Angesichts der fortschreitenden Cyberangriffe müssen sich Unternehmen nicht nur mit den üblichen Meldepflichten auseinandersetzen, sondern sehen sich auch mit zusätzlichen rechtlichen Risiken durch Sammelklagen im Zusammenhang mit einem Vorfall konfrontiert.
James Jansen, VP Cyber Breach Review Solutions, Consilio
Cyber-Risiko als größtes Risiko - das ist eine kühne Behauptung, aber wenn man sich die Beschleunigung der digitalen Wirtschaft vor Augen führt, wird schnell klar, wie eng die Risiken miteinander verknüpft sind, von denen Unternehmen jeder Größe und Branche an jedem Ort der Welt betroffen sind. Cyber-Risiken betreffen uns alle.
Die Beschleunigung der Digitalisierung hat den Unternehmen zwar viele Vorteile in Bezug auf Flexibilität, Umfang und Effizienz gebracht, sie ist aber auch ein äußerst attraktives Betätigungsfeld für Cyber-Kriminelle geworden, was sich in der zunehmenden Häufigkeit, Schwere und Raffinesse von Cyber-Vorfällen niederschlägt, die jeden Tag auftreten. Die kriminellen Banden und auch Nationalstaaten, die hinter vielen dieser Vorfälle stehen, sehen darin eine lukrative Einnahmequelle und haben sich schnell zu einem hochorganisierten System entwickelt, in dem die Angriffe immer mehr zu einem Geschäftsmodell werden.
Auf dem Gipfeltreffen des Weltwirtschaftsforums (WEF) 2023 in Davos war dies ein heiß diskutiertes Thema: "93 % der Cyber-Führungskräfte und 86 % der Wirtschaftsführer halten es für mäßig wahrscheinlich oder sehr wahrscheinlich, dass die globale geopolitische Instabilität in den nächsten zwei Jahren zu einem weitreichenden, katastrophalen Cyber-Ereignis führen wird."
Die Auswirkungen auf Unternehmen, die von Cybervorfällen betroffen sind, sind ebenso vielfältig, sei es in finanzieller Hinsicht durch die Kosten für die Reaktion auf einen Vorfall und die Wiederherstellung nach einem Vorfall, durch die betrieblichen Auswirkungen einer Betriebsunterbrechung, sei es durch den Ausfall von Kernsystemen oder Daten oder durch Angriffe auf Produktionsmaschinen oder -anlagen, oder durch die Auswirkungen auf den Ruf, die den langfristigen Wert eines Unternehmens beeinträchtigen.
Einfach ausgedrückt, es ist das Risiko Nr. 1, dem Unternehmen heute ausgesetzt sind....
In dem Bestreben, eine auf "digitalem Vertrauen" basierende globale Wirtschaft zu schaffen, verändert sich die globale Rechts- und Regulierungslandschaft mit zahlreichen Rahmenwerken wie NIS2 (Network and Information Security) oder
DORA (Digital Operational Resilience Act) in der EU, zusammen mit potenziell konkurrierenden Datenschutzanforderungen in verschiedenen Rechtsordnungen wie GDPR (EU) oder CCPA (California Consumer Privacy Act, USA) und vielen anderen neuen Anforderungen. Dabei geht es vor allem darum, das richtige Gleichgewicht zwischen Datenschutz und Konnektivität zu finden.
Sowohl für Unternehmen als auch für staatliche Einrichtungen gibt es verschiedene Arten von Vorfällen, die es erforderlich machen können, dass Sie oder Ihre Kunden eine Datenüberprüfung durchführen müssen, und zwar sowohl bei externen Bedrohungen wie Business Email Compromise (BEC) oder einem Ransomware-Angriff als auch bei internen Quellen wie falsch konfigurierten Datenbanken oder dem Diebstahl von Mitarbeiterdaten.
Bei der Reaktion auf einen Vorfall ist die Notwendigkeit einer schnellen, genauen und effektiven Überprüfung der potenziell betroffenen Daten von größter Bedeutung. In Anbetracht dieser Überlegungen und potenziellen Vorgehensweisen erfordert jedes dieser Szenarien oft einen angepassten Ansatz, doch in jedem Fall sind Schnelligkeit, Genauigkeit bei der Analyse und Überprüfung potenziell betroffener Daten gefragt.
Angesichts dieses wachsenden Risikos für ein Unternehmen gibt es eine Reihe wichtiger Maßnahmen, auf die Unternehmen und insbesondere die Rechts- und Cybersicherheitsteams vorbereitet sein sollten:
- Verstehen Sie Ihre Gefährdung - Bewerten Sie die betroffenen Daten auf personenbezogene oder sensible Inhalte. Dies muss schnell, effizient und genau erfolgen.
- Benachrichtigung der Stakeholder - Es ist wichtig, dass die Berater für Datenschutzverletzungen und die DFIR-Teams in der Lage sind, den Umfang der betroffenen oder potenziell betroffenen Daten schnell, effizient und genau zu erfassen, um fundierte strategische Entscheidungen treffen zu können, sei es gegenüber den Schadenersatzteams der Versicherer, den betroffenen Personen sowohl intern als auch extern und ggf. den nationalen Datenschutzbehörden.
- Kostenmanagement - durch die optimierte Kombination von fortschrittlicher, angewandter Analytik und effizienter Überprüfung.
Der Autor:
Rolf Kühne ist Regional Director bei Consilio LLC in Zürich. Seine Hauptkompetenz liegt in der Bereitstellung umfassender integrierter Forensik-, elektronischer Discovery- und Dokumentenprüfungsdienste für komplexe Rechtsangelegenheiten. In seiner vorherigen Rolle hat er erfolgreich ein internes eDiscovery-Team strukturiert, aufgebaut und geleitet sowie große Compliance-Untersuchungsprojekte durchgeführt. Treffen Sie Rolf Kühne und Consilio am 25. / 26. April auf der Vienna Legal Tech.
Weiterführende Links:
Cybercrime to Cost the World 8 Trillion Annually In 2023
WEF_Global_Security_Outlook_Report_2023 (pdf)
Pentlandanalytics / AON zu Auswirkungen von Cybervorfällen (pdf)
Europaparlament zu NIS2 (Network and Information Security)
Europaparlament zu DORA (Digital Operational Resilience Act)
