Bild: CC0 - pixabay.com
Datenpannen werden billiger.
Bild: CC0 - pixabay.com

Studie: Cost of Data Breach

Kosten bei Datenpannen sinken

Laut einer Studie des Ponemon Instituts sind die durchschnittlichen Kosten von Datenpannen weltweit gesunken, besonders in europäischen Ländern. Daran hat auch die kommende EU-Datenschutzgrundverordnung ihren Anteil.

Die durchschnittlichen Kosten einer Datenpanne betragen weltweit im Jahr 2017 3,62 Millionen Dollar. Das geht aus der von IBM gesponserten "Cost of Data Breach"-Studie 2017 des Ponemon Instituts hervor. Dies bedeutet einen Rückgang der Kosten um 10 Prozent im Vergleich zum Vorjahr. Dennoch liegt weiterhin ein hoher Dringlichkeitsfokus auf dem Umgang mit Cyberattacken.

Vorschriften helfen zu sparen

Seit 2012 führt das Ponemon Institut jährlich die "Cost of Data Breach"-Studie durch. Dieses Jahr wurden 13 Länder und Regionen untersucht. In Deutschland zum Beispiel mussten pro verlorenem Datensatz durchschnittlich 149 Euro investiert werden, was einem Kostenrückgang um 3,3 Prozent entspricht. Die absoluten Kosten durch Datenpannen konnten dabei im letzten Jahr um 5,4 Prozent auf 3,42 Millionen Euro gesenkt werden. Europaweit fielen die Gesamtkosten sogar um 26 Prozent. Im Vergleich stellte IBM Security einen Zusammenhang zwischen der Reaktion auf Regulierungsvorschriften in Europa und den Gesamtkosten von Datenpannen fest. Global gesehen sinken die Kosten für Datenpannen im Jahr 2017 deshalb um zehn Prozent auf 3,62 Millionen US-Dollar.

Während jedoch vor allem in europäischen Ländern wie Deutschland, Frankreich, Italien oder Grossbritannien die Kosten im Fall einer Datenpanne sinken, erfahren neben den USA auch Organisationen im Mittleren Osten, Japan, Südafrika und Indien gestiegene Kosten. Am teuersten sind Datenpannen in den USA. Hier kosten sie mit 7,35 Millionen Dollar durchschnittlich mehr als doppelt so viel wie in Deutschland. In den USA stiegen die Kosten im Vergleich zum Vorjahr um fünf Prozent.

Diese Entwicklung ist laut Einschätzung von IBM unter anderem darauf zurückzuführen, dass europäische Unternehmen in einem Umfeld arbeiten, in dem Datenpannen strengeren Meldevorschriften unterliegen als in den USA. Ausserdem besteht in Europa bereits seit 1995 ein rechtlicher Rahmen, der in Kürze durch die neue Europäische Datenschutzgrundverordnung (EU-DSGVO bzw. GDPR) abgelöst wird. In den USA haben dagegen 48 von 50 Staaten eigene Datenpannengesetze verabschiedet. US-amerikanische Unternehmen müssen im Gegensatz zu europäischen eine Vielzahl von Vorschriften beachten und sich darauf vorbereiten. Dies kann grosse Kosten verursachen und wertvolle Ressourcen verschlingen.

"Es ist erkennbar, dass die neue Datenschutzgrundverordnung europäische Unternehmen zum Handeln anhält", sagt Christian Nern, Head of Security Software DACH bei IBM. "Eine schnelle Identifikation von Sicherheitslücken und das rechtzeitige Aufstellen eines Notfallplans werden wichtiger denn je."

Jede Sekunde kostet Geld

Im dritten Jahr in Folge konnte die Studie bestätigen, dass der Einsatz von Incident-Response-(IR-)Teams die Kosten von Datenpannen deutlich reduzieren kann. So können bis zu 19 Dollar pro entwendetem Datensatz gespart werden. Die Schnelligkeit, mit der eine Cyberattacke identifiziert und eingedämmt werden kann, hängt zu grossen Teilen von der Nutzung eines IR-Teams und einem Incident-Response-Notfallplan ab. IR-Teams können Unternehmen bei komplizierten Cyberattacken unterstützen und so weiteren Verlusten vorbeugen.

Laut Studie hat die Schnelligkeit, mit der eine Cyberattacke eingedämmt wird, direkten Einfluss auf die Kosten des Datenlecks. So waren die Kosten bei Unternehmen, die Datenpannen innerhalb eines Monats beheben konnten, um eine Millionen Dollar niedriger als diejenigen der Unternehmen, deren Datenpanne länger als einen Monat andauerte. Die Reaktionsgeschwindigkeit wird künftig noch eine grössere Rolle spielen, wenn die neue EU-Datenschutzgrundverordnung (GDPR) im Mai 2018 in Kraft tritt. Dann werden Unternehmen, die in Europa Geschäfte machen, Datenpannen innerhalb von 72 Stunden melden müssen, um nicht etwa Strafzahlungen in Höhe von bis zu vier Prozent ihres globalen Jahresumsatzes leisten zu müssen. Die Studie zeigte hier jedoch noch grosse Defizite auf. Demnach benötigen Unternehmen derzeit im Durchschnitt mehr als sechs Monate, um eine Datenpanne zu entdecken. Weitere 66 Tage werden durchschnittlich benötigt, um die entdeckte Datenpanne zu beheben.

