PGP/Ponemon Institute: Datenpannen großteils fremdverursacht

Eine aktuelle Studie des Ponemon Institute zu den Kosten von Datenpannen in 2009 stellt unter anderem fest, dass über ein Drittel aller Datenpannen aus Fehlern externen Partner resultieren.

Offenbach, Germany und Traverse City, MI – Datenpannen, insbesondere solche mit anschließendem Datenmissbrauch, werden für deutsche Unternehmen zunehmend kostspielig und immer häufiger leigt die Ursache nicht im Umternehmen sondern bei externen Diestleistern. Diese bearbeiten und verwenden die Daten im Auftrag und gehen all zu oft nicht sorgsam genug mit den teilweise hochsensiblen Daten um. Dies sind Ergebnisse der "Jahresstudie 2009: Kosten von Datenpannen" des Ponemon Institute in Zusammenarbeit mit der PGP Corporation, die anhand von realen Daten aus 22 deutschen Unternehmen die finanziellen Folgen von Datenverlusten und -missbrauchsfällen in deutschen Unternehmen beleuchtet. Die Spanne reicht hierbei von kleineren Fällen mit weniger als 3.300 betroffenen Datensätzen bis hin zu Fällen mit rund 63.000 Datensätzen. Insgesamt wurden Daten aus zwölf unterschiedlichen Branchen erfasst. Dabei wurde Wert darauf gelegt, anhand objektiver Messkriterien die durch Verluste oder Diebstähle von Personendaten entstandenen direkten und indirekten Kosten sowie Folgeausgaben zu quantifizieren.

Die wichtigsten Ergebnisse im Überblick:

• Datenpannen werden teurer
  Lagen die durchschnittlichen Kosten bei den im Vorjahr untersuchten Fällen von ausgenutzten Datenschutzverletzungen noch bei rund 2,41 Millionen € pro Fall, mussten Unternehmen im Jahr 2009 fast sieben Prozent tiefer in die Tasche greifen und durchschnittlich 2,58 Millionen € als Folge eines real erlittenen Falles von Datenmissbrauch zur Schadensbehebung aufwenden. Noch deutlicher stiegen die Kosten pro kompromittierten Datensatz, nämlich um 18 Prozent von 112 € auf 132 €. Im schwerwiegendsten untersuchten Fall verursachte ein Datenmissbrauch Schäden in Höhe von rund 7 Millionen €. Ursache für die steigenden Kosten dürfte die 2009 erfolgte Novellierung des Datenschutzgesetzes sein.
• Externe Dienstleister sind häufig Ursache von Datenpannen
  Verletzungen des Datenschutzes mit anschließendem Datendiebstahl resultieren immer häufiger aus Fehlern externer Dienstleister, die Daten aus einem Unternehmen erhalten. Waren in der letztjährigen Studie noch 17 Prozent der untersuchten Fälle durch Fehler Dritter entstanden, stieg dieser Wert auf 36 Prozent in 2009. Dabei lag aufgrund der zusätzlichen Forensik- und Beratungskosten die entstehende Schadenshöhe mit 159 € pro kompromittierten Datensatz deutlich über den 132 €, die pro Datensatz bei einer internen Datenpanne aufzuwenden waren.
• Klare Kompetenzzuordnung zahlt sich aus
  Die 36 Prozent der Unternehmen, in denen die Verantwortung für die Datensicherheit und die Abwicklung der Schadensbehebung im Falle eines Datenmissbrauchs eindeutig an ein Mitglied der Unternehmensleitung – etwa den Verantwortlichen für Informationssicherheit – delegiert war, mussten im Falle eines Datenmissbrauchs rund 87 Euro pro betroffenen Datensatz aufwenden. In Betrieben, die auf eine klare Zuordnung verzichtet hatten, lagen die Kosten dagegen bei 158 Euro pro kompromittierten Datensatz.
• Böswilligkeit und Fahrlässigkeit halten sich fast die Waage
  54 Prozent aller Fälle von Datenmissbrauch resultierten in den untersuchten Fällen 2009 aus böswilligen oder kriminellen Attacken beziehungsweise den Aktivitäten von Botnetzen (2008: 50 Prozent). Die dabei entstehenden Kosten von durchschnittlich 120 € pro kompromittierten Datensatz lagen deutlich unter den 147 € Kosten pro Datensatz, wenn die Ursache in Fehlern der IT-Systeme oder in der Fahrlässigkeit der Mitarbeiter zu suchen war. Dies legt die Vermutung nahe, dass Unternehmen zwar verstärkt in Abwehr- und Forensik-Technologien investieren, dabei aber die Kontrolle der Zuverlässigkeit von Produktivsystemen oder die Sensibilisierung und Schulung von Mitarbeitern vernachlässigen.
• Kunden strafen Unternehmen mit Datenpannen ab
  Mit einem Anteil von 46 € an den Gesamtkosten von 132 € pro kompromittierten Datensatz im Falle einer Datenpanne lagen die Kosten für entgangene Umsätze in 2009 deutlich höher als noch 2008 (36 €). Die zeigt, dass Kunden und Verbraucher dem Schutz persönlicher Daten ein höheres Gewicht beimessen, als noch vor einem Jahr. Vergleichsweise dezent erhöhten sich die Kosten für die Aufdeckung von 36 auf 39 €, für reaktive Maßnahmen wurden durchschnittlich 41 € gegenüber 36 € in 2008 veranschlagt. Eine deutliche prozentuale Steigerung um 75 Prozent von 4 auf 7 Euro pro gefährdeten Datensatz ließ sich bei den Kosten für die Benachrichtigungen Betroffener feststellen.
• Datenschutz ist für Unternehmen vor allem ein technologisches Thema
  Die nachgebesserten Datenschutzgesetze haben dazu geführt, dass viele Unternehmen technologisch nachrüsten. So stieg der Anteil der befragten Firmen, die Verschlüsselungslösungen verwenden, um 26 Prozent auf insgesamt 77 Prozent. Auch andere geeignete technologische Maßnahmen konnten durchweg Steigerungsraten von 20 bis 30 Prozent gegenüber dem Vorjahr verbuchen. So haben 73 Prozent der Unternehmen die Kontrolle an internen und externen Netzwerkübergängen optimiert, 68 Prozent betreiben ein Security-Eventmanagementsystem, 59 Prozent eine DLP-Lösung (Data Loss Prevention). Lediglich geringe Zuwachsraten verzeichnete dagegen das Engagement der Unternehmen in Schulungs- und Sensibilisierungs-Maßnahmen: Nur 27 Prozent der Unternehmen investierten in eine regelmäßige Datenschutzausbildung ihrer Mitarbeiter.

"Speziell in Deutschland reagieren Kunden und Verbraucher zu Recht äußerst sensibel, wenn es um den Schutz ihrer persönlichen Daten geht. Wer das als Unternehmen bis heute noch nicht verstanden hat, setzt leichtfertig die Firmenexistenz aufs Spiel", so Phillip Dunkelberger, President und CEO der PGP Corporation. "Wie der diesjährige Report zeigt, sollten vor allem die deutlich gestiegenen Umsatzeinbußen im Falle einer Datenpanne auch die letzten Unternehmen davon überzeugen, dass Datenschutz kein Trendthema, sondern eine zentrale unternehmenskritische Aufgabe ist."