Bericht über Datenschutzverletzung: Die Kosten einer Rufschädigung verstehen und minimieren – Journey Notes

IBM und das Ponemon Institute haben ihren neuen Cost of a Data Breach Report 2021 veröffentlicht, der auf der Analyse von 537 Datenschutzverletzungen an mehreren Standorten und Branchen basiert. Die Ergebnisse sind sehr aufschlussreich und bieten einen Überblick über die Art und den Umfang der Kosten der Rufschädigung – Geschäftsverluste nach einem Verstoß –, die unabhängig davon entstehen, ob die verlorenen Daten letztendlich geschützt oder sensibel waren.

Insgesamt stiegen die Gesamtkosten einer Datenschutzverletzung im Vergleich zu 2020 um 10 % auf 4,24 Millionen US-Dollar. Das ist der größte Anstieg seit sieben Jahren gegenüber dem Vorjahr. Doch er ist nicht gleichmäßig verteilt. Dort, wo beispielsweise externes Arbeiten bei der Ursache für einen Verstoß einberechnet wurde, waren die Kosten über 1 Million US-Dollar höher. Und die Gesundheitsbranche lag bei den Kosten im 11. Jahr in Folge an der Spitze, mit einem Anstieg um fast 30 % auf 9,23 Millionen Dollar.

Rufschädigung und Geschäftsverlust

Es gibt verschiedene Arten von Kosten, die in die Gesamtkosten einer Sicherheitsverletzung einfließen, aber laut dem Bericht war der größte Beitrag im Jahr 2021 der Verlust von Geschäften, der 38 % der Gesamtkosten oder 1,59 Millionen US-Dollar ausmachte. Diese Zahl beinhaltet die angestiegene Kundenfluktuation und die erhöhten Kosten für die Akquisition neuer Kunden aufgrund der Rufschädigung, zusammen mit entgangenen Einnahmen aufgrund von Systemausfallzeiten.

Ein Beispiel für diese Art von Risiko ist Illuminate Education. Im Januar 2022 erlitt das Unternehmen, das Schulbezirken in den USA Software für Bildung und Bewertung anbietet, einen großen Datenverlust.  Die Stadt New York hat die Verwendung ihrer Produkte verboten, nachdem bekannt wurde, dass private Daten von 820.000 Schülern entwendet worden waren.

Das Ausmaß der Sicherheitslücke weitet sich weiter aus, und es sind landesweit viele weitere Schüler in den Bezirken betroffen. Es ist davon auszugehen, dass noch mehr dieser Bezirke die Zusammenarbeit mit Illuminate Education abbrechen werden, was für das Unternehmen schwerwiegende Auswirkungen auf den Gewinn haben wird – und das alles wegen einer Datenschutzverletzung, die möglicherweise vermeidbar gewesen wäre.

Nachfolgende Kettenreaktionen

Denken Sie auch an das jüngste Beispiel, bei dem das Meldeverfahren des Oregon Secretary of State (SoS) im Vorfeld der Vorwahlen gestört wurde (ausführlich erörtert in einem früheren Blogbeitrag). Ein Webhosting-Anbieter namens Opus Systems erlitt einen schweren Ransomware-Angriff und Datendiebstahl. Das Oregon SoS verwendet das Kampagnenfinanzierungssystem ORESTAR. Die Anmeldeinformationen für ORESTAR werden in einer Datenbank gespeichert, die der Kampagnenfinanzierungsfirma C&E Systems gehört. Und C&E Systems verwendet Opus Interactive für das Webhosting.

Obwohl die Staatssekretärin von Oregon nicht persönlich betroffen war, musste sie sich mit den möglichen Folgen in Bezug auf Security auseinandersetzen und in Öffentlichkeitsarbeit investieren, um den Wählern zu versichern, dass die bevorstehende Wahl in keiner Weise von dem Verstoß betroffen sei.

Wesentliche Kostenunterscheidungsmerkmale

Der Bericht Cost of a Data Breach gibt auch wichtige Einblicke zu den kostensenkenden Auswirkungen von verschiedenen Security-Strategien.

• Die größte positive Auswirkung auf die Kosten hatten Unternehmen mit vollständig implementierten KI- und Automatisierungsfunktionen für die Sicherheit (wie die von Barracuda Email Protection bereitgestellten). Die Gesamtkosten für Verstöße beliefen sich auf nur 2,9 Millionen US-Dollar gegenüber 6,71 Millionen US-Dollar bei denjenigen, die keine Verstöße begangen hatten, also 80 % weniger. Diese Lösungen waren auch mit einer kürzeren Zeitspanne für die Erkennung und Eindämmung des Verstoßes verbunden.
• Unternehmen mit ausgereiftem Zero Trust Access (z. B. Barracuda CloudGen Access) verzeichneten ebenfalls um mehr als 50 % niedrigere Kosten als Unternehmen ohne Zero Trust und sparten 1,76 Millionen US-Dollar. Dies entspricht einem anderen Datenpunkt, nämlich dass der größte Prozentsatz, 20 % der Sicherheitsverstöße, ursprünglich durch kompromittierte Zugangsdaten verursacht wurde.
• Im Vergleich zu Public Cloud-, Private Cloud- und lokalen Umgebungen, hatten Verstöße in Hybrid-Cloud-Umgebungen die niedrigsten Kosten mit 28,3 % zur Folge. Unternehmen, die sich mitten in einer großen Cloud-Migration befanden, verzeichneten höhere Kosten, während Unternehmen, die bereits länger auf dem Weg in die Cloud sind, Verstöße 77 Tage früher entdeckten und eindämmten als Unternehmen, die sich noch in einer frühen Phase der Cloud-Einführung befinden.

Schritte zur Risikominimierung

Die Reputationskosten und potenziellen geschäftlichen Auswirkungen einer Datenschutzverletzung sind eindeutig schwerwiegend. Aber durch die Implementierung hochwirksamer Sicherheitslösungen können Sie nicht nur die Wahrscheinlichkeit verringern, dass Ihr Unternehmen Opfer einer Datenschutzverletzung wird, sondern auch die Gesamtkosten erheblich senken, falls es einem Angreifer dennoch gelingt, Ihre Daten zu verletzen.

Bei der Migration in die Cloud ist es besonders wichtig, dass Ihre Sicherheitsstrategien einen umfassenden Schutz für Ihre gesamte Infrastruktur bieten. Barracudas Cloud-first-Lösungen arbeiten zusammen, um E-Mails zu sichern, Netzwerke und Anwendungen zu verteidigen, Zero-Trust-Zugriffskontrollen durchzusetzen und Daten zu schützen, wo auch immer sie bereitgestellt werden.

Erfahren Sie, wie Sie schneller auf E-Mail-Angriffe reagieren können