Im Rahmen einer dreiteiligen Artikelserie zum Datenschutztag 2023 (siehe die begleitenden Artikel von Jakub Lewandowski und Thomas Bryant) argumentiert Bill Mew, dass es ein echtes Problem bei der Durchsetzung gibt – dort herrschen Zustände wie im „Wilden Westen“.
Richtlinien, Rahmenbedingungen und Vorschriften sind nur dann hilfreich, wenn sie eingehalten werden – genauso wie Vorschriften und Gesetze ohne Durchsetzung bedeutungslos sind. Das Problem im Bereich Datenschutz und Cybersicherheit besteht darin, dass dort, wo Vorschriften gelten sollten, diese häufig ignoriert werden, und dass dort, wo Gesetze eingeführt wurden, deren Durchsetzung verstärkt werden muss.
CISOs (Chief Information Security Officers) haben eine undankbare Aufgabe. Die Mitarbeiter zögern meist, sich an die von einem CISO durchgesetzten Maßnahmen zur Cyberhygiene zu halten, doch wenn ihre mangelnde Disziplin zu einer Sicherheitsverletzung führt, sind diese Kollegen nur allzu schnell dabei, dem CISO die Schuld zu geben. Hinzu kommt, dass zwar kostspielige und komplexe Vorschriften einzuhalten sind und strenge Regeln für die Meldung von Sicherheitsverletzungen gelten, die Behörden jedoch, anstatt bei der Bewältigung von Vorfällen zu helfen oder die tatsächlichen Täter zu fassen, die Meldungen lediglich dazu nutzen, die Höhe der Bußgelder festzulegen.
Funktionale und kulturelle Diskrepanz
Auf Nachfrage würden die meisten Mitarbeiter zustimmen, dass Cyberbedrohungen ein erhebliches Problem darstellen, doch in ihrer täglichen Arbeit konzentrieren sie sich auf umsatz- oder gewinnorientierte ROI-Kennzahlen (Return on Investment). Anhand dieser Kennzahlen werden ihre individuelle Leistung und die ihrer Abteilung gemessen, und darauf sind auch die unternehmensweiten Anreizsysteme ausgerichtet.
Der CISO konzentriert sich hingegen auf die Risikorendite (ROR). Ausgehend vom zugewiesenen Budget und der Risikobereitschaft des Unternehmens legt der CISO den Schwerpunkt darauf, die Sicherheit zu maximieren und Risiken zu minimieren.
Die Diskrepanz zwischen der ROR-Ausrichtung des CISO und der ROI-Ausrichtung so gut wie aller anderen kann dazu führen, dass der CISO in Konflikt mit dem restlichen Führungsteam gerät. Er kann nicht nur isoliert werden (was ich als „CISOlation“ bezeichne), sondern auch zum Sündenbock werden, wenn etwas schiefgeht – selbst wenn Warnungen ignoriert wurden.
Perverse regulatorische Anreize
In einem begleitenden Artikel hat Jakub Lewandowski [LINK] die Vielzahl neuer Datenschutz- und Cybersicherheitsgesetze beleuchtet, die voraussichtlich zu einer erheblichen regulatorischen Belastung führen werden. Das Problem ist, dass Regulierung ohne Durchsetzung nicht nur sinnlos, sondern sogar kontraproduktiv ist. Schließlich werden sich nur verantwortungsbewusste Unternehmen an diese Vorschriften halten, und für sie bedeutet dies Kosten oder eine Art „Compliance-Steuer“. Unverantwortliche Unternehmen hingegen entscheiden sich oft dafür, die Regeln nicht einzuhalten. Wenn sie davon ausgehen, dass das Risiko einer Durchsetzung gering oder gar nicht vorhanden ist, stellt dies für sie eine kostensparende und risikofreie Quelle für Wettbewerbsvorteile dar.
Die Nichteinhaltung von Vorschriften ist weit verbreitet und geht von der Unternehmensspitze aus, was sich in häufigen Schlagzeilen über Datenvorfälle bei Big-Tech-Unternehmen oder gegen diese verhängte Bußgelder widerspiegelt. Solche Bußgelder scheinen keine abschreckende Wirkung zu haben, sondern werden von Big-Tech-Unternehmen und vielen anderen, die das Pech hatten, einen Datenvorfall zu erleiden, vielmehr als zusätzliche Geschäftskosten angesehen.
