Nutzen Sie den Bericht geschickt
Manchmal ist es wie verhext. Sie reden sich den Mund fusselig, doch in Ihrem Unternehmen und gerade bei der Unternehmensleitung will niemand so recht die von Cyberkriminellen ausgehenden Risiken sehen.
Da kann es hilfreich sein, wenn Sie geschickt sensibilisieren und hier auf offizielle Zahlen setzen. Diese Zahlen lesen Sie beispielsweise im aktuellen Bericht des Bundeskriminalamts (BKA) „Bundeslagebild Cybercrime“. Die Veröffentlichung finden Sie auf der Webseite der Behörde unter https://t1p.de/t1p9k.
Diese Erkenntnisse sind für Unternehmen und für Sie als Datenschutzbeauftragter von besonderer Bedeutung:
- Cybercrime nimmt weiter zu: Auch 2024 ist die Zahl der Fälle in Deutschland weiter gestiegen. Es gab über 131.000 Fälle an im Inland begangenen Straftaten.
Aus dem Ausland liegt die Fallzahl mit knapp 202.000 erheblich höher. Letztere lassen sich meist nur schwer aufklären.
Im Übrigen dürfte die Dunkelziffer der Straftaten im Bereich Cybercrime erheblich mehr betragen. Schließlich werden wohl viele Straftaten nicht erkannt oder angezeigt. - Schaden steigt: Der durch Cybercrime verursachte Schaden lag 2024 bei rund 180 Mrd. €. Damit liegt der Schaden 30 Mrd. € über dem Betrag von 2023.
- Cyberkriminelle werden professioneller: Künstliche Intelligenz (KI) wird zunehmend auch von Cyberkriminellen genutzt, etwa für bessere Phishing-Aktivitäten oder für die Entwicklung von Malware.
- Kritische Branchen stehen im Fokus: Cyberkriminelle greifen kritische Branchen gezielt an, etwa im Bereich Gesundheit, Energie, Verwaltung und Verkehr.
- Ransomware steht bei Cyberkriminellen hoch im Kurs: Im Berichtszeitraum gab es 950 angezeigte Vorfälle, bei denen Daten durch Kriminelle verschlüsselt und Lösegeld erpresst wurde. Dabei richteten sich rund 80 % der Angriffe gegen kleine und mittlere Unternehmen.
- Schwachstellen und Phishing machen Angriffe möglich: Schwachstellen in Systemen und Software werden von Cyberkriminellen gezielt ausgenutzt, zunehmend auch unter KI-Einsatz.
Phishing fungiert meist als Türöffner für weitere Aktivitäten der Cyberkriminellen. Häufig werden dazu falsche Nachrichten von Banken oder Versanddienstleistern genutzt, um die Empfänger zur Preisgabe sensibler Informationen zu bewegen.
Darum ist Ihr Aktivwerden so wichtig
Dass Cybercrime auch großes Risikopotenzial für Ihr Unternehmen hat, dürfte Sie als Datenschutzprofi nicht überraschen.
Schließlich versuchen Cyberkriminelle, mittels Phishing-E-Mails oder unter Ausnutzung von Sicherheitslücken sich alles an Daten unter den Nagel zu reißen und im Anschluss zu Geld zu machen.
Haben Cyberkrimielle mit einem Angriff Erfolg, hat Ihr Unternehmen meist zugleich mehrere größere Probleme. So beispielsweise:
- Kommen Daten abhanden oder werden sie zwecks Lösegelderpressung verschlüsselt, kann Ihr Unternehmen ggf. nicht mehr weiterarbeiten.
Das kann daran liegen, dass die entsprechenden Systeme oder Daten nicht mehr verfügbar sind. Oder eben daran, dass Ihr Unternehmen mit Schadensbegrenzung beschäftigt ist. Ist die Produktion betroffen, kann diese zum Erliegen kommen.
Das führt nicht nur zu Lieferschwierigkeiten. Kann nicht geliefert werden, können Strafzahlungen an den Vertragspartner fällig werden. - Jeder unbefugte Zugriff auf Daten oder jeder unrechtmäßige Datenabfluss führt zu einer Datenpanne. Da spielt es keine Rolle, ob Ihr Unternehmen hierfür etwas kann oder nicht.
Auf jeden Fall kann gerade bei höheren Risiken die Pflicht bestehen, den Vorfall der zuständigen Datenschutzaufsichtsbehörde zu melden. - Der Schaden ist garantiert immens: So können Kunden ausbleiben, wenn sich herumspricht, dass Ihr Unternehmen Probleme mit dem Datenschutz hat.
Das ist so gut wie sicher, wenn etwa Kundendaten veröffentlicht oder im Darknet zum Verkauf angeboten und anschließend missbraucht werden.
Auch ist es meist ziemlich teuer, Systeme zu säubern oder neu aufzusetzen. Gerade wenn es hierfür Spezialisten braucht, geht das richtig ins Geld.
Außerdem: Bei einem Datenschutzverstoß, etwa weil keine angemessenen technischen oder organisatorischen Schutzmaßnahmen gegen Cyberkriminelle getroffen wurden (Art. 32 Datenschutz-Grundverordnung (DSGVO)), kann es zu einem hohen Bußgeld kommen.
Und das lässt sich meist nicht aus der Portokasse bezahlen.
Sensibilisieren ist Ihr Ding
Was zu Ihren Aufgaben als Datenschutzbeauftragter zählt, ergibt sich aus Art. 39 Abs. 1 DSGVO. So erwähnt Art. 39 Abs. 1 Buchst. a DSGVO das Unterrichten und Beraten im Hinblick auf die Pflichten, die sich für Unternehmen und Beschäftigte aus der DSGVO ergeben.
Dabei meint Unterrichten nicht „Lehren“. Was gemeint ist, wird in der englischen Fassung der DSGVO deutlich. Das dort zu findende „inform“ zeigt, dass das Informieren gemeint ist. Das bedeutet also auch, dass Sie sensibilisieren und aufmerksam machen, und zwar für Pflichten und Risiken im Zusammenhang mit der Verarbeitung personenbezogener Daten.
Setzen Sie auf eine kurze Information des Managements
Natürlich können Sie aus dem BKA-Bericht eine lange Abhandlung erstellen. Informationen und Zahlen gibt es zuhauf.
Doch wichtiger ist meist, dass Sie dafür sorgen, das Thema Cybercrime einmal wieder in den Mittelpunkt zu rücken. Das geht beispielsweise auch mit einer kurzen E-Mail an das obere Management.
Orientieren Sie sich doch einfach an dem folgenden Entwurf:
