Lehren aus der Datenschutzvorfall beim Credit Bureau Equifax

Was wir aus der Mega-Datenschutzverletzung (nicht) gelernt haben – Experten-Kommentar von Thomas Ehrlich, Country Manager DACH von Varonis

[datensicherheit.de, 08.09.2018] Vor genau einem Jahr passierte der Datensicherheits-GAU, als beim amerikanischen Credit Bureau Equifax, in etwa vergleichbar mit der SCHUFA, Datensätze von über 143 Millionen US-Amerikanern mit deren Namen, Geburtsdaten, Sozialversicherungsnummern, Adressen und teilweise auch Führerscheindaten, in die Hände von Cyber-Kriminellen gefallen sind.

Nichts wäre mir lieber als zu konstatieren, dass Unternehmen in den letzten zwölf Monaten enorme Fortschritte bei der Datensicherheit gemacht hätten, aber dies ist eher die Ausnahme als die Regel. Der Fall Equifax zeigt deutlich, dass noch nicht allen Unternehmen der Wert ihrer (anvertrauten) Daten bewusst ist und welches Risiko diese Daten bergen.

Foto: Varonis Systems

Thomas Ehrlich, Country Manager DACH von Varonis

Es wäre aber falsch, nur auf die Unternehmen zu zeigen. Auch bei den Verbrauchern hat sich – erschreckenderweise – seitdem kaum etwas verändert. Nach wie vor scheint das Thema Datensicherheit für sie kaum Relevanz zu haben. Sie verlangen offensichtlich immer noch nicht von den Unternehmen einen besseren Schutz ihrer Daten bzw. ziehen kaum Konsequenzen aus Datenvorfällen – genauso wenig wie die meisten Unternehmen ihrerseits proaktive Maßnahmen für mehr Datensicherheit ergreifen.

Stellen wir uns vor, diese Datenpanne wäre vor zehn Jahren passiert: Wie schockiert wären die Verbraucher gewesen?! Mit welcher Vehemenz hätten sie Änderungen gefordert?! Jetzt wirken sie eher abgestumpft und müde angesichts der Reihe von Datendiebstählen und Datenschutzvorfällen der letzten Monate und Jahre. Die meisten sind offensichtlich der Meinung, dass ihre persönlichen Daten ohnehin schon in den falschen Händen sind. Und es ist genau diese Art Akzeptanz, die uns zeigt, wie gleichmütig die Gesellschaft in dieser Hinsicht geworden ist, wenn Unternehmen es mangels effektiver Sanktionierungsmöglichkeiten möglich ist, die Daten wie Nebensächlichkeiten zu behandeln.

Die DSGVO sorgt für Veränderungen

Genau diesen anscheinend nötigen Druck schafft die DSGVO. Wenn man sie ernst nimmt (und Angesicht der oft thematisierten Sanktionsmöglichkeiten sollten Unternehmen sie ernstnehmen), wird man alles daransetzen, die notwendigen Veränderungen vorzunehmen und den Schutz personenbezogener Daten zur Priorität zu machen.

Selbstverständlich kann man nicht mit Bestimmtheit sagen, dass der Equifax-Breach nicht passiert wäre, hätte die DSGVO gegolten. Aber es ist durchaus bemerkenswert, dass gerade in den USA zahlreiche gesetzgeberische Initiativen in Gang gesetzt wurden, die die DSGVO zum Vorbild nehmen. Hoffen wir also, dass wir in zwölf Monaten echten Grund zur Freude haben werden.

Weitere Informationen zum Thema:

datensicherheit.de, 07.09.2018
Hackerattacke auf British Airways: Schnelles Handeln essentiell

datensicherheit.de, 24.07.2018
Datenleck bei Automobil-Zulieferer: Schutz von Daten jenseits der Unternehmensgrenzen

datensicherheit.de, 01.03.2018
Hacker-Angriff auf Datennetzwerk des Bundes: Ganzheitliches Sicherheitsmanagement notwendig

datensicherheit.de, 01.03.2018
Selbst nach Cyber-Attacke: Unternehmen ändern ungern Sicherheitsstrategie

datensicherheit.de, 01.03.2018
Daten als wertvollstes Asset müssen ins Zentrum der Sicherheitsstrategie gestellt werden