[datensicherheit.de, 24.07.2025] Der Verbraucherzentrale Bundesverband e.V. (vzbv) mahnt mehrere Festivalveranstalter ab, da Besucher „häufig mit unzulässigen Entgelten für Bezahlchips konfrontiert“ seien. Zur Zeit werde in diesem Zusammenhang gegen mehrere Veranstalter vorgegangen. Auf immer mehr Festivals wird demnach auf bargeldlose Zahlungen gesetzt – d.h. Besucher zahlen nur noch über einen zuvor mit Guthaben aufgeladenen Bezahlchip. Indes werden zur Nutzung solcher Bezahlchips den Feiernden aus vzbv-Sicht „unzulässige Zusatzkosten“ auferlegt.

Der vzbv hat mehrere Festivalangebote überprüft und abgemahnt

„Sommer, Sonne, Festivalzeit: Vielerorts feiern und tanzen Menschen unbeschwert unter freiem Himmel. Immer öfter tragen sie dabei Bezahlchips am Handgelenk, mit dem sie auf dem Festivalgelände zum Beispiel für Essen und Getränke bezahlen.“ Das Problem bei solchen Chips: Mehrere Veranstalter verlangen hierfür aus vzbv-Sicht unzulässige Entgelte.

• Der vzbv hat nach eigenen Angaben in den vergangenen Wochen mehrere Festivalangebote überprüft und abgemahnt. Acht Veranstalter hätten bereits reagiert und Unterlassungserklärungen abgegeben.

Jana Brockfeld, Rechtsreferentin im vzbv-Team „Rechtsdurchsetzung“, moniert, dass Festivalbesucher bei der Nutzung von Bezahlchips unzulässig zur Kasse gebeten würden – dies dürfe nicht sein. Sie fordert zudem: „Auch muss ein Restguthaben vollständig an die Feiernden zurückerstattet werden – ohne Gebühren!“

vzbv-Kritikpunkte im Überblick

1. vzbv-Kritik: Zusatzkosten beim Aufladen der Bezahlchips
   Verbraucher müssten für ihren Festivalbesuch die Bezahlchips zunächst aufladen. Für die Aktivierung der Chips oder die erstmalige Aufladung hätten mehrere Veranstalter zum Zeitpunkt der Prüfung zwischen 29 Cent und zwei Euro verlangt.
   Derartige Zusatzkosten sind aus vzbv-Sicht „unzulässig“, wenn Verbraucher die Bezahlchips mit EC- oder Kreditkarte aufladen und der Chip die einzige Bezahlmöglichkeit auf dem Festival ist. Denn dies entspricht aus vzbv-Sicht einem „zusätzlichen Entgelt“ für die Nutzung dieser Zahlungskarten, was jedoch gesetzlich nicht erlaubt sei.
2. vzbv-Kritik: Zusatzkosten und Auflagen beim Zurückholen der Restguthaben
   „Wenn das Festival zu Ende ist, möchten sich die Feiernden das Restguthaben zurückholen. Mehrere Veranstalter verlangten entweder ein Entgelt für die Rückerstattung oder zahlten das Geld erst gar nicht aus, sofern das Restguthaben einen Mindestbetrag unterschreitet.“ So seien bei den geprüften Veranstaltern Mindestauszahlungsbeträge zwischen einem und 2,50 Euro festgestellt worden.
   Dieses Vorgehen ist aus vzbv-Sicht „unzulässig“, weil Verbraucher grundsätzlich auf Rückzahlung ihres gesamten Restguthabens bestehen könnten. Veranstalter seien bereits gesetzlich zur Auszahlung des gesamten Restguthabens verpflichtet. Hierfür dürften sie weder Entgelte erheben noch kleinere Beträge einbehalten.
3. vzbv-Kritik: Zu wenig Zeit, um Restguthaben zurückzuholen
   Nach vzbv-Ansicht können die Besucher nach Ende eines Festivals ihr Restguthaben innerhalb der regelmäßigen Verjährungsfrist von drei Jahren zurückfordern.
   Manche Veranstalter setzten hingegen Fristen von nur wenigen Wochen, in der sich die Verbraucher um eine Rückerstattung ihres Restguthabens kümmern müssten. Das ist aus vzbv-Sicht „zu kurz“.
4. vzbv-Kritik: Zu geringe Preistransparenz beim Ticketverkauf
   Die vzbv-Prüfung habe außerdem ergeben, „dass einige Festivalveranstalter den Ticketpreis nicht korrekt angaben“. So seien zusätzliche Servicegebühren bei den beworbenen Preisen nicht berücksichtigt und erst beim Abschluss des Ticketkaufs auf die Preise aufgeschlagen worden.
   Dieses Vorgehen verschleiert aus vzbv-Sicht die tatsächlichen Kosten für die Verbraucher – außerdem erschwere es den Preisvergleich mit anderen Festivals.

vzbv-Klage vor dem OLG Bamberg

Der vzbv habe zehn Festivalveranstalter seit Mai 2025 abgemahnt, „weil mindestens eines der vier genannten Probleme vorlag“. Acht Veranstalter hätten mittlerweile eine Unterlassungserklärung abgegeben. „Das heißt, dass sie das beanstandete Vorgehen künftig unterlassen werden.“

Im Falle der Heroes Festival GmbH hat der vzbv Klage beim OLG Bamberg (3 UKl 9/25 e) eingereicht, „nachdem keine Unterlassungserklärung abgegeben wurde“. Der Veranstalter sehe unter anderem Zusatzkosten von 1,50 Euro für das einmalige Aufladen der Bezahlchips vor sowie Kosten von 50 Cent für die Rückerstattung von Restguthaben. Aus vzbv-Sicht „zu Unrecht“.

Weitere vzbv-Klagen gegen Festivalveranstalter

Die vzbv-Abmahnaktion reihe sich ein in bereits laufende Klageverfahren, mit denen die Rechtswidrigkeit von Zusatzkosten bei Bezahlchips gerichtlich festgestellt werden solle.

So habe das Landgericht Berlin (52 U 98/24, nicht rechtskräftig) bereits Anfang 2025 den Veranstalter des „Lollapalooza“-Festivals zur Unterlassung von Zusatzkosten bei Bezahlchips verurteilt. Auch das Landgericht Bochum (I-17 O 2/25, nicht rechtskräftig) habe eine Aktivierungsgebühr und Mindestauszahlungsbeträge auf dem „Juicy Beats Festival“ für unzulässig angesehen.

Weitere Informationen zum Thema:

Verbraucherzentrale Bundesverband, 20.03.2025
Lollapalooza-Festival: Zusatzkosten beim Cashless-Bezahlen unwirksam / vzbv klagt beim Landgericht Berlin erfolgreich gegen den Veranstalter, die FRHUG Festival GmbH & Co. KG

datensicherheit.de, 13.05.2025
Mit PayPal an der Ladenkasse zahlen – David Riechmann kommentiert Vorhaben des US-amerikanischen Zahlungsdienstleisters / Mit einer neuen Funktion in der „PayPal“-App sollen künftig Einkäufe im Einzelhandel per Smartphone bezahlt werden können

[datensicherheit.de, 20.07.2025] Die aktuelle gemeinschaftliche Studie – „State of Cyber Risk 2025“ – von Qualys und Dark Reading widmet sich der Problematik, dass trotz wachsender Ausgaben und zunehmender Relevanz in Vorstandsetagen das betriebliche Cyberrisiko-Management vieler Unternehmen unausgereift bleibt. Der Grund dafür ist demnach der fehlende geschäftliche Kontext. Empfohlen wird daher, die Betrachtungsweise der Cybersicherheit zu transformieren: Vom puren Kostenzentrum (Cost Center) hin zum relevanten Geschäftsfaktor (Business Driver).

Abbildung: Qualys

Warnende Erkenntnis aus dem Bericht: Trotz wachsender Budgets steigt das Cyberrisiko bei vielen Unternehmen weiter!

Cyberrisiko: Zum Management müssen Techniker und Kaufleute gemeinsame Sprache finden

Zentrale Erkenntnisse der Umfrage zum Cyberrisiko-Management unter über 100 IT- und Security-Verantwortlichen laut Qualys:

• Cyberrisiken nehmen zu
  71 Prozent der Befragten sähen steigende oder gleichbleibende Risiken – trotz steigender Budgets.
• Formelle Programme – ohne Reife
  Zwar verfügten 49 Prozent über ein Cyberrisiko-Programm, doch nur 30 Prozent priorisierten Risiken auf Basis von Geschäftszielen.
• Kapitalrendite (Return on Investment / ROI) bleibt aus
  Die meisten Sicherheitsinvestitionen zahlten sich nicht direkt erkennbar aus – fehlende Transparenz und Priorisierung bremsten die Wirkung.
• Mangelhaftes Intelligentes Gerätebestandsmanagement (Asset Intelligence)
  Nur 13 Prozent könnten „Assets“ kontinuierlich inventarisieren, 47 Prozent arbeiteten noch mit manuellen Prozessen.
• Kommunikationslücke zum Management
  Lediglich 14 Prozent verknüpften Cyberrisikoberichte mit finanziellen Kennzahlen – und nur 22 Prozent würden hierzu Finanzteams einbinden.
• Wunsch nach Kontext statt „Common Vulnerability Scoring System“ (CVSS)
  Führungskräfte forderten Entscheidungen basierend auf geschäftlichen Risiken – keine technischen Bewertungen (scores).

Entgegen der Erwartung nimmt das Cyberrisiko bei vielen Unternehmen weiter zu

Cybersicherheit werde zunehmend als strategisches Thema wahrgenommen, doch in der praktischen Umsetzung klafften Lücken. Zwar verfügten fast die Hälfte der befragten Organisationen über formelle Risikoprogramme, doch nur ein Drittel davon priorisiere Risiken anhand geschäftlicher Ziele.

• Die Studie fordert deshalb eine stärkere Orientierung an geschäftlichen Auswirkungen – beispielsweise an potenziellen Umsatzverlusten oder der Gefährdung sensibler Kundendaten.

Trotz wachsender Budgets steige das Cyberrisiko bei vielen Unternehmen weiter. Das liege vor allem daran, dass „Tools“ isoliert arbeiteten, die „Asset“-Transparenz lückenhaft sei und Priorisierungen oft an klaren strategischen Zielen vorbeigingen.

Bewertung des Cyberrisikos muss geschäftsrelevante Risikobetrachtung adressieren

Die Risikobewertung erfolge häufig noch auf Basis starrer „Scores“ wie CVSS, ohne den geschäftlichen Kontext zu berücksichtigen. Führungskräfte verlangten jedoch keine technischen „Dashboards“ mehr, sondern verständliche Antworten auf zentrale Fragen: „Wo liegen die größten Risiken? Wie hoch ist die mögliche Auswirkung? Welche Maßnahmen bringen den größten Nutzen?“

• Hier nun soll das von Qualys vorgestellte Konzept eines „Risk Operations Center“ (ROC) ansetzen: Dieses vereine die kontinuierliche Erkennung, Bewertung und Steuerung von Risiken auf Basis kontextualisierter Echtzeitdaten. Das dazugehörige „Enterprise TruRisk Management“ (ETM) konsolidiere technische Informationen und übersetze sie in geschäftsrelevante Kennzahlen, um Entscheidungen fundiert treffen zu können.

Deshalb müssten Unternehmen ihr Risikomanagement strategisch neu ausrichten – weg vom Technikfokus, hin zur geschäftsrelevanten Risikobetrachtung. Das ROC-Modell biete hierfür eine strukturierte, unternehmensweite Lösung.

Weitere Informationen zum Thema:

Qualys, Juni 2025
Research Report / New Dark Reading Report: Most Cyber Risk Programs Still Falling Short

Qualys
Risk Operations Center (ROC) / Continuously assess, prioritize and mitigate risks in real-time with unified & contextualized risk management

datensicherheit.de, 01.07.2025
Unternehmen: Horizon3.ai-Cybersicherheitsreport 2025 zeigt weitere Zunahme von Angriffen / Unternehmen wissen zwar, dass ihnen Gefahren auflauern und haben meist auch Vorsichtsmaßnahmen getroffen – aber sie wissen oft dennoch nicht, ob sie einem Cyberangriff standhalten können

datensicherheit.de, 02.05.2025
Erkenntnisse aus dem Verizon Data Breach Investigation Report (DBIR) 2025 / Der Bericht macht die Notwendigkeit eines ganzheitlichen Sicherheitsansatzes deutlich

[datensicherheit.de, 09.04.2025] Entrust und Docusign haben ihre Ergebnisse einer gemeinsamen Marktuntersuchung online bereitgestellt – mit dieser internationalen Studie wird den steigenden Kosten von Identitätsbetrug und den Herausforderungen für Unternehmen im Spannungsfeld zwischen Sicherheit und Benutzererlebnis nachgegangen. Der Bericht „The Future of Global Identity Verification“ belegt demnach, dass Identitätsbetrug weltweit und branchenübergreifend eine wachsende Bedrohung darstellt. „Die Studie wurde von November bis Dezember 2024 vom Marktforschungsunternehmen TL;DR Insights durchgeführt.“ Befragt worden seien über 1.400 Geschäfts- und IT-Entscheider für IDV-Lösungen in Unternehmen mit mehr als 150 Mitarbeitern in den USA, in Kanada, Deutschland, Großbritannien, Frankreich, Mexiko, Brasilien, Australien und Japan.

Abbildung: Docusign & Entrust

„The Future of Global Identity Verification“ – Identitätsbetrug weltweit und branchenübergreifend eine wachsende Bedrohung für Unternehmen

69 Prozent der Unternehmen melden Anstieg bei Betrugsversuchen

Mehr als zwei Drittel (69%) der befragten Unternehmen hätten von einem Anstieg bei Betrugsversuchen berichtet: „So entstehen Unternehmen mit mehr als 5.000 Mitarbeitern durch Identitätsdiebstahl direkte Kosten in Höhe von durchschnittlich 12 Millionen Euro pro Jahr, wobei die finanziellen Verluste mit zunehmender Unternehmensgröße exponentiell ansteigen.“ Bei 20 Prozent der Unternehmen mit mehr als 10.000 Mitarbeitern beliefen sich die direkten und indirekten Kosten für Identitätsdiebstahl auf über 46 Millionen Euro pro Jahr. Direkte Kosten resultierten zum Beispiel aus Ausgleichsbuchungen oder Entschädigungen, indirekte Kosten zum Beispiel über Personal und Arbeitszeit für die Identifikation und Abwicklung von Betrugsfällen.

