VERSICHERUNG VON DATENSCHUTZVERLETZUNGEN

Transkript

1 VERSICHERUNG VON DATENSCHUTZVERLETZUNGEN It-sa, Cyber-Risiken

2 Angriff auf Traveltainment Ein Fallbeispiel Was war passiert? April 2013: zielgerichteter Angriff auf Booking Engine der Amadeus-Tochter Traveltainment (bei vielen Online-Reisebüros eingesetzt) Spionage-Software auf einem Web-Server Installiert sich im Web-Browser des Urlaubers Lesen von Kreditkarten-Daten möglich Folge: 60 Lizenznehmer betroffen mit hunderten Online-Präsenzen, die Traveltainment nutzen Keine Info über die Anzahl ausgespähter Kreditkartendaten Sperrung von Kreditkarten, zum Teil nach Ankunft am Urlaubsort Imageschäden für die Buchungsportale Evtl. Schadenersatzforderungen der Finanzdienstleister 2

3 Datenklau bei Krankenkasse in den USA Feb Quelle: Cyber-Versicherung von 100 Mio. EUR nicht ausreichend 3

4 Datenklau bei Krankenkasse in den USA Mai Quelle: 4

5 Gesundheitsdaten im Kopierer Was war passiert? CBS Evening News kaufte gebrauchten Kopierer, der vorher von Affinity Health Plan Inc., einem Gesundheitsdienstleister, geleast war Enthielt Festplatte, auf der noch vertrauliche medizinische Daten von Patienten gespeichert waren Gleiches bei allen anderen Kopierer Daten von geschätzt Patienten Folgen: Selbstanzeige von Affinity beim HHS Office for Civil Rights (OCR) an Strafzahlung von $1,215,780 wegen Verstoß gegen die HIPAA Privacy and Security Rules (Datenschutzgesetz zu Gesundheitsdaten in den USA) 5

6 Datenschutzverletzungen Quelle: 6

7 Datenschutz-Verletzungen Quelle: Alternative: 7

8 Auswirkung einer Datenschutzverletzung Kosten eines verlorenen Datensatzes: 152 Aufwand nach Datenpannen, um Schaden zu beseitigen: 3,52 Mio. * Ausgaben für Entdeckung und De-Eskalation bei einer Datenpanne: 1,02 Mio. * Zu den Kosten werden gerechnet: Aufdeckung, Rufschädigung, Aktienkursverluste, gestohlene Werte, Schadenbeseitigung, Systemausfälle Quelle: Ponemon Institut für Symantec 2015 Cost of Data Breach Study: Germany 8

9 Haftpflicht-Versicherung von Datenschutz -Schäden 9

10 Welche Rechtsgüter können verletzt werden? Personenschäden: z.b. Schmerzensgelder wegen beleidigender, verunglimpfender Inhalte Sachschäden: Datenverluste durch Löschung, wenn die schon auf einem Speichermedium verkörpert waren auch im Falle von Datendiebstahl Vermögensschäden (= kein Personen-; kein Sachschaden diese Schäden sind auch nicht vorausgegangen): Kosten zur Rufwiederherstellung nach Imageschaden Gerichts- und Anwaltskosten zur Durchsetzung berechtigter Interessen Gewinnausfälle/Betriebsunterbrechungen Immaterielle Schäden: Verletzung von Namens- und Persönlichkeitsrechten 10

11 Sicherstellung der gesetzeskonformen Datenverarbeitung Unabdingbare Rechte von Personen, deren Datenschutzinteressen verletzt wurden: Berichtigung Löschung Sperrung Schadenersatz 11

12 GDV-Musterbedingungen Allgemeine Haftpflicht Versichert ist abweichend von A und A1-7.9 die gesetzliche Haftpflicht des Versicherungsnehmers wegen Vermögensschäden aus der Verletzung von Datenschutzgesetzen durch Verwendung personenbezogener Daten. 12

13 GDV-Musterbedingungen Internet-Zusatzbaustein A Schäden im Zusammenhang mit der Übertragung elektronischer Daten A Versichert ist die gesetzliche Haftpflicht des Versicherungsnehmers wegen Schäden auch Tätigkeitsschäden aus dem Austausch, der Übermittlung und der Bereitstellung elektronischer Daten (z. B. im Internet, per oder mittels Datenträger) ausschließlich aus (1) der Löschung, Unterdrückung, Unbrauchbarmachung oder Veränderung von Daten (Datenveränderung) bei Dritten durch Computer-Viren und/oder andere Schadprogramme; (2) der Datenveränderung aus sonstigen Gründen sowie der Nichterfassung und fehlerhaften Speicherung von Daten bei Dritten und zwar wegen - sich daraus ergebender Personen- und Sachschäden, nicht jedoch weiterer Datenveränderungen sowie - der Kosten zur Wiederherstellung der veränderten Daten bzw. Erfassung/korrekten Speicherung nicht oder fehlerhaft erfasster Daten; (3) der Störung des Zugangs Dritter zum elektronischen Datenaustausch. 13

14 GDV-Musterbedingungen Internet-Zusatzbaustein Fortsetzung (4) der Verletzung von Persönlichkeits- und Namensrechten, insoweit besteht auch Versicherungsschutz für immaterielle Schäden, nicht jedoch aus der Verletzung von Urheberrechten. 14

15 Cyber-Versicherung Welche Deckungsbestandteile beinhalten heutige Cyber-Versicherungen? Ertragsausfall und Mehrkosten Sachverständigenkosten (z. B. Forensik) Datenwiederherstellung Krisen- und Reputationsmanagement Informationskosten bei Datenschutzverletzungen Erpressungsgeld Betrugsschaden (Vertrauensschaden) Vermögensschaden-Haftpflicht 15

16 Fazit Haftpflichtansprüche aufgrund von Datenschutzverletzungen sind in Deutschland (noch) selten Interne DSB sind im Rahmen der Haftpflichtversicherung des Arbeitsgebers in der Regel mitversichert Externe DSB sollten Deckungsumfang in der Haftpflichtversicherung prüfen Neue Cyber-Versicherungen bieten ergänzende Versicherungsmöglichkeiten 16

17 Vielen Dank für Ihre Aufmerksamkeit AXA Versicherung AG Seite 17 - Dirk Kalinowski

18 AXA Versicherung AG Dirk Kalinowski Produktmanager IT und Cyber Colonia-Allee 10 20, Köln Tel.: +49 (0)221 / dirk.kalinowski@axa.de AXA Versicherung AG Seite 18 - Dirk Kalinowski