Sammelklagen nehmen zu Datenschutz: Kostenfalle für IT-Dienstleister

Anbieter zum Thema

Allianz Commercial

WatchGuard Technologies GmbH

Cyberangriffe und Datenschutzverletzungen nehmen zu und stellen Unternehmen vor erhebliche Herausforderungen. Das veränderte regulatorische Umfeld und die Verbreitung von KI verstärken die Risiken zusätzlich. Unternehmen müssen daher gezielte Datenschutz-Strategien entwickeln.

Der Aufwärtstrend der Cyber-Schäden hat sich 2024 fortgesetzt, was zum großen Teil auf die Zunahme von Vorfällen im Zusammenhang mit dem Abfluss von personenbezogenen Daten und sonstigen Datenschutzverletzungen zurückzuführen ist. So haben sich laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) die Cyberangriffe auf deutsche Unternehmen in den letzten Jahren deutlich erhöht, wobei insbesondere Ransomware-Angriffe stark zugenommen haben. Im Rahmen solcher Angriffe werden mittlerweile regelmäßig Daten im größeren Umfang vor der Einleitung des Verschlüsselungsprozesses abgezogen. Eine aktuelle Umfrage von Bitkom ergab wiederum, dass acht von zehn Unternehmen in Deutschland von Datendiebstahl, Spionage oder Sabotage betroffen waren.

Die Allianz-Commercial-Analyse zeigt, dass die Häufigkeit von Cyber-Großschäden (im Wert von mehr als einer Million Euro) in den ersten sechs Monaten des Jahres 2024 weltweit um 14 Prozent stieg, während die Schwere der Schäden um 17 Prozent zunahm. Dies folgte auf einen Anstieg der Häufigkeit um 41 Prozent, während die Höhe der Schäden im Jahr 2023 nur um ein Prozent zunahm. Zwei Drittel dieser Großschäden stehen im Zusammenhang mit dem Abfluss personenbezogener Daten oder sonstigen Datenschutzverletzungen.

Cyberversicherungen

Mehr Schäden durch Cyberangriffe

Datenschutzrechtliche Sammelklagen verdreifacht

Die wachsende Bedeutung von Datenschutzverletzungen bei den Cyberversicherungsansprüchen ist auf eine Reihe bemerkenswerter „Trends“ zurückzuführen. Die Zunahme von Ransomware-Angriffen, im Rahmen derer es auch zu einem Abzug von Daten kommt, ist eine Folge der sich ändernden Taktik der Angreifer und der zunehmenden digitalen Verflechtung von Organisationen, die immer größere Mengen an personenbezogenen Daten austauschen. Gleichzeitig hat das sich entwickelnde regulatorische und rechtliche Umfeld zu einem Anstieg der so genannten „nicht angriffsbezogenen“ datenschutzrechtlichen Sammelklagen insbesondere in den USA geführt. Diese Klagen resultieren aus Vorfällen wie der unrechtmäßigen Erhebung und Verarbeitung personenbezogener Daten und ihr Anteil hat sich allein in den vergangenen zwei Jahren verdreifacht. Diese Entwicklung trifft in erster Linie Unternehmen, deren Geschäftsmodell einen Bezug zu den USA aufweist oder die Daten mit US-Bezug verarbeiten. Jedoch wurden mit der Richtlinie (EU) 2020/1828 über Verbandsklagen auch in Europa die rechtlichen Rahmenbedingungen für ein Kollektivklageinstrument geschaffen, das den Mechanismen in den USA ähnelt.

Der Gesetzgeber hat die Richtlinie mit dem „Verbandsklagerichtlinienumsetzungsgesetz“ zwischenzeitlich in deutsches Recht umgesetzt. Zwar ist eine Entwicklung wie in den USA hierzulande noch nicht zu erkennen, sie muss jedoch befürchtet werden. Hinzu kommt, dass der zunehmende Einsatz von Künstlicher Intelligenz (KI) das Potenzial hat, die Risiken in die Höhe zu treiben, wobei KI auf der anderen Seite zu einem wichtigen Instrument bei der Bekämpfung von Cyberangriffen wird und zum Teil schon ist.