• „Mit der Zunahme von KI-gestütztem Betrug werden die Angriffe raffinierter und häufiger.“ Laut dieser Studie gaben 51 Prozent der Befragten an, dass Betrug am häufigsten im Zusammenhang mit der Verwendung von Benutzernamen und Passwörtern auftritt – was die Anfälligkeit einfacher, einstufiger Authentifizierungsverfahren unterstreicht.

„Im Gegensatz dazu berichteten nur 21 Prozent der Unternehmen von Betrugsversuchen gegen die Gesichtsbiometrie mit Lebenderkennung.“ Fortschrittliche Authentifizierungslösungen reduzierten betrügerische Absichten von Kriminellen bereits proaktiv.

Einsparungen für Unternehmen – durch stärkere Identitätssicherung

Da sich die Betrugstaktiken rasant weiterentwickelten, investierten Unternehmen zunehmend in fortschrittlichere Sicherheitsmaßnahmen – auch wenn sie Bedenken hinsichtlich der Benutzerfreundlichkeit hätten. Obwohl 58 Prozent der Befragten angegeben hätten, dass strengere Betrugskontrollen die Verbraucher frustrieren könnten, würden die meisten den Nutzen von Investitionen in die Identitätsprüfung (IDV) erkennen:

• „70 Prozent sind der Meinung, dass Investitionen in Technologie der beste Weg sind, um finanzielle Risiken durch Identitätsbetrug zu minimieren. 74 Prozent planen, ihre Investitionen in Zukunft zu erhöhen.“

Unternehmen, die in IDV-Lösungen investieren, bezifferten ihre Kosteneinsparungen hierdurch auf durchschnittlich 7,5 Millionen Euro pro Jahr. „Zukunftsweisende Lösungen helfen jedoch nicht nur bei der Betrugserkennung und wenden finanzielle Schäden ab, sie wirken sich auch positiv auf das Unternehmensimage aus und bringen Wettbewerbsvorteile mit sich.“

Unternehmen unter wachsendem Druck zur richtigen Balance zwischen Sicherheit und nahtloser Benutzererfahrung

„Es ist ein weit verbreiteter Irrglaube, dass mehr Sicherheit zu Lasten der Benutzerfreundlichkeit gehen muss“, kommentiert Tony Ball, Präsident von „Payments & Identity“ bei Entrust. Moderne IDV-Lösungen und adaptive Authentifizierung ermöglichten Beides. Endnutzer könnten ihre Identität mit einem schnellen biometrischen „Selfie“ verifizieren, während im Hintergrund Betrugsprüfungen wie Geräteverifikation und KI-gestützte Deepfake-Erkennung durchgeführt würden.

• Ball erläutert: „Die adaptive Authentifizierung rundet die Identitätssicherung ab und erhöht die Sicherheit weiter, indem die Anforderungen auf Basis von Risikosignalen angepasst werden, ohne unnötige Hürden aufzubauen.“

Mangesh Bhandarkar, „Group Vice President of Product“ bei Docusign, ergänzt: „Da Identitätsbetrug zunimmt, stehen Unternehmen unter wachsendem Druck, die richtige Balance zwischen Sicherheit und nahtloser Benutzererfahrung zu finden.“ Ihre globale Studie bestätige eine wichtige Erkenntnis: Mehr Sicherheit müsse nicht auf Kosten des Kundenerlebnisses gehen – im Gegenteil, sie verbessere es. „Durch die Implementierung intelligenter, nahtloser Sicherheitsmaßnahmen aus dem Docusign-Identify-Portfolio können Unternehmen in einer zunehmend digitalen Welt Vertrauen aufbauen, Kunden schützen und langfristige Kundenbindung fördern.“

Weitere Informationen zum Thema:

docusign & ENTRUST, 2025
WHITEPAPER: The Future of Global Identity Identification / How leading organizations balance digital security with user experience

ENTRUST
Deepfake Attempts Occur Every Five Minutes Amid 244% Surge in Digital Document Forgeries

datensicherheit.de, 13.02.2025
Digitale Identitätssicherheit: Fünf Best-Practice-Empfehlungen / Identity Threat Detection and Response (ITDR) als Maßnahme

datensicherheit.de, 20.06.2024
CyberArk-Studie dokumentiert hohe Zahl identitätsbezogener Angriffe / Zudem geht die CyberArk-Studie 2024 auf die zunehmende Bedeutung Künstlicher Intelligenz ein

Von unserer Gastautorin Ines Wolf, Manager Presales Central Europe bei Quantum

[datensicherheit.de, 13.09.2023] Die Vorteile von Cloud Computing sind unbestritten. Die Akzeptanz hat innerhalb des letzten Jahrzehnts rapide zugenommen. Einen großen Schub gab es in den vergangenen drei Jahren, als IT-Modernisierung und Remote-Arbeit viele Unternehmen regelrecht in die Cloud trieb. Während einige Workloads in der Cloud gut aufgehoben sind, stellen viele Unternehmen nun fest, dass ihre Daten und Workloads teilweise im eigenen Rechenzentrum besser aufgehoben wären. Folgerichtig setzen viele Unternehmen heute auf einen hybriden oder Multi-Cloud-Ansatz. Vor diesem Hintergrund hat sich die Rückverlagerung von Daten aus der Cloud in jüngster Vergangenheit zu einem wachsenden Trend entwickelt.

Ines Wolf, Manager Presales Central Europe, Quantum, Bild: Quantum

Die Kosten für Cloud-Computing steigen

Während die Public Cloud für bestimmte Anwendungsfälle kosteneffizient sein kann, hat sie im Allgemeinen zu höheren Kosten für Unternehmen geführt, die Daten und Workloads in die Public Cloud verlagert haben. Es gibt viele gute Gründe, warum Cloud-Dienste teurer geworden sind. Steigende Kosten, höhere Nachfrage oder wachsende Komplexität sind allesamt verständliche Gründe. Ein Hauptgrund, für die enorm gestiegenen Cloud-Budgets liegt jedoch darin, dass die Kosten für die Speicherung in einer Public Cloud aufgrund von Ausstiegs- oder anderen Servicegebühren unvorhersehbar geworden sind. Am Ende zahlen viele Unternehmen viel mehr für ihre Cloud-Dienste, als sie erwartet oder veranschlagt hatten. Um die Kosten zu senken und besser planbar zu gestalten, sehen sich die Unternehmen nach anderen Optionen um.

Unternehmen brauchen mehr Flexibilität in der Cloud

In einer perfekten Cloud-Welt könnten die Kunden ihre ideale Konfiguration einfach auswählen und ihre Daten und Workloads flexibel zwischen den Ebenen des von ihnen gewählten Multi-Cloud-Ökosystems verschieben. Das ist jedoch alles andere als einfach. Zum einen haben die Anbieter von Public Clouds die Kunden und ihre Daten erfolgreich an ihre Plattformen gebunden. Die Preislisten der Anbieter sind so strukturiert, dass es günstig ist, Daten in die Cloud hochzuladen, aber unvergleichlich teurer, sie wieder herunterzuladen. Da die Datenmengen immer weiter anwachsen, vor allem bei immer größeren Dateien unstrukturierter Daten, ist die Speicherung und Verarbeitung in der Cloud sehr teuer geworden. Zum anderen zwingt das Phänomen der „Data Gravity“ Unternehmen dazu, ihre Daten und Workloads in der Nähe zu halten. Und es kristallisiert sich heraus, dass ein Teil der Daten eines Unternehmens im Rechenzentrum verbleiben und nicht in die Cloud verlagert werden sollte, da es Bedenken hinsichtlich der Implementierung von Cloud-Speicher, der Datenhoheit und der Sicherheit gibt. Um diese Probleme zu lösen und ihre Cloud-Einrichtung zu verbessern, vergleichen Unternehmen alle Optionen, wo ihre Daten und Workloads idealerweise untergebracht werden könnten. Dabei kommen sie unweigerlich zu dem Schluss, dass ein Teil ihrer Cloud-Workloads wieder lokal angesiedelt werden sollte, da dies einen höheren ROI verspricht.

