Was ist ein Data Breach?

Diese werden daraufhin weiter­gegeben, veröffentlicht, zerstört, beschädigt oder geändert. Ein Data Breach kann unter anderem durch folgende Szenarien entstehen:

• Ein Hacker verschafft sich unbefugten Zugriff.
• Absichtliches Fehl­verhalten eines Mit­arbeiters, z. B. eines Controllers, oder eines Daten­verarbeiters.
• Diebstahl und Verlust von Computern oder digitalen Geräten mit vertraulichen Informationen.
• Social-Engineering-Angriffe wie Phishing und Smishing können Daten erbeuten, die für einen Data Breach genutzt werden können.

Derartige Angriffe werden immer häufiger und lukrativer, da sie teilweise Milliarden an Personen­daten auf einmal erbeuten. So wurde der Internet­konzern Yahoo 2013 Opfer des größten Daten­diebstahls zu jenem Zeit­punkt: Drei Milliarden Zugangs­daten wurden gestohlen, inklusive E‑Mail-Adressen, Namen, Telefon­nummern und Pass­wort-Fragen. Ebenso pikant war der Data Breach beim Unter­nehmen Equifax im Jahr 2017, bei dem unter anderem amerikanische Sozial­versicherungs­nummern abgegriffen wurden. Mit diesen Nummern können sich Amerikaner bei Vertrags­abschlüssen identifizieren.

Unter­schied zwischen Data Breach und Daten­leck

Vertrauliche Daten können auch durch ein Daten­leck in unbefugte Hände gelangen. Der Unter­schied zum Data Breach beruht auf der Art, wie beide passieren. Bei einem Daten­leck geschieht kein Angriff. Statt­dessen werden Daten unfrei­willig preis­gegeben: Bei­spiels­weise aufgrund von mangel­haften Sicherheits­standards einer Firma, eines Unfalls oder weil ein Unbefugter eine bereits bestehende Sicherheits­lücke des Unter­nehmens ausnutzt.

Das End­resultat ist jedoch dasselbe: Die Daten gelangen in fremde Hände und können zu Identitäts­diebstahl oder Konto­über­nahmen führen. Bei­spiele gestohlener persönlicher Daten können persönliche Adressen, Konto­verbindungen, Gehälter oder Gesundheits­daten sein. Abgesehen von dem großen Schaden, der für die einzelnen Personen entstehen kann, hat ein Data Breach große Auswirkungen auf die Reputation eines Unter­nehmens.

Wirtschaftliche Schäden in Millionen­höhe

Ein Data Breach kann für das Unter­nehmen teuer werden. In einem jährlich erscheinenden Bericht von IBM werden die durch­schnittlichen Kosten analysiert, die ein Data Breach verursacht. 2021 hatten Firmen mit den höchsten Durch­schnitts­kosten zu kämpfen: Zwischen 3,86 Millionen und 4,24 Millionen USD an Schäden haben Daten­diebstähle angerichtet. Pannen, bei denen Fern­arbeit eine Rolle spielt, sind mit durch­schnittlich weiteren 1,07 Millionen USD, noch kost­spieliger.

In heutigen Zeiten, in denen Home­office und Fern­arbeit immer bedeutsamer werden, ist es daher umso wichtiger, alle Computer­systeme, sowohl die in der Firma als auch private, ausreichend zu schützen.

So können Sie sich vor einem Data Breach schützen

Jede Person kann einem Data Breach zum Opfer fallen. Entweder auf dem eigenen Computer, über das Firmen­netz­werk oder bei einem Online­dienst, bei dem Sie angemeldet sind. Sicherheits­systeme helfen dabei, das Risiko zu minimieren. Auch ist es insbesondere als Firma wichtig, einen Plan vorzubereiten, wie ein Data Breach identifiziert werden kann und darauf reagiert werden soll.

Durch­dachte Sicherheits­strategie

Um sich vor einem Data Breach zu schützen, sollten Sie umfassende Sicherheits­prozedere entwickeln. In einem Unter­nehmen macht es durchaus Sinn, alle IT-Sicherheits­aufgaben zentral steuern zu lassen.

