild: PGP


Klare Kompetenzzuordnung reduziert Kosten von Datenpannen
In Fällen, in denen die Verantwortung für die Datensicherheit und die Abwicklung der Schadensbehebung klar an einen Datenschutzbeauftragten oder an ein Mitglied der Unternehmensleitung mit adäquater Funktion delegiert war, konnten Unternehmen oder Organisationen in allen fünf Ländern die durch Datenpannen entstehenden Kosten reduzieren. Allerdings verzichtet der Großteil der untersuchten Unternehmen bislang auf eine derartige Position innerhalb der Geschäftsführung oder auf die klare Zuordnung der Verantwortlichkeiten.

Bild: 6


"Mit der Tatsache, dass die Kosten im Falle eines Datenmissbrauchs unabhängig vom Standort des Unternehmens und der einzuhaltenden Gesetze dann sinken, wenn die Verantwortlichkeiten klar an ein Mitglied der Unternehmensleitung delegiert sind, zeigt diese Studie einen positiven Aspekt auf", so Dunkelberger weiter. "Unternehmen sind also gut beraten, solch eine Position möglichst umgehend in ihren Führungsreihen zu etablieren." (PGP: ra)

PGP: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Studien

  • Deutschland optimiert Kampf gegen CNP-Betrug

    Auch in diesem Jahr veröffentlicht das Analytiksoftware-Unternehmen Fico seine European Fraud Map, eine Übersicht der Entwicklungen im europäischen Kreditkartenbetrug. Dabei zeigt sich auf der in Zusammenarbeit mit dem Marktforschungsinstitut Euromonitor erstellten Karte für das Jahr 2020, dass trotz der globalen Corona-Pandemie einige europäische Länder ihre Verluste durch Kreditkartenbetrug signifikant senken konnten. Allerdings gibt es auch zahlreiche Länder, bei denen der Trend genau in die Gegenrichtung geht. Gerade Norwegen steht aktuell massiv im Fadenkreuz der Finanzkriminellen. Denn während die Entwicklung in der Vergangenheit durchaus positiv war, ist der Verlust durch Kreditkartenbetrug im vergangenen Jahr durch einen massiven Betrugsfall auf umgerechnet über 21,6 Mio. Euro gestiegen. Das entspricht einer Zunahme von knapp 46 Prozent seit 2017. Insgesamt hat in Norwegen auch, wie fast überall, der sogenannte "Card not present"-Betrug (CNP) den größten Anteil am gesamten Betrugsvolumen. Auch der großangelegte Angriff stützte sich auf CNP-Betrug nach Phishing-Attacken. Der Vormarsch von CNP-Betrug in den vergangenen Jahren lässt sich auf das starke Wachstum im Online-Shopping zurückführen, wobei zu hoffen ist, dass Lösungen wie 3D-Secure dazu beitragen, diese Entwicklung zu stoppen oder zumindest zu verlangsamen.

  • Verantwortung bei Unternehmen und Regierung

    Die Ergebnisse einer von OpenText in Auftrag gegebenen Verbraucherstudie zeigen, dass die Mehrheit der deutschen Verbraucher (81 Prozent) großen Wert darauf legt, Produkte zu kaufen, die aus ethischen und nachhaltigen Produktionsprozessen stammen. Beinahe drei Viertel (74 Prozent) der 2.000 Befragten möchte wissen, wo und wie die Produkte, die sie kaufen, bzw. deren Einzelteile, ursprünglich hergestellt wurden. Diese Informationen können ihre Kaufentscheidung signifikant beeinflussen. Um ethische Produkte zu erhalten, würde die Mehrheit (81 Prozent) sogar Komfortfaktoren wie zum Beispiel eine schnelle Lieferung aufgeben. Darüber hinaus würden 78 Prozent der Befragten mehr Geld für den Kauf ethisch unbedenklicher Produkte ausgeben: Ein Viertel (25 Prozent) der Befragten würde bis zu zehn Prozent mehr zahlen. Ein Drittel (33 Prozent) wäre dagegen bereit, 25-50 Prozent mehr zu zahlen. Aus Sicht der Verbraucher liegt die Verantwortung über die ethische Beschaffung von Produkten bei den Unternehmen selbst. So geben 63 Prozent der Befragten an, dass Unternehmen sicherstellen müssen, dass ihre Lieferanten einem festgelegten ethischen Verhaltenskodex nachkommen. 47 Prozent beurteilen Unternehmen nämlich nicht nur aufgrund ihres Handelns und Verhaltens, sondern auch aufgrund der Vorgehensweisen ihrer Lieferanten. Drei von fünf Befragten (59 Prozent) sind der Meinung, dass Unternehmen, die nicht nachvollziehen können, woher ihre Waren stammen, und die nicht wissen, ob ihre Lieferanten ihre Waren auf ethische Weise beziehen, ihre Lieferkette überdenken müssen.