Eine vollständige Rückführung aus der Cloud ist wenig sinnvoll

Mehrere Faktoren beeinflussen die Entscheidung für eine Rückverlagerung aus der Cloud ins eigene Rechenzentrum. Auf der Speicherebene bietet das Aufkommen der Objektspeicherung auf preiswerten Bändern den Unternehmen ein verlockendes Argument für die Rückverlagerung geeigneter Daten auf ihre eigene Hardware. Die Renaissance des Bandspeichers kommt zu einer Zeit, in der sich die Speicherlandschaft von der Plattenspeicherung hin zu einer Speicherstrategie mit zwei Hauptebenen entwickelt: einer schnellen Flash-Ebene für Hochleistungs-Workloads und einer Bandebene als kostengünstiger Massenspeicher. Eine vollständige Rückführung von Daten und Workloads aus der Public Cloud ist für die meisten Unternehmen jedoch wenig sinnvoll, ebenso wie eine reine Cloud-Strategie weder wirtschaftlich noch praktikabel ist. In der Vergangenheit entschieden sich Unternehmen bewusst dafür, die zusätzlichen Kosten für den Betrieb von Anwendungen in Public Clouds in Kauf zu nehmen, um Flexibilität und Skalierbarkeit zu erhalten. Unternehmen, die aktiv nach Möglichkeiten einer besseren Datenportabilität suchen, sehen die Beweglichkeit sowohl auf der Hardware- als auch auf der Softwareebene als essentielle Komponente an. Nur mit einem flexiblen Gesamtsystem werden sie in der Lage sein, den optimalen Infrastruktur-Mix zu finden, einschließlich der Rückführung von Daten und Workloads zurück auf lokale Hardware, was einen „Nettogewinn“ an ROI brächte.

Workloads und Daten sinnvoll platzieren

Für einen höheren ROI brauchen Unternehmen mehr Flexibilität im Rechenzentrum. Der Aufbau von Hybrid- und Multi-Cloud-Umgebungen ermöglicht es Ihnen, ihre Workloads und Daten dort zu platzieren, wo es den meisten Sinn ergibt. Für einige Daten und Workloads bedeutet dies, dass sie aus der Public Cloud zurück ins Rechenzentrum verlagert werden, wo sie sich wesentlich kostengünstiger speichern lassen. Die Verfügbarkeit von NVMe als performante Flash-Speicher für Hochleistungs-Workloads bietet eine weitere Ebene der Flexibilität. Und für spezielle Anwendungsfälle, wie PaaS-Lösungen, eignet sich die Plattform eines Hyperscalers möglicherweise am besten.

Fazit: Unternehmen wählen Cloud-Flexibilität

Um von den Vorteilen des Cloud-Computings zu profitieren, benötigen Unternehmen heute ein Höchstmaß an Flexibilität, um für jeden Anwendungsfall die am besten geeignete Infrastruktur zu nutzen. Moderne Technologien wie softwaredefinierte Datenverwaltungslösungen helfen Unternehmen dabei, diese Flexibilität zu erreichen, während die Kombination von schnellem NVMe und preiswertem Bandspeicher Optionen zur Identifizierung des idealen Speicherorten für Daten und Workloads bietet. Es geht also längst nicht mehr um die Frage, ob man auf „Cloud-only“ oder „Nur vor Ort“ setzt, sondern um eine Kombination aus beidem. Flexibilität, Daten und Workloads bei Bedarf anzupassen, zu verschieben und zu migrieren sind weitere Vorteile.

Über die Autorin

Als Manager Presales Central Europe leitet Ines Wolf seit 2017 das Quantum Presales Team in Zentraleuropa. Als Expertin für die Organisation und Speicherung von Unternehmensdaten berät und unterstützt Ines Wolf Kunden seit 17 Jahren dabei, moderne und effiziente Storagestrategien zu entwickeln. Vor ihrem Wechsel zu Quantum 2005 war Ines Wolf als Presales System Engineer bei Sony und Project Engineer bei Sun Microsystems tätig.

Weitere Informationen zum Thema:

datensicherheit.de, 29.06.2022
Cloud-Security laut Delinea-Umfrage Hauptsorge der Cyber-Sicherheitsexperten

[datensicherheit.de, 20.05.2020] Netzwerkausfälle haben eine größere Auswirkung auf den Geschäftsablauf vieler Unternehmen, als diesen bewusst ist. Sie bedrohen Unternehmensabläufe bis hin zum kompletten Stillstand und führen zu deutlichen Umsatz- und Wachstumseinbußen. Das zeigt eine aktuelle Untersuchung von Opengear, Anbieter von Out-of-Band-Managementlösungen zum Schutz kritischer Netzwerk-Infrastrukturen.

Enorme finanzielle Einbußen

In der internationalen Studie von Opengear gab mehr als die Hälfte (51%, Deutschland: 58%) der befragten IT-Verantwortlichen an, allein im vergangenen Jahr vier oder mehr Netzwerkausfälle mit einer Dauer von mehr als 30 Minuten erlebt zu haben. Diese Netzwerkprobleme führten bei vielen Unternehmen zu enormen finanziellen Einbußen: So haben die Ausfälle das eigene Unternehmen teilweise deutlich über eine Million Euro gekostet, beklagt rund ein Drittel der befragten Entscheidungsträger (31%, Deutschland: 38%).

Kosten eines Netzwerk-Ausfalls, © Opengear

Schadensminimierung durch schnelle Reparatur

Um Schäden so gering wie möglich zu halten, sollten Netzwerkfehler so schnell wie möglich repariert werden. Allerdings brauchen viele Unternehmen (38%, Deutschland: 42%) durchschnittlich mehr als einen Arbeitstag, um einen aufgetretenen Netzwerkausfall zu finden und zu beheben. Umso mehr verwundert die Tatsache, dass lediglich 9% der befragten IT-Führungskräfte unter Netzwerk-Resilienz verstehen, die durchschnittliche Reparaturdauer auf ein Minimum zu beschränken. Und auf die Frage, was die größten Herausforderungen bei der schnellen Lösung eines Netzwerkproblems sind, nannten immerhin 41% (Deutschland: 37%) die „Reisezeit für die Bereitstellung von Servicetechnikern vor Ort“. Diese Antwort ist angesichts von geografisch verteilten Standorten mit eigenen Netzwerken, die viele Unternehmen heute haben, nicht weiter überraschend. Bei einer Lösung, die unabhängig vom primären Netzwerk („In-Band“) arbeitet und Probleme automatisch erkennen und beheben kann, sehen die befragten IT-Manager Zeit- (45%, Deutschland: 46%) und Kostenersparnis (41%, Deutschland: 43%) als die beiden größten Vorteile für ihr Unternehmen an.