Hohe Kosten durch Datenschutzverletzungen

Der Anstieg von Versicherungsfällen im Zusammenhang mit Datenschutzklagen – im Rahmen derer es also nicht zu einem klassischen Hackerangriff gekommen ist – ergibt sich aus technologischen Entwicklungen, des steigenden Werts personenbezogener Daten und einer sich entwickelnden regulatorischen und rechtlichen Landschaft. Im Gegensatz zur EU-Datenschutz-Grundverordnung (DSGVO) sind die Datenschutzbestimmungen in den USA weniger präskriptiv und viel offener für Interpretationen. Gleichzeitig sucht die Prozessindustrie in Gestalt der Klägeranwälte in den USA nach weiteren potenziellen Einnahmequellen. Dadurch entsteht eine Grauzone, die für Sammelklagen geradezu prädestiniert ist.

Versicherer sehen in den USA insofern die Häufung von Versicherungsfällen aufgrund der Verletzung von datenschutzrechtlichen Regelungen, und es gibt einen zunehmenden Trend zu Sammelklagen gegen große US-amerikanische und internationale Unternehmen in diesem Bereich. Diese beziehen sich zum Beispiel auf die Einwilligung der User zu datenverarbeitenden Vorgängen oder ganz generell auf die Nutzung der vereinnahmten personenbezogenen Daten. Diese Klagen können sogar kostspieliger sein als ein ausgewachsener Ransomware-Vorfall und hunderte Millionen Dollar kosten. Dabei sind etwaige Reputationsschäden gar nicht eingerechnet.

Kostenloser Bitkom-Leitfaden

Wann und für wen lohnt sich eine Cyberversicherung?

Große Datenpannen können sich zugleich zu exzessiven Rechtsstreitigkeiten entwickeln, wobei ein Ereignis eine ganze Reihe von Sammelklagen auslöst. Ein Beispiel: Mehr als 240 Klagen im Zusammenhang mit der MOVEit-Datenpanne im Jahr 2023 wurden im Oktober 2023 in einer einzigen „Multidistrict Litigation“ zusammengefasst.

Rechtsstreitigkeiten auch in Europa

Wer jetzt abwinkt, weil dies Ereignisse auf der anderen Seite des Atlantiks waren, der macht es sich zu leicht: Mit dem bereits erwähnten „Verbandsklagerichtlinienumsetzungsgesetz“ nimmt das Risiko von Rechtsstreitigkeiten wegen Datenschutzverletzungen auch in Europa zu. Ein geschärftes Bewusstsein für Datenschutzrechte, die zunehmende Verfügbarkeit von Drittmitteln für Rechtsstreitigkeiten (etwa durch Prozessfinanzierer) und eine verbraucherfreundliche Gesetzgebung könnten dazu führen, dass massenhafte Datenschutzklagen Realität werden.

Besonders IT-Dienstleister, die im größeren Umfang Informationen und Daten verarbeiten, sollten das Thema Datenschutz und -sicherheit nicht vernachlässigen. Hierzulande wachen die Datenschutzbehörden – wie die Landesdatenschutzbeauftragten – über die Einhaltung von Standards und Verbraucher können sich mittlerweile zumindest mittelbar über entsprechende Interessenverbände an Sammelklagen beteiligen.

Datenabzug: ein entscheidender Faktor für Versicherungsfälle

In den letzten 18 Monaten gab es mehrere aufsehenerregende Cyberangriffe im Rahmen derer es zur massenhaften Abzug von Daten kam – darunter auf MOVEit, MGM, T-Mobile, Change Healthcare und Snowflake. Das Ergebnis war der Diebstahl von Daten von Hunderten von Millionen von Personen, was Sammelklagen auslöste, und so den Druck auf Unternehmen erhöhte, hohe Erpressungssummen zu bezahlen.