Auch hier gilt: Verantwortungsbewusste Unternehmen, die ihr Bestes getan haben, um angemessene Maßnahmen zu ergreifen, aber Fehler oder Angriffe leider nicht verhindern konnten, laufen Gefahr, mit einer Geldstrafe belegt zu werden, sobald sie die zuständige Aufsichtsbehörde benachrichtigen. Unverantwortliche Unternehmen hingegen, die sich nicht an die Vorschriften halten, melden Vorfälle einfach nicht und versuchen stattdessen, sie zu vertuschen, um Geldstrafen zu vermeiden. Geldstrafen sind daher für verantwortungsbewusste Unternehmen eher zu einem nachlaufenden Indikator für Unglück geworden als für Fehlverhalten seitens der Unverantwortlichen.
Bilanz der Untätigkeit der Regulierungsbehörden
Die meisten Big-Tech-Unternehmen haben sich, angezogen von einem günstigen Steuersystem, dafür entschieden, ihren europäischen Hauptsitz in Irland anzusiedeln. Die lokale Aufsichtsbehörde, die DPC Ireland, ist daher dafür verantwortlich, sicherzustellen, dass diese Unternehmen die DSGVO und andere ähnliche Vorschriften einhalten. Ob nun aufgrund unzureichender finanzieller Mittel, aus Scheu, für Unruhe zu sorgen, oder einfach, weil sie den Big-Tech-Unternehmen an Ressourcen und Lobbykraft unterlegen ist – die DPC Ireland gilt als ineffektiv, wenn es darum geht, diese Unternehmen zur Rechenschaft zu ziehen.
In einem bemerkenswerten Fall wurden die Maßnahmen, die die Behörde nicht gegen Facebook ergriffen hatte, schließlich vor dem Europäischen Gerichtshof im Rahmen der Urteile „Schrems I“ und „Schrems II“ geklärt. Als die DPC Ireland auch daraufhin keine Maßnahmen ergriff und diese Urteile nicht umsetzte, wurde sie vom Europäischen Parlament mit 451 zu 1 Stimmen sanktioniert. Als sie schließlich durch weitere Lobbyarbeit von Regulierungsbehörden aus ganz Europa nach einer zweijährigen Verzögerung zum Handeln gezwungen wurde, war die gegen Facebook verhängte Geldbuße so niedrig, dass sie auf Drängen der anderen Regulierungsbehörden (um das Zehnfache) erhöht werden musste.
Die EU-Bürgerbeauftragte Emily O’Reilly leitete schließlich eine Untersuchung ein, um die Überwachung der Anwendung der Datenschutzvorschriften in Irland durch die Europäische Kommission zu prüfen. Acht Monate später kritisierte der Irish Council of Civil Liberties (ICCL) die EU dafür, dass sie die Durchsetzung der DSGVO in Irland nach wie vor nicht ordnungsgemäß überwache, während „die Grundrechte aller Europäer auf dem Spiel stehen“. Derzeit gibt es Bestrebungen, Irland die Zuständigkeit für die Regulierung der Big-Tech-Unternehmen zu entziehen und die Durchsetzung stattdessen zu zentralisieren.
Ineffektive globale Polizeiarbeit
Unterdessen nehmen die Zahl und die Komplexität von Cyberangriffen exponentiell zu, ebenso wie die Kosten für deren Behebung. Das Weltwirtschaftsforum (WEF) hat kürzlich nicht nur zu einem breiteren Einsatz von „Cyber-Übungen“ aufgerufen, um die Cybersicherheit und die Reaktionsfähigkeit bei Vorfällen zu testen, sondern setzt sich auch für die Notwendigkeit globaler Regeln zur Bekämpfung der Cyberkriminalität ein.
Die durch alle Formen der Cyberkriminalität entstandenen Schäden, einschließlich der Kosten für Recovery und Behebung, beliefen sich Schätzungen zufolge im Jahr 2015 auf insgesamt 3 Billionen US-Dollar und im Jahr 2021 auf 6 Billionen US-Dollar; bis 2025 könnten sie jährlich bis zu 10,5 Billionen US-Dollar erreichen.
Eine Cyberversicherung ist nicht die Lösung. Die rasant steigenden Prämien machen sie für die meisten Käufer unerschwinglich, aber selbst diejenigen, die sie sich leisten können, stellen oft fest, dass sie sich nicht lohnt. Gleichzeitig kann von einer Cyberversicherung nicht erwartet werden, dass sie systemische Probleme abdeckt, und in jedem Fall hat sie den unerwünschten Effekt, dass sie schwerwiegende Probleme möglicherweise noch verschlimmert.