Dirk Schuma, Sales Manager Europe bei Opengear, Bild: Opengear

„Die meisten Unternehmen wissen, dass Netzwerkausfälle den Geschäftsbetrieb gefährden. Über die wirklichen Auswirkungen, die bis zu einem kompletten Stillstand und damit enormen Umsatzeinbußen führen können, machen sich die Verantwortlichen trotzdem viel zu wenige Gedanken oder schieben entsprechende Schutzmaßnahmen fast fahrlässig auf. Angesichts der Umsatzausfälle und der Zeit, die zur Behebung von Netzwerkausfällen benötigt wird, sollte allerdings der Fokus auf eine Lösung, die diese Probleme behebt, höchste Priorität haben“, erklärt Dirk Schuma, Sales Manager Europe bei Opengear. „Out-of-Band-Management – kurz OOB – erlaubt Administratoren, kritische IT-Komponenten wie Switches und Router sowie Security Appliances wie Firewalls und Encryption-Tools remote und unterbrechungsfrei zu verwalten. Als Failover-Lösung, auch in Kombination mit Mobilfunk/LTE, gewährleistet OOB die Business Continuity. Durch die Fernwartung können IT-Administratoren sofort die Hauptursachen eines Ausfalls identifizieren und Recovery-Maßnahmen zeitnah einleiten. In den allermeisten Fällen erübrigt sich dadurch der Vor-Ort-Besuch eines Service-Technikers.“

Für die Studie hat Opengear 500 IT-Leiter in den USA, Großbritannien, Frankreich und Deutschland befragt – 125 davon in Deutschland.

Weitere Informationen zum Thema:

Opengear
RESEARCH COMMENTARY: Measuring the True Cost of Network Outages

datensicherheit.de, 07.01.2014
ENISA-Report: Empfehlungen zur Aufrechterhaltung von Netzwerken bei Stromausfall

Von unserem Gastautor Michael Heuer, Vice President DACH bei Proofpoint

[datensicherheit.de, 27.04.2020] Ein bisher wenig beachtetes Bedrohungsszenario tritt langsam in das Bewusstsein der Unternehmen: Immer mehr Unternehmen sehen sich Bedrohungen von innen ausgesetzt. Laut der Studie 2020 Cost of Insider Threats: Global Report, die das Marktforschungsinstitut Ponemon im Auftrag von ObserveIT angefertigt hat, mussten Unternehmen eine Zunahme dieser Angriffe um 47 Prozent gegenüber dem Vorjahr hinnehmen. Dies hat auch finanzielle Konsequenzen. So kosteten diese Attacken je Unternehmen durchschnittlich 11,45 Millionen US-Dollar – ein Anstieg von 31 Prozent innerhalb der letzten zwei Jahre.

Motive und Vorgehensweise unterscheiden sich

Die Motive und das Vorgehen der Angreifer unterscheiden sich hier. Manches geschieht absichtlich, indem Arbeitnehmer ihren Arbeitgeber aus Rache schädigen wollen oder ist finanziell motiviert, wenn beispielsweise unternehmensinterne, vertrauliche Informationen an Wettbewerber weitergeleitet werden. Doch nicht immer ist Vorsatz im Spiel. Auch durch Fahrlässigkeit kann ein Schaden entstehen, indem Mitarbeiter sich etwa nicht an Sicherheitsregeln halten. So kann es auch sein, dass sie sich nicht bewusst sind, dass sie eine Bedrohung darstellen.

Diese Diversität erschwert es den IT-Sicherheitsverantwortlichen, einen bestimmten Typus oder ein genaues Insider-Profil zu definieren und Bedrohungen rechtzeitig zu erkennen und schließlich abzuwehren. Hinzu kommt natürlich, dass interne Angreifer beziehungsweise Risikofaktoren nicht erst in das eigene Netzwerk eindringen müssen, da sie sich bereits innerhalb der Perimeter befinden.

Bild: Proofpoint

Michael Heuer, Vice President DACH bei Proofpoint

Dabei unterscheidet sich der Schaden, der durch Vorsatz entsteht, nicht so sehr von dem, der aufgrund Fahrlässigkeit zu verzeichnen ist. Hier stehen 4,58 Millionen US-Dollar bei Fahrlässigkeit den 4,08 Millionen US-Dollar durch kriminelle Aktivitäten gegenüber. Der Verlust beziehungsweise Diebstahl von Zugangsinformationen wie Kennung und Passwort kostet die befragten Unternehmen weitere 2,79 Millionen US-Dollar. Dabei entsteht der hohe Schaden bei Fahrlässigkeit einfach durch die Häufigkeit der einzelnen Vorfälle, der im Einzelfall aber hier deutlich unter kriminellen oder mutwilligen Vorfällen liegt. Durchschnittlich ist bei den Befragten pro Zwischenfall von einem finanziellen Verlust von 307.111 US-Dollar bei Fahrlässigkeit, 755.760 US-Dollar bei Böswilligkeit und 871.686 US-Dollar bei kompromittierten Konten auszugehen.

Die Kosten, die mit Insider-Bedrohungen verbunden sind, beschränken sich nicht auf den eigentlichen Schaden selbst. Zusätzlich muss ein Unternehmen nach dem Schadensfall noch Einnahmeverluste durch etwaige Betriebsunterbrechungen und außerordentliche Aufwendungen zur Absicherung der IT-Infrastruktur hinzurechnen.

Zwar lassen sich Insider-Bedrohungen, gleich welcher Art, nicht vollständig vermeiden. Jedoch bedeutet das nicht, dass Unternehmen sich in ihr Schicksal fügen müssen. Sie können proaktiv durch Investitionen in intelligente Schutzmechanismen und Mitarbeiterschulungen Zwischenfälle minimieren und auf diese Weise den potenziellen Schaden wirksam kontrollieren.

Kostenstruktur

Die verschiedenen Maßnahmen, die ein Unternehmen für die Abwehr von Insider-Bedrohungen ergreifen kann, belasten das IT-Budget auf unterschiedliche Weise. Sie unterscheiden sich auch darin, wo und wie sie ansetzen. Es gibt hier proaktive Maßnahmen, die sich auf Überwachung und Beobachtung konzentrieren, sowie reaktive, die eine Schadensbegrenzung und -behebung beinhalten. Zu letzter Kategorie zählen auch Analysen, die im Nachgang den Vorgang untersuchen. Sie sind wichtig, da Bedrohungen gründlich untersucht werden müssen, um die Quelle und den Umfang zu bestimmen. Hier werden Eskalations- und Planungssitzungen erforderlich, um alle beteiligten Interessensgruppen zu informieren. Um zukünftigen Angriffen besser begegnen zu können sollte auch eine Reaktionsstrategie definiert werden.

Dies ist mit erheblichen Kosten verbunden. Infolge einer einzigen Insider-Bedrohung geben Organisationen etwa 22.000 US-Dollar für die Überwachung und Beobachtung und 125.000 US-Dollar für die Untersuchung und Eskalation aus. Richtig teuer wird es, wenn es daran geht, den Insider-Angriff einzudämmen. Dies macht mit etwa 211.000 Dollar ein Drittel der Gesamtkosten aus, knapp gefolgt von Abhilfemaßnahmen in Höhe von 147.000 US-Dollar und reaktiven Maßnahmen in Höhe von 118.000 US-Dollar.

