Mobile-Menu

Mehr als Geldstrafen Die unausgesprochenen Kosten von Cyberangriffen

Ein Gastbeitrag von Andy Grolnick 5 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

In der komplexen Bedrohungslandschaft des digitalen Zeitalters nehmen Cybervorfälle stetig zu. Ob privat oder öffentlich: Eine Datenschutzverletzung kann massive, langanhaltende Folgen haben. Viele Unternehmen unterschätzen den Aufwand, bis sie selbst betroffen sind. Die Schäden reichen von finanziellen Einbußen bis hin zum dauerhaften Verlust von Ruf, Kundenvertrauen und Marktwert.

Bei einer Datenschutzverletzung denken Unternehmen oft nur an die Kosten durch Bußgelder, Forensik und Wiederherstellung; aber „versteckte“ Kosten wie die langfristige Schädigung von Ruf, Kundenvertrauen und Marktwert können viel teurer werden.(Bild: zest_marina - stock.adobe.com)
Bei einer Datenschutzverletzung denken Unternehmen oft nur an die Kosten durch Bußgelder, Forensik und Wiederherstellung; aber „versteckte“ Kosten wie die langfristige Schädigung von Ruf, Kundenvertrauen und Marktwert können viel teurer werden.
(Bild: zest_marina - stock.adobe.com)

Bei der Vorbereitung auf Cyberangriffe konzentrieren sich Unternehmen oft auf die direkten Kosten - Geldstrafen, Anwaltskosten, forensische Sicherheitsberater, Wiederherstellungskosten sowie Versicherungskosten, Versicherungsschutz und Auswirkungen auf die Police. Es gibt jedoch zusätzliche, nicht kommunizierte „versteckte“ Kosten, die ebenso schädlich sind und das langfristige Wachstum des Unternehmens nachhaltig beeinträchtigen. Dies gilt für Unternehmen aller Branchen, von der Pharmazie bis zur Prozessindustrie und dem Maschinenbau, unabhängig von der Größe des Unternehmens.

So führte ein Ransomware-Angriff im Jahr 2017 dazu, dass das Pharmaunternehmen Merck & Co. die Produktion von Medikamenten stoppen und 1,4 Milliarden US-Dollar verlor. Der Angriff führte auch zu einem Verlust von 260 Mio. US-Dollar bei den weltweiten Arzneimittelverkäufen im Jahr 2017 und 200 Mio. US-Dollar im Jahr 2018. Es gibt jedoch noch weitere heimtückische Kosten für Unternehmen nach einem Cyberangriff.

Die kumulativen Kosten von Cyberpannen

Wenn ein Unternehmen betroffen ist, liegt der Fokus sofort auf der Einhaltung von Vorschriften und Geldbußen, insbesondere wenn Kundendaten offengelegt wurden. So drohen Unternehmen nach der Datenschutz-Grundverordnung saftige Strafen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Diese Geldbußen sind nur der Anfang des finanziellen Schadens.

Sobald eine Datenschutzverletzung entdeckt wird, müssen digitale Forensik-Teams (bei denen es sich oft um teure externe Berater handelt) das Ausmaß des Schadens bewerten, herausfinden, wie es zu der Verletzung gekommen ist, und Schritte zur Eindämmung empfehlen. Diese Aufgabe ist sicherlich nicht billig.

Abgesehen von der Forensik fallen auch Kosten für das Krisenmanagement an, das die Zusammenarbeit mit Rechtsteams und Cybersicherheitsexperten umfasst, um die Situation zu bewältigen. Je nach Ausmaß und Auswirkung könnte der Vorfall zudem zu Klagen von Aktionären und/oder Kunden führen. Ein Beispiel dafür ist der Vorfall bei der PharMerica Corporation im Jahr 2023: Durch einen Ransomware-Angriff wurden die persönlichen Daten von fast 6 Millionen Menschen preisgegeben, und das Gesundheitsunternehmen sah sich daraufhin mit einer Sammelklage konfrontiert.

Während die erste Reaktion bewältigt wird, tritt der langfristige Schaden in den Vordergrund, da der Ruf der Marke und das Vertrauen von Kunden und Aktionären nach einer Sicherheitsverletzung oft leidet. Es geht nicht nur um die unmittelbaren Umsatzeinbußen, sondern auch um den Vertrauensverlust, der sich über Jahre hinziehen kann.

Hinzu kommen die Probleme mit der Versicherung. Nach einem schwerwiegenden Sicherheitsverstoß ist es für viele Unternehmen schwierig, wenn nicht gar unerschwinglich, eine Cyberversicherung abzuschließen, da die Versicherer entweder die Prämien erhöhen oder den Versicherungsschutz ganz verweigern. Es hat sogar Fälle gegeben, in denen Versicherungsgesellschaften die Auszahlung von Ansprüchen verweigerten, weil das betroffene Unternehmen kein akzeptables Niveau an Cybersicherheit aufrechterhielt. Dies erschwert es den Unternehmen, sich vor künftigen Vorfällen zu schützen. Für kleine und mittlere Unternehmen wiederum könnte die Unfähigkeit, eine erschwingliche Cyberversicherung abzuschließen, katastrophale Folgen haben.

Laut IBM und dem Ponemon Institute erreichten die durchschnittlichen Kosten einer Datenschutzverletzung im Jahr 2024 ein Rekordhoch von 4,88 Millionen US-Dollar - aber es steckt eindeutig mehr dahinter.