Zwar haben fast alle Staaten die Übereinkommen der Vereinten Nationen zur Bekämpfung der Kriminalität, einschließlich der Cyberkriminalität, unterzeichnet, doch einige Länder verschließen die Augen davor und bieten Cyberkriminellen stattdessen sichere Rückzugsorte für ihre Aktivitäten. Während der Großteil der Cyberkriminalität aus Ländern wie Russland, dem Iran oder Nordkorea stammt, beschränken sich solche Aktivitäten nicht auf diese Schurkenstaaten, sondern finden auch in unserer näheren Umgebung statt. Darüber hinaus betreiben Länder wie China umfangreiche Spionageaktivitäten, und die Vereinigten Staaten sind für einen Großteil der weltweiten Massenüberwachung verantwortlich – all dies verstößt gegen die DSGVO und eine Vielzahl weiterer Gesetze.
Wir müssen damit beginnen, die Meldung von Datenschutzverletzungen und Cyberdiebstahl verbindlich vorzuschreiben. Dies hat in den USA mit dem „Cyber Incident Reporting for Critical Infrastructure Act“ von 2022 und in der EU mit der Richtlinie über die Sicherheit von Netz- und Informationssystemen von 2018 begonnen. Dennoch gibt es noch eine Vielzahl weiterer Vorschriften, die Telekommunikations- und Zahlungsdienstleister, Hersteller medizinischer Geräte sowie Betreiber kritischer Infrastrukturen zur Meldung von Datenschutzverletzungen verpflichten.
Sobald wir über fundiertere Daten zu diesem Problem verfügen, können wir uns darauf konzentrieren, die Effizienz und Wirksamkeit der internationalen Ermittlungs-, Strafverfolgungs- und Gerichtsverfahren zu verbessern. Das Büro der Vereinten Nationen für Drogen- und Verbrechensbekämpfung fördert ein Programm zur Bekämpfung der Cyberkriminalität, das folgende Ziele verfolgt:
- Steigerung der Effizienz und Wirksamkeit bei der Ermittlung, Strafverfolgung und gerichtlichen Aufarbeitung von Cyberkriminalität, insbesondere der sexuellen Ausbeutung und des Missbrauchs von Kindern im Internet, im Rahmen eines starken Menschenrechtsrahmens.
- Eine effiziente und wirksame langfristige, regierungsweite Reaktion auf Cyberkriminalität, einschließlich nationaler Koordinierung, Datenerhebung und wirksamer rechtlicher Rahmenbedingungen, die zu einer nachhaltigen Bekämpfung und einer stärkeren Abschreckung führt.
- Eine verstärkte nationale und internationale Kommunikation zwischen Regierung, Strafverfolgungsbehörden und der Privatwirtschaft sowie eine bessere Aufklärung der Öffentlichkeit über die Risiken der Cyberkriminalität.
Das sind lobenswerte Ziele. Allerdings sind wir noch weit davon entfernt, dass Opfer von Straftaten die Polizei auf lokaler, nationaler oder internationaler Ebene anrufen können und dabei darauf hoffen können, praktische Hilfe oder Gerechtigkeit zu erhalten. Die Realität sieht so aus, dass man im Bereich der Cyberkriminalität – abgesehen von Spezialisten für die Reaktion auf Vorfälle aus der Privatwirtschaft – auf sich allein gestellt ist.
- Die Mitarbeiter halten sich selten ausreichend an die Regeln der Cyberhygiene
- Die Aufsichtsbehörden gehen nicht proaktiv gegen Verstöße vor und bekämpfen diese nicht
- Kriminelle werden immer selbstbewusster, agieren immer aggressiver und gehen immer raffinierter vor
- Die Polizei ist nicht in der Lage, gegen Kriminelle vorzugehen, die von sicheren Rückzugsorten aus operieren
- Und wenn etwas schiefgeht, sind die CISOs automatisch die Sündenböcke.
In dieser „Wild-West“-Umgebung kommt keine Kavallerie zur Rettung – daher wird von Ihnen erwartet, dass Sie angemessen gerüstet und bereit sind, sich selbst zu verteidigen. Lassen Sie sich von Thomas Bryants Artikel inspirieren und erfahren Sie, wie Sie am besten damit umgehen. Es gibt keinen Ersatz dafür, Ihre Cybersicherheit und Ihre Reaktion auf Vorfälle richtig zu gestalten.
