24.07.2023 Ein Datenleck kostet durchschnittlich 4,3 Mio. Euro

„Cost of a Data Breach“-Report 2023

Aus dem jährlichen „Cost of a Data Breach“-Report der IBM geht hervor, dass die durchschnittlichen Kosten eines Datenlecks – also Verletzungen der Sicherheit, der Integrität oder auch der Verfügbarkeit von Daten – sich in Deutschland im Jahr 2023 auf 4,3 Mio. Euro belaufen. Dies ist ein leichter Rückgang gegenüber den 4,41 Mio. Euro des letzten Jahres.

Der aktuelle CODB-Report stellte weiter fest, dass die analysierten deutschen Unternehmen im Schnitt 182 Tage benötigten, um Datenlecks aufzudecken und einzudämmen. Das sind 95 Tage weniger als im globalen Durchschnitt, der 277 Tage betrug. Laut dem Bericht von 2023 sind die Unternehmen geteilter Meinung darüber, wie sie mit den zunehmenden Kosten und der Häufigkeit von Datenlecks umgehen wollen. Obwohl demnach bereits 95 Prozent der untersuchten Unternehmen mehr als einen solchen Vorfall verzeichnet haben, wollen die betroffenen Unternehmen die Kosten hierfür eher an die Verbraucher weitergeben (57 Prozent) als ihre Sicherheitsinvestitionen zu erhöhen (51 Prozent).

Schweigen kostet

Der aktuelle „Cost of a Data Breach“-Report basiert auf einer eingehenden Analyse realer Datenlecks, die 553 Unternehmen weltweit zwischen März 2022 und März 2023 erlitten haben. Die von IBM in Auftrag gegebene und analysierte Studie, die seit 18 Jahren veröffentlicht wird, wurde wieder vom Ponemon Institute durchgeführt. Interessant sind zwei Erkenntnisse:

Ransomware-Opfer in der Studie, die die Strafverfolgungsbehörden einschalteten, sparten im Vergleich zu denjenigen, die die Strafverfolgungsbehörden nicht einschalteten, weltweit durchschnittlich umgerechnet 418.000 Euro Kosten pro Vorfall. Allerdings haben 37 Prozent der untersuchten Ransomware-Opfer die Strafverfolgungsbehörden nicht eingeschaltet.
Nur ein Drittel der Vorfälle weltweit wurde von eigenen Cyber-Security-Teams der Unternehmen entdeckt, während 27 Prozent durch die Angreifer aufgedeckt wurden. Datenlecks, die erst durch den Angriff offenbart wurden, kosteten im globalen Durchschnitt fast ca. 890.000 Euro mehr als jene, die vom eigenen Team erkannt wurden.

„Zeit ist die neue Währung in der Cyber-Security, sowohl für die Verteidiger als auch für die Angreifer. Wie der Bericht zeigt, können eine frühzeitige Erkennung und eine schnelle Reaktion die Auswirkungen eines Angriffs erheblich reduzieren", so Chris McCurdy, General Manager, Worldwide IBM Security Services. „Sicherheitsteams müssen sich darauf konzentrieren, wo die Angreifer am ehesten effektiv sein könnten, und ihre Bemühungen darauf konzentrieren, sie zu stoppen, bevor sie ihre Ziele erreichen. Investitionen in Erkennungs- und Reaktionsmaßnahmen gegen Bedrohungen, die die Geschwindigkeit und Effizienz von Verteidigern erhöhen – beispielsweise mit KI und Automatisierung - sind entscheidend, um dieses Gleichgewicht auszubalancieren.“

Jede Sekunde zählt

Laut Report haben die weltweit analysierten Unternehmen, die KI und Automatisierung im Sicherheitsbereich vollständig einsetzen, einen durchschnittlich 108 Tage kürzeren Zeitraum von Datenlecks im Vergleich zu den übrigen Unternehmen. Zudem meldeten sie deutlich geringere Kosten für solche Vorfälle. Die analysierten Unternehmen, die umfassend auf KI und Automatisierung im Sicherheitsbereich gesetzt haben, verzeichneten im globalen Durchschnitt auch um ca. 1,6 Mio. Euro niedrigere Kosten im Falle von Datenlecks.

Dieser Trend zeigte sich auch bei deutschen Unternehmen. Diejenigen, die im Cyber-Security-Bereich bereits KI und Automatisierung ausgiebig nutzen, meldeten durchschnittliche Kosten von 3,51 Mio. Euro pro Schadensereignis; die anderen Unternehmen mussten mit durchschnittlichen Kosten von 5,27 Mio. Euro pro Datenleck rechnen. Trotzdem setzen 47 Prozent der analysierten Unternehmen in Deutschland bisher keine KI- oder Automatisierungslösungen im Cyber-Security Bereich ein.

Beim Erkennen und Abwehren von Bedrohungen sind einige Fortschritte zu verzeichnen, heißt es im „Threat Intelligence Index 2023“. Demnach konnten die Cyber-Security-Teams im vergangenen Jahr einen größeren Anteil der Ransomware-Angriffe abwehren. Dennoch finden die Angreifer immer noch Wege, um durch die Lücken der Verteidigungsmaßnahmen zu schlüpfen. Der Bericht ergab, dass weltweit nur einer von drei untersuchten Vorfällen von den eigenen Sicherheitsteams oder -tools des Unternehmens entdeckt wurde, während 27 Prozent der Datenlecks erst durch den Angreifer und 40 Prozent von einer neutralen dritten Partei, wie etwa den Strafverfolgungsbehörden, aufgedeckt wurden.

Weitere Erkenntnisse aus dem aktuellen IBM-Bericht sind: In Deutschland führten 41 Prozent der analysierten Vorfälle zu einem Datenverlust in mehreren Plattformen, darunter Public Cloud, Private Cloud und On-Premises. Dies resultierte dann auch in höheren Kosten von durchschnittlich 4,56 Mio. Euro. Das bewegt sich auch im Rahmen der globalen Ergebnisse. Außerdem konnten Unternehmen in Deutschland, die einen DevSecOps-Ansatz anwenden, die Kosten von Datenlecks um durchschnittlich 300.780 Euro senken.