Da überrascht es nicht, dass die Ausgaben für Technologie und Arbeitskräfte die beiden größten Kostenkategorien sind, die zusammen fast die Hälfte der Gesamtkosten ausmachen. Darunter fallen Überstunden, zusätzliches Personal, externe Dienstleister sowie Soft- und Hardware, die zur Behebung des Störfalls benötigt werden.

Zusätzlich zum Umfang eines einzelnen Vorfalls kommt ein Schaden für den guten Ruf des Unternehmens. In den letzten Jahren haben in den Vereinigten Staaten beispielsweise sowohl einer der größten Einzelhändler Target als auch der Finanzdienstleister Capital One mit Einbrüchen bei Gewinnen und Verschlechterungen von Bewertungen nach Insider-Attacken kämpfen müssen.

Der wirksamste Weg, solche erheblichen finanziellen Konsequenzen zu vermeiden, besteht darin, das Risiko einer Insiderbedrohung von vornherein zu minimieren. Zwar sind proaktive Maßnahmen auch mit Kosten verbunden, doch ist es immer besser, eine geringere Summe für die Prävention als eine sehr hohe für die Schadensbehebung auszugeben.

Sensibilisierung notwendig

Im neuesten „State of the Phish“-Report von Proofpoint kommen Analysten zu dem Schluss, dass zwar 95 Prozent der untersuchten Unternehmen Schulungsmaßnahmen durchführen, diese aber leider mangelhaft sind. In den meisten Fällen beschränkt sich das Sicherheitstraining auf lediglich drei Stunden im Jahr. Viele Mitarbeiter können sogar die einfachsten Begriffe der Cybersicherheit nicht korrekt zuordnen.

Neben technischen Präventivmaßnahmen, wie der Einführung einer Insider-Threat-Management-Lösung, die Anwenderaktivitäten und Datenbewegungen korreliert, sollten kontinuierliche Sensibilisierungsmaßnahmen der Mitarbeiter Teil der Strategie sein. Diese Schulungsmaßnahmen sollten nicht nur, wie in einer Schule, lediglich Wissen vermitteln. Sie sollten vielmehr interaktive Innentäter bedrohen UnternehmenssicherheitElemente beinhalten bis zu der testweisen Schaffung kritischer Situationen. Hier können Mitarbeiter in einer sicheren Umgebung aus den eigenen Fehlern lernen. Denn Durchlebtes bleibt länger hängen als Gelesenes.

Um den Risiken der Insider-Angriffe wirklich wirksam begegnen zu können, sollten sich IT-Sicherheitsverantwortliche zeitnah mit dieser Thematik beschäftigen – denn frühzeitig erkannte Schwachstellen können budgetschonender behoben werden als IT-Katastrophen.

Weitere Informationen zum Thema:

datensicherheit.de, 24.04.2020
Wie CIOs in der Krise die Produktivität aus der Ferne sichern können

datensicherheit.de, 30.05.2019
Zu weit im Hintergrund: Interne Sicherheitsbedrohungen für Unternehmen

datensicherheit.de, 20.09.2017
Innentäter bedrohen Unternehmenssicherheit

datensicherheit.de, 22.08.2016
Insider-Bedrohungen Hauptursache für steigende Zahl von Datendiebstählen

[datensicherheit.de, 22.04.2020] NTT Ltd., ein weltweit tätiges IT-Dienstleistungsunternehmen, hat die fünf entscheidenden Punkte identifiziert, die für den Aufbau einer zukunftsfähigen, krisenfesten IT-Infrastruktur für Unternehmen wichtig sind.

Modernisierung notwendig: Unternehmen stoßen in Krisenzeiten an ihre Grenzen

Viele Unternehmen stoßen in Krisenzeiten an ihre Grenzen. Überlastete Hotlines, eingeschränkte Kundenkommunikation und die Herausforderungen der Mitarbeiter beim Home-Office illustrieren die Notwendigkeit, interne Strukturen und Abläufe neu zu ordnen. Häufig spielt dabei eine zu starre, ineffiziente und nur unzureichend auf Belastungsspitzen vorbereitete IT eine tragende Rolle.

NTT Ltd. hat die fünf Stellschrauben identifiziert, an denen Unternehmen für die IT der Zukunft ansetzen müssen:

1. Interne Collaboration: In der aktuellen Krise zeigt sich, wie wertvoll funktionierende Home-Office-Arbeitsplätze sind. Nur so lassen sich viele Geschäftsmodelle in der Ausnahmesituation weiterführen. Per Videokonferenzen kann auch die Zusammenarbeit mit anderen Standorten, Zulieferern, Partnern und Dienstleistern weitergeführt werden. Die schnelle Implementierung von UC- und UCC-Lösungen, samt der dafür notwendigen agilen Infrastruktur, ist dabei ein Schlüsselfaktor.
2. Externe Collaboration: Auch die Interaktion mit den Kunden profitiert von Collaboration-Tools, wie Webinare und Online-Events. Sie helfen dabei, mit den Kunden in Kontakt zu bleiben. Die Kundenkommunikation wird unterstützt durch E-Commerce-Lösungen, beispielsweise für automatisiertes Dispatching und die Beantwortung von Kundenanfragen per Sprachbots, die bei erhöhter Nachfrage schnell skaliert werden können.
3. Skalierbare Infrastruktur: Nicht nur diese beiden Aspekte benötigen eine IT-Infrastruktur, die auf schnelle Reaktion bei Veränderungen ausgelegt ist, seien sie geografischer oder wirtschaftlicher Art. Die Bandbreite reicht dabei vom Software-defined-Datacenter über Hybrid-IT und Remote Datacenter bis hin zum flexiblen Transfer von Container-Plattformen in hybriden Multi-Cloud-Umgebungen, orchestriert per Remote Management.
4. Security: Auch die Sicherheitsvorkehrungen müssen den volatilen Anforderungen angepasst sein. Die hohe Zahl an erfolgreichen Cyber-Attacken zeigt, dass bestehende Security-Maßnahmen häufig nur unzureichend auf Notfälle und Ausnahmesituationen vorbereitet sind: Netzwerkströme, Daten, Applikationen, Endgeräte und Zugänge müssen deshalb in einem umfassenden Konzept gleichermaßen geschützt werden.
5. Kosten: Der Mangel an Flexibilität in herkömmlichen IT-Strukturen führt dazu, dass die damit verbundenen Kosten in Zeiten geringer Auslastung nicht oder nur marginal reduziert werden können. Moderne Bereitstellungs- und Abrechnungsmodelle von IT-Ressourcen mit Managed Services und Cloud Services kombinieren SaaS-Lösungen und Pay-per-Use, um die Steigerungen bei Produktivität und Skalierbarkeit zu vertretbaren Kosten realisierbar zu machen und gleichzeitig flexibel und agil auf Auslastungen reagieren zu können. Managed Services sind zudem eine schnelle und kostengünstige Lösung für die personell überlasteten IT-Abteilungen.