Der Anstieg dieses massenhaften Datenabzugs hat die Dynamik verändert. Er ist jetzt eine etablierte Methode bei Cyber-Erpressungsfällen. Selbst wenn die vorgehaltenen Backups den Angriff unbeschadet überstanden haben, sind die Daten faktisch verloren gegangen, da die Angreifer unautorisierten Zugriff hatten und mit der weiteren Veröffentlichung einer Kopie der Daten im Dark Web drohen. Bereits der unautorisierte Zugriff auf personenbezogene Daten stellt regelmäßig eine Datenschutzverletzung im Sinne der Datenschutzgrundverordnung dar.

Was als Ransomware-Schaden beginnt, eskaliert dann in der Regel zu einem Datenschutzfall, wenn sich herausstellt, dass die Angreifer personenbezogene Daten gestohlen haben. Dies kann schnell zu hohen Schäden führen, die Geldbußen, Benachrichtigungskosten von betroffenen Usern sowie möglicherweise Kosten für Rechtsstreitigkeiten mit Dritten umfassen können. Hinzu kommen regelmäßig Kosten durch die Erpressungsforderungen, eigene Kosten insbesondere für die Incident Response – vor allem für IT-Forensik und die Wiederherstellung des Systems – und die Kosten einer möglichen Betriebsunterbrechung durch den Ransomware-Angriff.

Zugleich sind IT-Mittelstand und kritische Infrastrukturen hierzulande noch immer anfällig für Cyberangriffe. Einerseits sind sie wegen der verarbeiteten Daten und ihren Kunden attraktive Ziele, andererseits gibt es in der Praxis häufig Verbesserungsbedarf, leider auch bei grundlegenden IT-Security-Maßnahmen.

KI als Motor für künftige Datenschutzverletzungen

KI stützt sich auf die Sammlung und Verarbeitung großer Datenmengen, einschließlich persönlicher, gesundheitsbezogener und biometrischer Informationen, um KI-Modelle zu trainieren und um möglichst genaue Vorhersagen zu treffen oder Empfehlungen abzugeben. Der Einsatz von KI in Unternehmen und öffentlichen Einrichtungen nimmt von Tag zu Tag zu, wobei mittlerweile fast alle Branchen entsprechende Anwendungen einsetzen. Laut einer McKinsey-Umfrage geben fast zwei Drittel (65 %) der Unternehmen an, dass sie regelmäßig KI einsetzen, doppelt so viele wie noch vor einem Jahr.

Angesichts dieser Entwicklungen kann KI potenzielle Datenschutz- und Sicherheitsrisiken mit sich bringen, wenn sie nicht ordnungsgemäß gehandhabt wird. Da so viele Daten gesammelt und verarbeitet werden, besteht die Gefahr, dass sie in die falschen Hände geraten, sei es durch einen Hackerangriff oder andere Sicherheitsverletzungen. Es gibt außerdem Bedenken hinsichtlich möglicher Verstöße gegen Datenschutzgesetze, beispielsweise ob Unternehmen eine ordnungsgemäße Zustimmung der Betroffenen zur Verarbeitung von deren Daten durch KI haben.

Verschiedene KI-Anwendungen sind dabei mit unterschiedlichen Risiken behaftet. KI-Anwendungsfälle, die sich auf Verbraucherprodukte und -dienstleistungen konzentrieren – wie Chatbots oder generierte Inhalte – sind sehr wahrscheinlich mit einem höheren Datenschutzrisiko verbunden als administrative Anwendungen, wie die Automatisierung interner Prozesse.

Es wird Jahre dauern, bis die KI-Regulierung gut entwickelt ist. Bis dahin sehen sich Organisationen mit einer Phase erhöhter Unsicherheit konfrontiert, und das Risiko von Verlusten im Zusammenhang mit dem Datenschutz wird über dem normalen Niveau liegen.

Verdoppelung der Anstrengungen für Cybersicherheit, Datenschutz und Schutz der Privatsphäre

Vor diesem Hintergrund müssen große und kleine Unternehmen ihre Anstrengungen zum Schutz ihrer Daten verdoppeln. Trotz eines allgemeinen Trends zu mehr Investitionen in die Cybersicherheit in den letzten Jahren sind viele Datenschutzverletzungen, darunter einige der größten Fälle in den letzten 18 Monaten, das Ergebnis einer unzureichenden Cybersicherheit innerhalb der Unternehmen und/oder ihrer Lieferketten.