  • Softwarelandschaft im HR-Bereich

    Die globalen Auswirkungen der Covid-19-Pandemie haben in vielen Unternehmen langjährig etablierte Arbeitswelten nachhaltig verändert. HR-Management hat als Disziplin seither immens an Bedeutung gewonnen - zumindest sofern HR-Referenten ihre Rollen strategisch, beratend und gestaltend unter Berücksichtigung von Mitarbeiter- und Unternehmensinteressen wahrgenommen haben. In den vergangenen 12 Monaten haben zahlreiche Unternehmen Bilanz gezogen, Defizite und Potenziale identifiziert und die Reorganisation ihrer Arbeitsmodelle vorangetrieben. Im Rahmen seiner SoftTrend Studie HR-Software 2021/2022 hat das Hamburger Marktforschungs- und Beratungshaus SoftSelect 113 HR-Lösungen von 85 Anbietern unter die Lupe genommen, um aufzuzeigen, welche Markt- und Entwicklungstrends die Weiterentwicklung der Softwarelandschaft im HR-Bereich aktuell prägen. Laut einer Befragung des Bayerischen Forschungsinstitutes für Digitale Transformation (bidt) unter 1.500 Berufstätigen in 2020 wünschen sich rund 70Prozent derjenigen, bei denen eine Remote-Tätigkeit möglich ist, auch nach der Corona-Krise häufiger im Homeoffice zu arbeiten als zuvor. Die Befürchtung, der Arbeitgeber könne nach der Krise die geschaffenen Möglichkeiten der Home-Office Nutzung wieder auf das Vorkrisenniveau zurückfahren, ist weit verbreitet (55Prozent). Einer aktuellen, repräsentativen Studie von Accenture zufolge favorisieren zudem 83Prozent der mehr als 9.300 befragten Beschäftigten ein hybrides Arbeitsmodell mit Präsenz- und Home-Office Anteilen.

  • Compliance ist zu Pflichtübung geworden

    Laut der Geldwäsche-Studie "The 2021 Global State of Anti-Money Laundering" von BAE Systems Applied Intelligence stellt für Compliance-Experten weltweit der Menschenhandel heute eines der größten Probleme dar. Der Studie zufolge sagen mehr als drei Viertel (77 Prozent) der Compliance-Fachleute, dass sie nicht davon überzeugt sind, dass über Konten ihrer Kunden abgewickelte Geldwäschedelikte, die im Zusammenhang mit Menschenhandel stehen, verhindert werden können. Mehr als 60 Prozent der Befragten gaben an, dass hoch entwickelte neue kriminelle Methoden in den letzten 12 Monaten noch schwieriger zu erkennen waren und die finanziellen Auswirkungen für die Banken enorm sind. Im Vereinigten Königreich gab ein Viertel (25 Prozent) der Risiko- und Compliance-Experten in den Finanzinstituten an, dass der Menschenhandel die größten finanziellen Verluste aller Geldwäschedelikte verursacht. In den USA war es ein Drittel und in Australien fast die Hälfte (45 Prozent). Neben Betrug, Korruption und organisierter Kriminalität wird der Menschenhandel als eine der fünf größten Sorgen genannt. Aus Sicht von mehr als einem Viertel (27 Prozent) der Befragten, stellt der Menschenhandel eine ernsthafte Sorge dar.

  • Datenschutz setzt Unternehmen unter Dauerdruck

    Ein aufwändiger Prüfprozess vor der Einführung jedes digitalen Tools, regelmäßig neue Entscheidungen der Aufsichtsbehörden und Gerichtsurteile in ganz Europa, die Auswirkungen auf das eigenen Unternehmen haben können - die Anforderungen an den Datenschutz setzen Unternehmen in Deutschland unter Dauerdruck. Zugleich bekommen die Aufsichtsbehörden keine guten Noten für ihre Beratung. Die Hälfte der Unternehmen (50 Prozent) sagt, Deutschland übertreibe es mit dem Datenschutz. Zwei Drittel (66 Prozent) sind der Auffassung, dass der strenge Datenschutz sowie die uneinheitliche Auslegung des Datenschutzes in Deutschland die Digitalisierung erschwert. Das sind Ergebnisse einer repräsentativen Befragung von 502 Unternehmen mit 20 oder mehr Beschäftigten in Deutschland im Auftrag des Digitalverbands Bitkom. "Dem Datenschutz kommt in der digitalen Wirtschaft und Gesellschaft eine besondere Bedeutung zu. Den Unternehmen fehlt es aber zunehmend an Planbarkeit und Verlässlichkeit", sagt Susanne Dehmel, Geschäftsleiterin Bitkom. "Unternehmen stehen beim Datenschutz unter permanenten Stress. Sie wollen dem Datenschutz Genüge tun, aber dazu müssen sie nicht nur europaweit Gerichtsurteile verfolgen und die unterschiedliche Auslegung aus den Mitgliedsstaaten kennen, sondern sich zusätzlich mit 18 verschiedenen Lesarten von Datenschutzaufsichten allein in Deutschland auseinandersetzen. Das ist vor allem für kleinere Unternehmen immer schwerer zu stemmen."