Bild: CC0 - pixabay.com
Datenpannen werden billiger.
Bild: CC0 - pixabay.com

Studie: Cost of Data Breach

Kosten bei Datenpannen sinken

Laut einer Studie des Ponemon Instituts sind die durchschnittlichen Kosten von Datenpannen weltweit gesunken, besonders in europäischen Ländern. Daran hat auch die kommende EU-Datenschutzgrundverordnung ihren Anteil.

Die durchschnittlichen Kosten einer Datenpanne betragen weltweit im Jahr 2017 3,62 Millionen Dollar. Das geht aus der von IBM gesponserten "Cost of Data Breach"-Studie 2017 des Ponemon Instituts hervor. Dies bedeutet einen Rückgang der Kosten um 10 Prozent im Vergleich zum Vorjahr. Dennoch liegt weiterhin ein hoher Dringlichkeitsfokus auf dem Umgang mit Cyberattacken.

Vorschriften helfen zu sparen

Seit 2012 führt das Ponemon Institut jährlich die "Cost of Data Breach"-Studie durch. Dieses Jahr wurden 13 Länder und Regionen untersucht. In Deutschland zum Beispiel mussten pro verlorenem Datensatz durchschnittlich 149 Euro investiert werden, was einem Kostenrückgang um 3,3 Prozent entspricht. Die absoluten Kosten durch Datenpannen konnten dabei im letzten Jahr um 5,4 Prozent auf 3,42 Millionen Euro gesenkt werden. Europaweit fielen die Gesamtkosten sogar um 26 Prozent. Im Vergleich stellte IBM Security einen Zusammenhang zwischen der Reaktion auf Regulierungsvorschriften in Europa und den Gesamtkosten von Datenpannen fest. Global gesehen sinken die Kosten für Datenpannen im Jahr 2017 deshalb um zehn Prozent auf 3,62 Millionen US-Dollar.

Während jedoch vor allem in europäischen Ländern wie Deutschland, Frankreich, Italien oder Grossbritannien die Kosten im Fall einer Datenpanne sinken, erfahren neben den USA auch Organisationen im Mittleren Osten, Japan, Südafrika und Indien gestiegene Kosten. Am teuersten sind Datenpannen in den USA. Hier kosten sie mit 7,35 Millionen Dollar durchschnittlich mehr als doppelt so viel wie in Deutschland. In den USA stiegen die Kosten im Vergleich zum Vorjahr um fünf Prozent.

Diese Entwicklung ist laut Einschätzung von IBM unter anderem darauf zurückzuführen, dass europäische Unternehmen in einem Umfeld arbeiten, in dem Datenpannen strengeren Meldevorschriften unterliegen als in den USA. Ausserdem besteht in Europa bereits seit 1995 ein rechtlicher Rahmen, der in Kürze durch die neue Europäische Datenschutzgrundverordnung (EU-DSGVO bzw. GDPR) abgelöst wird. In den USA haben dagegen 48 von 50 Staaten eigene Datenpannengesetze verabschiedet. US-amerikanische Unternehmen müssen im Gegensatz zu europäischen eine Vielzahl von Vorschriften beachten und sich darauf vorbereiten. Dies kann grosse Kosten verursachen und wertvolle Ressourcen verschlingen.

"Es ist erkennbar, dass die neue Datenschutzgrundverordnung europäische Unternehmen zum Handeln anhält", sagt Christian Nern, Head of Security Software DACH bei IBM. "Eine schnelle Identifikation von Sicherheitslücken und das rechtzeitige Aufstellen eines Notfallplans werden wichtiger denn je."

Jede Sekunde kostet Geld

Im dritten Jahr in Folge konnte die Studie bestätigen, dass der Einsatz von Incident-Response-(IR-)Teams die Kosten von Datenpannen deutlich reduzieren kann. So können bis zu 19 Dollar pro entwendetem Datensatz gespart werden. Die Schnelligkeit, mit der eine Cyberattacke identifiziert und eingedämmt werden kann, hängt zu grossen Teilen von der Nutzung eines IR-Teams und einem Incident-Response-Notfallplan ab. IR-Teams können Unternehmen bei komplizierten Cyberattacken unterstützen und so weiteren Verlusten vorbeugen.

Laut Studie hat die Schnelligkeit, mit der eine Cyberattacke eingedämmt wird, direkten Einfluss auf die Kosten des Datenlecks. So waren die Kosten bei Unternehmen, die Datenpannen innerhalb eines Monats beheben konnten, um eine Millionen Dollar niedriger als diejenigen der Unternehmen, deren Datenpanne länger als einen Monat andauerte. Die Reaktionsgeschwindigkeit wird künftig noch eine grössere Rolle spielen, wenn die neue EU-Datenschutzgrundverordnung (GDPR) im Mai 2018 in Kraft tritt. Dann werden Unternehmen, die in Europa Geschäfte machen, Datenpannen innerhalb von 72 Stunden melden müssen, um nicht etwa Strafzahlungen in Höhe von bis zu vier Prozent ihres globalen Jahresumsatzes leisten zu müssen. Die Studie zeigte hier jedoch noch grosse Defizite auf. Demnach benötigen Unternehmen derzeit im Durchschnitt mehr als sechs Monate, um eine Datenpanne zu entdecken. Weitere 66 Tage werden durchschnittlich benötigt, um die entdeckte Datenpanne zu beheben.

