Zero Trust
Die Kosten eines Datendiebstahls
Auch in diesem Jahr beherrschten immer wieder Meldungen von groß angelegten Datendiebstählen die Schlagzeilen. Zwar erfolgte der große Datendiebstahl bei Dropbox bereits 2012. Doch erst jetzt reagierte das Unternehmen und empfahl den Nutzern, die Passwörter zu ändern.
Obwohl der Angriff für die Nutzer der 68 Millionen Accounts ein großer Schock gewesen sein dürfte, scheint die Mehrheit der breiten Öffentlichkeit derartige Angriffe zunehmend als normal zu erachten. Doch welche Auswirkungen hat ein Datenleck wirklich? Ein bekanntes Beispiel ist das Unternehmen Sony Pictures: Nachdem es im Jahr 2014 einem Cyberangriff zum Opfer gefallen war, schätzte es die im Zuge des Datenlecks entstandenen Kosten auf umgerechnet rund 31 Millionen Euro für das gesamte Geschäftsjahr. Die Reparatur des verursachten Schadens kann also teuer zu stehen kommen, denn in der Regel bringt die Wiederherstellung von Finanz- und IT-Systemen zusätzliche Arbeitsstunden und Ausgaben für Hardware, Software und Systemhäuser mit sich. Dies dürfte jedoch nur die technische Seite des Schadens beziffern.
Welche Kosten verursacht ein Datendiebstahl?
Das Ponemon Institute versuchte, in einer Studie die tatsächlichen Kosten eines Datenlecks zu ermitteln. In dem Bericht werden die Kosten folgendermaßen beziffert:
- Die unmittelbaren Kosten eines Datendiebstahls belaufen sich für Unternehmen im Durchschnitt auf umgerechnet rund 65 Euro pro Nutzer, dessen Daten kompromittiert wurden. Zählt man die indirekten Kosten durch den Verlust von Nutzern hinzu, kommen noch durchschnittlich 125 Euro pro Nutzer hinzu. Dies ist neuer Rekordwert von 190 Euro pro registriertem Angriff.
- Ein Datendiebstahl kostet Unternehmen durchschnittlich 5,7 Millionen Euro. 2013 lag der Wert noch bei 4,6 Millionen.
- Die Höhe der Kosten für Fehlerüberprüfung und zusätzlich anfallende Ausgaben ist von 366.000 auf 542.000 Euro gestiegen. Dies lässt darauf schließen, dass die Kosten für Ermittlungen und Untersuchungen, Dienste zur Überprüfung und Beurteilung, das Management eines Krisenteams sowie die Kommunikation mit Interessengruppen und Management erhöht haben.
- Auch nach einem Datendiebstahl werden erhöhte Ausgaben fällig, zum Beispiel für zusätzliche Arbeitsschichten der Helpdesk-Mitarbeiter, die Bearbeitung eingehender Anfragen, Untersuchungs- und Wiederherstellungsarbeiten sowie juristische Ausgaben. Diese Kosten sind von 1,39 Millionen auf 1,42 Millionen Euro in der diesjährigen Studie gestiegen.
Zweifelsohne ist ein Datendiebstahl in finanzieller Hinsicht kostenintensiv. Unternehmen kann er jedoch durch das verlorene Kundenvertrauen doppelt teuer zu stehen kommen. Um zu vermeiden, das nächste Opfer eines Datendiebstahls zu werden, sollten Organisationen daher der Sicherheit kritischer und personenbezogener Daten oberste Priorität einräumen.
Aufpassen, Aufpassen, Aufpassen
Neben der Implementierung wirksamer Sicherheitsstrukturen sind Arbeitgeber gut beraten, in ihrer Belegschaft Bewusstsein für Datensicherheit zu schaffen. Für Hacker, die Unternehmensdaten in ihren Besitz bringen wollen, ist es nämlich oft erfolgversprechender, ihre Angriffe statt über die gut geschützte Firewall über Mitarbeiter laufen zu lassen. Arbeitgeber sollten daher bei ihren Mitarbeitern ein Bewusstsein für „Social Engineering“ schaffen. Das sind manipulative Angriffe, die ganz verschiedene Form annehmen können, quasi der Trickbetrug in der IT-Sicherheit. So fragen Kriminelle unter Vorschützen einer falschen Identität Passwörter ab oder sammeln Informationen, mit denen sie Passwörter zurücksetzen können. Am stärksten verbreitet sind individualisierte Phishing-Mails. So eine E-Mail hat zuletzt das Netzwerk des Deutschen Bundestags so beschädigt, dass es unter millionenschwerem Aufwand neu aufgesetzt und mehrere Tage abgeschaltet werden musste. Der Hacker sendet eine glaubwürdig wirkende E-Mail, möglicherweise an eine große Zahl an E-Mail-Konten. Wenn auch nur ein Mitarbeiter auf den heimtückischen Link darin klickt, erhält der Angreifer Zugriff auf das Netzwerk.
Es gibt eine Reihe von Vorsichtsmaßnahmen, mit denen sich Unternehmen und Mitarbeiter vor diesen Angriffen schützen können. Die oberste Regel für die Mitarbeiter ist, aufmerksam zu bleiben. Sie müssen jede unerwartete eingehende E-Mail mit Anhang oder Links in Frage stellen. Falls der Inhalt zu gut aussieht, um wahr zu sein, ist er es wahrscheinlich auch.
- Die Kosten eines Datendiebstahls
- Zero Trust: Traue niemandem, verdächtige jeden
Lesen Sie mehr zum Thema