Professionelle Sicherheits­soft­ware

Sie sollten niemals ohne Viren­schutz und Fire­walls im Internet unter­wegs sein. Mit F‑Secure Total sagen Sie Viren, Trojanern, Ransom­ware und anderer Malware den Kampf an. Falsche Web­sites, die versuchen, an Ihr Geld oder Ihre Daten zu gelangen, werden automatisch geblockt. Auch Ihr WLAN kann mit­hilfe der richtigen Programme abgesichert werden — unzureichend geschützte WLAN-Netz­werke sind ein guter Angriffs­punkt für Hacker.

Sichere Pass­wörter verwenden

Vermeiden Sie es stets, ein einzelnes Pass­wort für mehrere Dienste zu verwenden. Sollte ein Pass­wort gehackt werden, sind so nicht alle Dienste und Daten auf einmal betroffen. Mit einem Pass­wort­manager können Sie starke Pass­wörter kreieren und diese sicher speichern. Sobald ein von Ihnen genutzter Online­dienst von einem Daten­leck oder Daten­klau betroffen ist, werden Sie in Echt­zeit dar­über informiert und können so schnell reagieren.

Bleiben Sie anonym

Mit einem VPN können Sie Ihre Privat­sphäre im Internet schützen und so verhindern, dass Hacker Ihre Internet­aktivitäten aus­spionieren.

Halten Sie Ihre Systeme aktuell

Jegliche Betriebs­systeme, Browser, Programme und Sicherheits­soft­wares müssen zu jedem Zeit­punkt aktuell sein, um Hackern keine Sicherheits­lücke zu bieten. Achten Sie zudem darauf, dass von Ihnen genutzte Plug-ins stets aktualisiert sind, da diese ein beliebtes Angriffs­ziel von Hackern sind, um an Pass­wörter zu gelangen.

Gute Vorbereitung ist alles

Können Sie einen Data Breach erkennen und wenn ja, wie müssen Sie im Falle eines solchen reagieren — sowohl firmen­intern als auch extern? Eine gute Vorbereitung auf Krisen­situationen ist wichtig und kann Ihnen unter Umständen viel Geld und Nerven sparen sowie Ihre Reputation retten.

Die folgende Check­liste soll Ihnen dabei helfen, einen Krisen­plan zu entwickeln:

• Können Sie und Ihre Mit­arbeiter einen Data Breach identifizieren? Schulen Sie alle Personen des Unter­nehmens zu Social-Engineering-Techniken.
• Verstehen Sie, dass es nicht nur um den Verlust von Personen­daten geht, sondern potenziell um viel Geld und Ihre Reputation.
• Bereiten Sie einen Reaktions­plan für eine mögliche Daten­panne vor: Wer muss informiert werden, wie schnell und wor­über?
• Bestimmen Sie ein spezifisches Team oder einen Verantwortlichen für die Hand­habung des Data Breach.
• Stellen Sie sicher, dass Ihre Mit­arbeiter wissen, wie sie einen eventuellen Data Breach an die Verantwortlichen melden können.

Das müssen Sie beachten, falls Sie Opfer eines Data Breach werden

Per Gesetz sind Sie dazu verpflichtet, Daten­pannen inner­halb von 72 Stunden an die entsprechende Aufsichts­behörden zu melden. Diese Melde­frist beginnt jedoch erst, sobald Sie Gewissheit über die Daten­schutz­verletzungen haben. Lassen Sie sich dafür jedoch nicht zu viel Zeit — sollten Sie einer Drohung eines Hackers zum Bei­spiel per Telefon nicht (sofort) nach­gehen und einen eventuellen Data Breach nicht über­prüfen, drohen saftige Sanktionen.

Sind Privat­personen vom Daten­klau betroffen, müssen auch diese unverzüglich informiert werden. Es sei denn, es wurden Maß­nahmen ergriffen, die das Risiko eindämmen. Alle Daten­pannen müssen im Unter­nehmen dokumentiert werden.