Die Risiken von Datenschutzverletzungen lassen sich am besten durch eine gute Cyber-Hygiene, einschließlich strenger Zugangskontrollen, Segmentierung der Dateninfrastruktur – also Aufteilung der Daten nach bestimmten Kriterien wie Datentyp, Zugriffsrechten oder Funktionalität in einzelne Datenbanken –, vernünftiger Backup- und Patching-Konzepte und Schulungen der Mitarbeiter mindern. Darüber hinaus gibt es weitere Maßnahmen, die zum Schutz personenbezogener Daten beitragen. Dazu gehören Tools zur Simulation von Sicherheitsverletzungen und Angriffen, die bei der Ermittlung von Schwachstellen in der Cybersicherheit, der Reaktion auf Sicherheitsverletzungen und dem Krisenmanagement helfen können. Die Überwachung und Überprüfung der Cybersicherheit durch externe Anbieter, einschließlich regelmäßiger Audits, ist ein zunehmend wichtiger Aspekt guter Cybersicherheit und ein Bereich, in dem sich viele Unternehmen verbessern können.

Frühzeitige Erkennungs- und Reaktionsmöglichkeiten sind ebenfalls entscheidend. Etwa zwei Drittel der Sicherheitsverletzungen werden in der Regel von Dritten oder von den Angreifern selbst gemeldet – also nicht von den Betroffenen selbst! Informationssicherheitsverletzungen, die nicht frühzeitig erkannt und eingedämmt werden, können bis zu 1.000-mal teurer sein als solche, die rechtzeitig erkannt werden. So wird aus einem 20.000 Euro-Schaden schnell ein 20 Millionen Euro-Schaden.

Auch KI wird zu einem unverzichtbaren Instrument im Kampf gegen Cyberangriffe, da sie Sicherheitsverletzungen schnell erkennen und Systeme und Datenbanken automatisch isolieren kann. Außerdem hat sie das Potenzial, die Kosten und die Dauer eines Datenschutzvorfalls durch die Automatisierung und die damit einhergehende Beschleunigung von Aufgaben wie Forensik und Benachrichtigung von Betroffenen erheblich zu reduzieren. Laut IBM konnten Unternehmen, die KI und Automatisierung im Bereich Cybersicherheit einsetzen, die Kosten eines Datenschutzvorfalls im Durchschnitt um gut zwei Millionen US-Dollar senken.

Dabei sind nicht nur IT-Servicedienstleister, Systemhäuser und vergleichbare Dienstleister gefragt: Auch die Versicherungsbranche muss sich noch stärker auf Datenschutzthemen konzentrieren, um an jüngste Erfolge bei Ransomware und Co. anzuknüpfen, wo die versicherten Schäden zwar immer noch beträchtlich sind, sich aber mittlerweile stabilisiert haben. Grund dafür sind verbesserte Cybersicherheits- und Backup-Strategien, die den versicherten Unternehmen geholfen haben, Angriffen besser standzuhalten und zu bewältigen. Dies bedeutet insbesondere, verstärkte Beratung zur Schadensverhütung und -Minderung in diesem immer wichtiger werdenden Bereich der Cyber-Exponierung.

Die steigenden Risiken und wachsenden rechtlichen Anforderungen verdeutlichen, dass Unternehmen Cybersicherheit als festen Bestandteil ihrer Strategie verankern müssen. Neben Investitionen in Schutzmaßnahmen wird der verantwortungsvolle Umgang mit Kundendaten immer wichtiger. Angesichts der Folgen für Image und Finanzen bleibt ein umfassender Datenschutz entscheidend für das Vertrauen in Unternehmen.

533 Millionen Facebook-Nutzerdaten betroffen

Sammelklage für Facebook-Nutzer nach Datenvorfall

(ID:50264358)