Interner blinder Fleck - Mitarbeiteraufsicht

Wir könnten tagelang über verschiedene Szenarien und die finanziellen und markenbezogenen Auswirkungen der Cybersicherheit sprechen, aber es gibt ein entscheidendes Element, das oft übersehen wird - die unverzichtbaren Auswirkungen auf die Moral der Mitarbeitenden. Ein größerer Vorfall im Bereich der Cybersicherheit kann tiefgreifende psychologische und kulturelle Auswirkungen auf die Belegschaft haben, die zu Produktivitätseinbußen, Disengagement und in einigen Fällen zu einer höheren Fluktuationsrate führen.

Wieso das so ist? Oft fühlen sich die Mitarbeitenden direkt für die Sicherheitsverletzung verantwortlich, vor allem, wenn sie auf eine Phishing-E-Mail oder die Nichteinhaltung von Sicherheitsprotokollen zurückzuführen ist. Die Mitarbeitenden könnten auch beginnen, die Stabilität des Unternehmens in Frage zu stellen und beginnen, um ihre Arbeitsplatzsicherheit zu fürchten, insbesondere in Branchen, in denen Entlassungen nach öffentlichkeitswirksamen Sicherheitsverletzungen üblich sind.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Auch die Teams werden nach einem Cyberangriff oft genauer unter die Lupe genommen. Unternehmen verschärfen in der Regel ihre internen Protokolle, indem sie die Überwachung der Mitarbeiteraktivitäten verstärken und zusätzliche Kontrollinstanzen einrichten. Diese Maßnahmen sind zwar notwendig, um künftige Angriffe zu verhindern, sie können aber auch eine Kultur des Misstrauens schaffen, in der sich die Arbeitnehmenden mikromanipuliert und in ihren Rollen weniger befähigt fühlen.

Und nicht selten müssen IT-Teams nach einem Cyberangriff Überstunden machen, um Systeme wiederherzustellen, Schwachstellen zu beheben und Wiederherstellungsmaßnahmen zu verwalten. Dieser zusätzliche Druck, oft ohne zusätzliche Vergütung oder Unterstützung, kann schnell zu einem Burnout führen. Auch Mitarbeitende außerhalb der IT-Abteilung können die Belastung spüren, da sie mit Betriebsstörungen, Kundenbeschwerden und einem allgemeinen Gefühl der Unsicherheit über die Zukunft des Unternehmens konfrontiert sind.

Darüber hinaus können überlastete Mitarbeitende anfangen, sich nicht mehr zu engagieren, was zu einer geringeren Produktivität und einer niedrigeren Qualität der Arbeit führt. In schwerwiegenden Fällen kann es dazu kommen, dass wichtiges Fachpersonal das Unternehmen verlässt. Auf einem Arbeitsmarkt, der von Fachkräftemangel geprägt ist, kann dies tiefgreifende Auswirkungen auf das Unternehmen haben.

Wenn es um die Gestaltung der Moral und der Unternehmenskultur geht, spielt auch die Art und Weise, wie die Führung mit den Folgen eines Cyberangriffs umgeht, eine große Rolle. Wenn die Mitarbeitenden den Eindruck haben, dass die Führungskräfte nicht transparent sind oder keine Verantwortung für die Sicherheitsverletzung übernehmen, kann dies zu einem Vertrauensverlust führen. Mangelnde Kommunikation oder das Versäumnis, die Schwere der Situation anzuerkennen, führt dazu, dass sich die Mitarbeitenden unterbewertet und unmotiviert fühlen.

Es gilt ganzheitlich zu handeln

Die Kosten einer Verletzung der Cybersicherheit gehen weit über die unmittelbaren finanziellen Strafen, Rechtskosten und Wiederherstellungskosten hinaus. Sie können auch das langfristige Wachstum und die Bewertung eines Unternehmens stark beeinträchtigen, da das geschwächte Vertrauen der Kunden und die Rufschädigung oft zu einem geringeren Vertrauen der Anleger und einer geringeren Wettbewerbsfähigkeit führen. Die langfristigen Auswirkungen auf die Stimmung unter den Mitarbeitenden, die Unternehmenskultur und die allgemeine Gesundheit des Unternehmens dürfen nicht unterschätzt werden.

Unternehmen müssen einen ganzheitlichen Ansatz für die Cybersicherheit wählen, der sowohl die sichtbaren als auch die versteckten Kosten berücksichtigt. Das bedeutet nicht nur, dass sie ihre Cyber-Hygiene aufrechterhalten und in Technologien zur Erkennung von Bedrohungen und zur Reaktion auf Vorfälle investieren müssen, sondern auch, dass sie eine widerstandsfähige Belegschaft aufbauen müssen, die mit den emotionalen und kulturellen Herausforderungen nach einem Cyberangriff umgehen kann.

Ein Unternehmen, das sowohl externen als auch internen Wiederherstellungsmaßnahmen Vorrang einräumt, wird viel besser in der Lage sein, den Sturm eines Cyberangriffs zu überstehen und gestärkt daraus hervorzugehen.

Über den Autor: Andy Grolnick ist CEO vom Security-Anbieter Graylog und verfügt über mehr als dreißig Jahre Erfahrung im Aufbau und in der Führung wachstumsstarker Technologieunternehmen in den Bereichen Unternehmenssoftware, Sicherheit und Storage. Sein Fokus hochwertige Produkte bereitzustellen sowie den Kundenerfolg und eine starke Unternehmenskultur zu fördern sind sein Erfolgsrezept.

(ID:50305579)

Weiterführende Inhalte