„Gerade in außergewöhnlich schwierigen Zeiten werden die Defizite bestehender IT-Strukturen deutlich sicht- und erfahrbar“, so Sylvia List, Vice President Go-to-Market bei NTT Ltd. „Bei der anstehenden Modernisierung geht der Trend weg von starren, zentralisierten Strukturen hin zu Zero Touch Services, die per Remote Deployment zur Verfügung gestellt werden. Mit unseren umfassenden Ressourcen und flexiblen Bereitstellungsmodellen sind wir exzellent aufgestellt, um unsere Kunden auf diesem Weg zu unterstützen.“

Weitere Informationen zum Thema:

datensicherheit.de, 21.04.2020
File-Sharing-Security: Kontrolle über kritische Daten behalten

datensicherheit.de, 05.07.2018
KMU: Schwierigkeiten bei der Verwaltung heterogener IT-Infrastrukturen

[datensicherheit.de, 28.10.2019] Eine aktuelle Untersuchung vergleicht laut HackerOne die Höhe der anfallenden Kosten bei einer Datenschutzverletzung mit dem Preis für eine identifizierte Schwachstelle auf dem „Bug Bounty“-Markt – demnach hätten Investitionen von umgerechnet rund 11.122 Euro potenzielle Folgekosten und Strafen in Höhe von umgerechnet rund 307 Millionen Euro verhindern können.

Abbildung: HackerOne

Kosten Datenschutzverletzung vs. Schwachstellenaufdeckung

Schwerwiegende Datenschutzverletzungen der letzten Jahre hätten drastisch gesenkt werden können

Eine neue Untersuchung, nach eigenen Angaben initiiert „von der Bug-Bounty- und Pentesting-Plattform“ HackerOne, lege offen, dass die Kosten für vier schwerwiegende Datenschutzverletzungen der letzten Jahre drastisch hätten gesenkt werden können:
Diese Datenschutzverletzungen hätten die betroffenen Unternehmen kumuliert rund 307 Millionen Euro gekostet, und wären mit Investitionen von insgesamt lediglich 11.122 Euro vermutlich verhindert worden.
Diese Schätzung basiere auf den durchschnittlich an Hacker gezahlten Vergütungen für das Aufdecken ähnlicher Schwachstellen im Rahmen eines „Bug Bounty“-Programms. Als Teil solcher Initiativen würden Hacker für das Aufdecken von sich möglicherweise verheerend auswirkenden Schwachstellen honoriert. Die Unternehmen bekämen einen detaillierten Bericht zur jeweiligen Schwachstelle und dazu Hinweise, wie man sie beseitigen kann, – und das, bevor Angreifer sich die Lücken zunutze machen.

Finanzielle Schäden und Reputationsverluste

Datenschutzverletzungen verursachten jährlich Schäden in Millionenhöhe und zögen „empfindliche Strafen“ nach sich. Zudem erschütterten Verstöße das Vertrauen der Kunden, hätten Reputationsverluste zur Folge und belasteten die finanzielle Bilanz eines Unternehmens.
So habe das Information Commissioner’s Office (ICO) als unabhängige Datenschutz-Aufsichtsbehörde in Großbritannien erst kürzlich verlauten lassen, dass British Airways mit einer Buße in Höhe von umgerechnet 212 Millionen Euro für den Verlust einer halben Million Kundendaten im letzten Jahr belegt werden solle.
Vermutlich hätten sich die Angreifer über eine „JavaScript“-Schwachstelle bei einem Drittanbieter Zugang zu den Systemen bei British Airways verschafft. Auf einer „Bug Bounty“-Plattform liege der Wert einer derartigen Schwachstelle zwischen etwa 4.600 und 9.300 Euro.

Schwachstellen mittels „Bug Bounty“-Programms aufdecken und verantwortungsvoll offenlegen

Gegenstand der Untersuchung von HackerOne waren nach eigenen Angaben die Kosten, welche auf Klagen und Verfahren sowie die verhängten Bußen bei vier schwerwiegenden Datenschutzverletzungen der letzten Jahre zurückgingen. Die betroffenen Unternehmen seien British Airways (2018), TicketMaster (2018), Carphone Warehouse (2018) und TalkTalk (2015).
Im Rahmen dieser Untersuchung seien diese Kosten mit den „Bug Bounty“-Honoraren verglichen worden, die für jene diesen Datenschutzverletzungen zugrundeliegenden Schwachstellen gezahlt worden wären. Insgesamt hätten die Kosten für alle vier Unternehmen zusammen umgerechnet rund 307 Millionen Euro betragen.
Wenn die betreffenden Schwachstellen im Rahmen eines „Bug Bounty“-Programms aufgedeckt und verantwortlich offengelegt worden wären, hätte das die Unternehmen zusammen zwischen 11.122 und rund 37.000 Euro gekostet. Diese Schätzungen basierten auf den durchschnittlich für diese Art von Schwachstellen gezahlten „Bug Bounties“.

Schwachstellen vorausschauend identifizieren und patchen!

Die Angriffsflächen vergrößerten sich weiter. Es bleibe eine andauernde Herausforderung, Cyber-Kriminellen einen Schritt voraus zu sein. Prash Somaiya, „Security Engineer“ bei HackerOne: „Die am besten geschützten Unternehmen und Organisationen sind sich bewusst, dass es verschiedene Wege gibt, herauszufinden, wo die gefährlichsten Schwachstellen liegen. Mithilfe eines ,Bug Bounty_-Programms und der Unterstützung von Hackern haben unsere Kunden 120.000 Schwachstellen identifizieren und beseitigen können und das, bevor ein Datenschutzverstoß aufgetreten ist.“
Ihre Untersuchung sei eine grobe Schätzung hinsichtlich der potenziell gezahlten „Bug Bounties“ innerhalb ihrer laufenden Programme mit Kunden in vergleichbaren Branchen.
Trotzdem zeige schon dieser Vergleich, dass Unternehmen Millionen sparen und Risiken senken könnten, „wenn sie ihre Schwachstellen vorausschauend identifizieren und patchen“.

Datenschutzverletzungen: Kostenvergleich mit Honoraren für Schwachstellenaufdeckung

Weltweit profitierten Unternehmen in Sachen IT-Sicherheit von „Bug Bounty“-Programmen und der Expertise von Hackern.
Der jährliche, vor kurzem veröffentlichte „Hacker-Powered Security Report“ bestätige, dass es in 77 Prozent aller Fälle lediglich 24 Stunden dauere, bis Hacker im Rahmen eines neu initiierten „Bug Bounty“-Programms die erste valide Schwachstelle meldeten.
25 Prozent der gefundenen validen Schwachstellen fielen in die Kategorie „hohes“ bis „kritisches“ Sicherheitsrisiko.

Weitere Informationen zum Thema:

|1:blog, 11.06.2019
THE HACKERONE TOP 10 MOST IMPACTFUL AND REWARDED VULNERABILITY TYPES

datensicherheit.de, 28.04.2019
HackerOne-Jahresbericht: Hacker Community wächst um 100 %

[datensicherheit.de, 15.05.2019] Netwrix kündigte heute die Veröffentlichung seines globalen 2019 Cloud Data Security Report an. Der Bericht bietet eine eingehende Analyse der Herausforderungen, vor denen Unternehmen stehen, die Daten in der Cloud speichern.

Sicherheitsbedenken vorhanden

Er basiert auf dem Feedback von 749 Unternehmen unterschiedlicher Größe aus aller Welt. Die Befragten teilten ihre Erfahrung mit der Speicherung von Daten in der Cloud, ihre größten Bedenken hinsichtlich der Sicherung dieser Daten sowie ihre Pläne für die künftige Speicherung sensibler Daten in der Cloud.