Weitere Ergebnisse der "Cost of Data Breach"-Studie 2017:

  • Teuerste Datenpannen fallen im Gesundheitssektor an: Im siebten Jahr in Folge führt der Gesundheitssektor die Liste der Branchen mit den teuersten Datenpannen an. So kostet der Diebstahl von Gesundheitsdaten 380 Dollar pro Datensatz, mehr als 2,5-mal so viel wie im globalen Branchendurchschnitt von 141 Dollar pro Datensatz.
  • Ursachen für eine Kostenzunahme bei Datenpannen: Hauptgrund für die Zunahme der Kosten bei Datenpannen war im vergangenen Jahr das Miteinbeziehen dritter Parteien. Dadurch wurden die Kosten im Schnitt um 17 Dollar pro Datensatz gesteigert. Unternehmen sollten deshalb die Sicherheitsvorkehrungen bei ihren Dienstleistern überprüfen, um die Sicherheit der Mitarbeiter- und Kundendaten sicherzustellen.
  • Möglichkeiten zur Senkung der Kosten einer Datenpanne: Incident Response, Verschlüsselung der Daten und Aufklärung der Mitarbeiter waren die Faktoren, die am meisten zur Reduzierung der Kosten bei Datenpannen beigetragen haben. Ein Incident-Response-Team verringerte die Kosten um 19 Dollar pro Datensatz, eine durchgängige Verschlüsselung aller Daten führte zu einer Reduktion um 16 Dollar pro Datensatz und die Schulung von Mitarbeitern brachte eine Ersparnis von 12,50 Dollar pro Datensatz ein.

Sie können auch interaktiv in die Ergebnisse der Studie "eintauchen" – mit dem IBM Security Data Breach Calculator.

Mehr Artikel zum Thema: EU-DSGVO Security

Trend Micro: Unterschweiger ist ACH-Chef

Michael Unterschweiger verantwortet seit Beginn des Jahres...

Weiterlesen

Aus der Schule direkt auf den Arbeitsmarkt

Mit dem Programm Fortinet Network Security Academy (FNSA)...

Weiterlesen

Verbraucher wollen Kontrolle über Daten zurück

Laut einer Studie von Software-Anbieter Pegasystems will...

Weiterlesen

5 Tipps für DSGVO in der Cloud

Ab 25. Mai 2018 wird die EU-Datenschutzgrundverordnung...

Weiterlesen

Prozessorlücken: Wer ist betroffen und was ist zu tun?

"Meltdown" und "Spectre" sorgen für Ratlosigkeit bei...

Weiterlesen

"Digitale Fragmentierung" schafft neue Grenzen

Zu viele nationale Gesetze und Vorschriften behindern den...

Weiterlesen

Alle Jahre wieder – kommt der DR-Test

Die Zeit zwischen Weihnachten und Neujahr ist für manche...

Weiterlesen

Gute Security-Vorsätze für 2018

Security-Hersteller ESET lenkt die Aufmerksamkeit auf drei...

Weiterlesen

Weihnachten - auch ein Fest für Hacker

Die Weihnachtsfeiertage sind auch für die IT-Security eine...

Weiterlesen

Doppelt gemoppelt schützt besser

Die neue Datenschutzgrundverordnung kennt kein Pardon: Neben...

Weiterlesen

Cyberangriffs-Simulation aus der Cloud

BreakingPoint Cloud ist eine SaaS-Lösung, mit der man seine...

Weiterlesen

Sicherheitsrisiko Fachkräftemangel

Die Bekämpfung von Wirtschaftskriminalität im digitalen...

Weiterlesen

Atos will Gemalto

Insgesamt würde sich der IT-Dienstleister den...

Weiterlesen

Sicherheit bleibt bei der Digitalen Transformation nahezu unberücksichtigt

Eine Vielzahl von Unternehmen beschäftigt sich momentan mit...

Weiterlesen

Paradigmenwechsel

Helmut Leopold beschäftigt sich am AIT Austrian Institute of...

Weiterlesen

In sieben Schritten zum DSGVO-Erfolg

Austrian Standards hat eine praxisorientierte Publikation...

Weiterlesen

Hacking-Angriffe auf Flugzeuge

Wie vor kurzem bekannt wurde, hat es ein Team von...

Weiterlesen

5 Mythen der Datenverschlüsselung

Unternehmen sehnen sich nach Lösungen interne Daten so...

Weiterlesen

EU-DSGVO: Mögliche rechtliche Konsequenzen für KMU

Die EU meint es mit der DSGVO und dem Datenschutz wirklich...

Weiterlesen

DSGVO-Software aus dem Burgenland

Im Rahmen des sechsmonatigen Projektes DAFAPO (Datenschutz |...

Weiterlesen