Weitere Ergebnisse der "Cost of Data Breach"-Studie 2017:

  • Teuerste Datenpannen fallen im Gesundheitssektor an: Im siebten Jahr in Folge führt der Gesundheitssektor die Liste der Branchen mit den teuersten Datenpannen an. So kostet der Diebstahl von Gesundheitsdaten 380 Dollar pro Datensatz, mehr als 2,5-mal so viel wie im globalen Branchendurchschnitt von 141 Dollar pro Datensatz.
  • Ursachen für eine Kostenzunahme bei Datenpannen: Hauptgrund für die Zunahme der Kosten bei Datenpannen war im vergangenen Jahr das Miteinbeziehen dritter Parteien. Dadurch wurden die Kosten im Schnitt um 17 Dollar pro Datensatz gesteigert. Unternehmen sollten deshalb die Sicherheitsvorkehrungen bei ihren Dienstleistern überprüfen, um die Sicherheit der Mitarbeiter- und Kundendaten sicherzustellen.
  • Möglichkeiten zur Senkung der Kosten einer Datenpanne: Incident Response, Verschlüsselung der Daten und Aufklärung der Mitarbeiter waren die Faktoren, die am meisten zur Reduzierung der Kosten bei Datenpannen beigetragen haben. Ein Incident-Response-Team verringerte die Kosten um 19 Dollar pro Datensatz, eine durchgängige Verschlüsselung aller Daten führte zu einer Reduktion um 16 Dollar pro Datensatz und die Schulung von Mitarbeitern brachte eine Ersparnis von 12,50 Dollar pro Datensatz ein.

Sie können auch interaktiv in die Ergebnisse der Studie "eintauchen" – mit dem IBM Security Data Breach Calculator.

Mehr Artikel zum Thema: EU-DSGVO Security

BYOD: Sicherheit und Datenschutz regeln

Seit Smartphones & Co. den Arbeitsalltag erobert haben,...

Weiterlesen

Post hilft bei DSGVO-Umsetzung

Die Österreichische Post AG berät Geschäftskunden zu allen...

Weiterlesen

Die EU-DSGVO und ihre Mythen

Kein Richter und auch nicht die Datenschutzbehörde werden...

Weiterlesen

IT-Risikozone Finanzbranche

IT-Verantwortliche schlafen zur Zeit schlecht. Zu Recht! Sie...

Weiterlesen

10 DSGVO-Tipps für Österreichs Unternehmer

Am 25. Mai 2018 tritt die neue Datenschutzgrundverordnung...

Weiterlesen

Von Wanzen und Phishen

E-Mail-Spionage und Identitätsklau zahlen sich für...

Weiterlesen

EU-DSGVO: Dokumentation ist A&O

Wolfgang Honold, DSAG-Vorstand Österreich, beschreibt im...

Weiterlesen

3 Schritte für sichere SaaS-Nutzung

Nicht genehmigte SaaS-Anwendungen bergen Risiken,...

Weiterlesen

Urlaub? Fällt aus!

Fluglinien schützen ihre IT-Infrastruktur oft nur...

Weiterlesen

Überwachungspaket vs. Demokratie

Österreich steht vor einer dramatischen Ausweitung der...

Weiterlesen

Bundestrojaner gefährdet IT-Security

Die geeinte österreichische Internetwirtschaft äußert in...

Weiterlesen

DSGVO & NIS stellen Unternehmen unter Zugzwang

Ob wir es wollen oder nicht: Die EU-DSGVO wird im Jahr 2018...

Weiterlesen

ESET MSP Roadshow

IT-Security Hersteller ESET lädt Anfang Oktober zur...

Weiterlesen

Security-Awareness spielend fördern

Palo Alto Networks gibt Tipps zur Umsetzung von...

Weiterlesen

USB gehört gemanagt

Konstantin Fröse vom Storage-Security-Spezialisten...

Weiterlesen

IT-Security Messe und Kongress

Die it-sa zählt zu den weltweit wichtigsten Messen zum Thema...

Weiterlesen

NTT Security baut Management um

Kai Grunwitz wird Senior Vice President EMEA, Patrick...

Weiterlesen

Microsoft-Tools für DSGVO

Microsoft hat ein Set an kostenlosen Assessment-Tools zur...

Weiterlesen

IoT-Sicherheit erfordert Security by Design

Das Internet der Dinge bringt auch für den Mittelstand...

Weiterlesen

EMEA-Firmen nutzen Public Cloud

Unternehmen in der EMEA-Region steigern ihre Investition in...

Weiterlesen