Zusätzlich zur Veröffentlichung der Gesamtergebnisse der Untersuchung analysierte Netwrix das Feedback der deutschen Teilnehmer separat. Die wichtigsten Erkenntnisse für diese Gruppe im Überblick:

• Obwohl fast die Hälfte (47 %) der deutschen Unternehmen personenbezogene Daten (PII) in der Cloud speichert, würden 40 % der deutschen Unternehmen dort niemals Zahlungs- oder Finanzdaten speichern.
• Die häufigsten Einflussfaktoren für die Verschiebung der PII in die Cloud waren Kostenreduzierung (40 %) und Datenverfügbarkeit für mobile Mitarbeiter (33 %).
• 62 % der deutschen Unternehmen, die PII speichern, klassifizierten nicht ihre gesamten Daten; 50 % von ihnen erlebten im vergangenen Jahr mindestens einen Sicherheitsvorfall.
• 54 % der deutschen Unternehmen konnten den Bedrohungsakteur hinter ihren Sicherheitsvorfällen nicht ausmachen.
• 27 % der deutschen Unternehmen würden “Unclouding”, also die Verschiebung von Daten aus der Cloud zurück zu einem On-premise-Standort, künftig in Erwägung ziehen; ihre Hauptgründe dafür sind Sicherheit (45 %) und Kosten (32 %). 67 % dieser Unternehmen haben ihre Daten nicht klassifiziert. Die Mehrheit (70 %) derer, die Unclouding in Erwägung ziehen würden, möchten zuerst PII zurück verschieben.
• Um die Datensicherheit in der Cloud zu verbessern, planen 82 % der deutschen Unternehmen, Daten zu verschlüsseln; 55 % planen, Nutzeraktivitäten rund um die Daten zu überwachen. Vielen Unternehmen fehlen jedoch die Ressourcen, um ihre Pläne in die Tat umzusetzen; nahezu die Hälfte (45 %) sagte, ihr Budget für die Sicherheit der Cloud sei 2019 nicht gestiegen, und lediglich 18 % berichteten eine Budgeterhöhung von durchschnittlich 17 %.

Bild: Netwrix

.Jürgen Venhorst, Country Manager der DACH-Region bei Netwrix

„Unternehmen bemühen sich zwar, die Datensicherheit zu verbessern, indem sie zu on-premise zurückkehren, sofern sie kein breitangelegtes Datensicherheitsprogramm unterhalten; sie laufen jedoch Gefahr, auf dieselbe Problematik zu stoßen. Die Ermittlung und Klassifizierung von Daten ermöglicht ihnen festzustellen, welche Daten sie besitzen und wo sich diese befinden, so dass sie sich auf den Schutz ihrer geschäftskritischen Vermögenswerte – egal, ob on-premise oder in der Cloud – konzentrieren können. Unterdessen ermöglicht ihnen die Überwachung und Überprüfung der Nutzeraktivität, verdächtige Aktivitäten rechtzeitig auszumachen und zu untersuchen, um Sicherheitsvorfälle zu vermeiden. Und eine regelmäßige Risikobewertung hilft ihnen, ihre Sicherheitsstrategie entsprechend an die aktuelle Bedrohungslandschaft anzupassen“, sagte Jürgen Venhorst, Country Manager der DACH-Region bei Netwrix.

Weitere Informationen zum Thema:

datensicherheit.de, 08.05.2019
Public-Cloud-Ressourcen: Drei Tipps zur Absicherung

datensicherheit.de, 29.04.2019
Studie: Trend zur Cloud – IT-Security spielt entscheidende Rolle

datensicherheit.de, 21.04.2019
Studie: Zugriff auf Daten und Anwendungen in der Cloud mit Mobilgeräten

datensicherheit.de, 17.04.2019
Office 365: Zunehmendes Risiko von Cloud-Account-Attacken

datensicherheit.de, 07.03.2019
Multicloud-Umgebungen: Fünf Tipps für Datensicherheit

datensicherheit.de, 03.03.2019
Zscaler Cloud Security Insights Report: Anstieg der Phishing-Angriffe um 400 Prozent

datensicherheit.de, 21.02.2019
Cyberkriminalität: Druck auf Cloud-Anbieter nimmt zu

[datensicherheit.de, 11.07.2018] Eine aktuelle globale Studie von IBM Security beschäftigt sich im Detail mit den finanziellen Folgen schwerwiegender Datenschutzverletzungen und deren Folgen für die betroffenen Unternehmen. Demnach bestätigt sie Studie, dass besonders die versteckten Kosten einer Datenschutzverletzung Schwierigkeiten bereiten – zu diesen zählen beispielsweise entgangene Geschäftsabschlüsse, der rufschädigende Einfluss einer erfolgreichen Datenschutzverletzung und natürlich die zur Schadensbeseitigung notwendige Arbeitszeit. So hat IBM Security nach eigenen Angaben herausgefunden, dass ein Drittel der Kosten infolge von „Mega“-Datenschutzverletzungen (solche, bei denen mehr als eine Million Datensätze verloren gegangen sind) auf entgangenes Business zurückzuführen sind.

Zahl von „Mega“-Datenschutzverletzungen nahezu verdoppelt

In den letzten fünf Jahren habe sich die Zahl von Datenschutzverletzungen dieser Größenordnung nahezu verdoppelt, von lediglich neun solcher Vorfälle im Jahr 2013 auf bereits 16 im Jahr 2017.

„Cost of a Data Breach“-Studie beschränkt sich zunächst auf Vorfälle mit 2.500 bis 100.000 Datensätzen

Die vergleichsweise geringe Zahl dieser schlagzeilenträchtigen Angriffe habe dazu beigetragen, dass sich die „Cost of a Data Breach“-Studie historisch zunächst auf die Analyse von Vorfällen beschränkt habe, bei denen 2.500 bis 100.000 Datensätze abgezogen wurden.

80 Prozent der Werte eines Unternehmens sind immaterielle Güter

„Die Ergebnisse überraschen mich nicht. Auch eine noch nicht lange zurückliegende Studie des Beratungsunternehmens Deloitte schätzt, dass 90 Prozent der Kosten einer Datenschutzverletzung mit deren Implikationen zu tun haben. Wenn wir das mit der Tatsache kombinieren, dass laut einer Studie von Ocean Romeo 80 Prozent der Werte eines Unternehmens immaterielle Güter sind, die genau solchen Datenschutzverletzungen ausgesetzt sind, multiplizieren sich die Kosten“, kommentiert Dr. Anton Grashion, Cylance.

Cyber-Sicherheitslösungen auf Basis Künstlicher Intelligenz erforderlich!

Die zahlreich existierenden und neu hinzu kommenden Malware-Varianten brächten „hohe, unkalkulierbare Risiken“ mit sich – insbesondere unbekannte Schadsoftware.
Firmen sollten sich angesichts dieser Zahlen auf Sicherheitslösungen konzentrieren, die neuartige, über„Detect-and-Response“-Methoden hinausgehende Ansätze nutzen. Dr. Grashion: „Das sind etwa Cyber-Sicherheitslösungen, die auf Künstlicher Intelligenz basieren und die auch vor bis dato unbekannten Bedrohungen schützen.“

Weitere Informationen zum Thema:

IBM Security
Cost of a Data Breach Study / Essential report on today’s security landscape

datensicherheit.de, 29.06.2018
Schwachstelle bei Ticketmaster muss ernstgenommen werden

datensicherheit.de, 19.06.2018
Ausnutzen von Schwachstellen: Cyber-Kriminelle haben durchschnittlich sieben Tage Zeit