Mittelstand im Visier: Prävention als Schutz vor Cyberrisiken und Datenklau

Transkript

1 Mittelstand im Visier: Prävention als Schutz vor Cyberrisiken und Datenklau Mittelstand im Visier: Prävention als Schutz vor Cyberrisiken und Datenklau Hannover, 20. März 2015

2 Unternehmens-IT früher Office Netzwerk Internet F&E Zulieferer Fertigung 2

3 Unternehmens-IT heute Office Netzwerk Internet F&E Home Office Fertigung Zulieferer 3

4 Reifegradvergleich der IT-Landschaften gut schlecht Office-IT IT von F&E, Fertigung Betriebssystem Personal Firewalls Virenschutz Security-Patching Software-Management Rollen & Berechtigungen Password-Policies Nutzung Privatgeräte Standardisiert Ja Ja Standardisiert Zentralisiert Genormt Stark Wird erkannt/verhindert Viele????? PIN?? 4

5 Reifegradvergleich der IT-Landschaften Bedrohungen aus Office-IT(mit gut ausgereiften IT Controls) treffen auf F&E und Fertigung mit schwach ausgereiften IT-Controls 5

6 World s Biggest Data Breaches Selected losses greater than records (updated 9th Mar 2015) 6

7 Cyber- und Datenrisiken Schadensbeispiele aus den Medien AD-ACTA Deutsche Rentenversicherung Allianz Asklepios Kliniken AWD Bayreuther Festspiele Borussia Mönchengladbach CINEDOM DAK-Gesundheit Deutsche Bank Deutsche Telekom Deutscher Bundestag EADS HETZNER Online AG Immobilien Scout24 Sky Vodafone Thyssen Krupp 7

8 Interessante Fakten (1/3) anfällige Branchen Abnormal Churn Rates by industry Classification of benchmarked Companies, percent Financial Communications Energy Hospitality Industrial Services Pharmaceutical Consumer Technology Retail Public Sector Quelle: Ponemon-Studie für Deutschland

9 Interessante Fakten (2/3) Cyber-Angriffe in Deutschland Deutsche Unternehmen als Ziel von IT-Angriffen Frage? Wie häufig ist Ihr Unternehmen IT-Angriffen ausgesetzt, durch die Ihr Unternehmen ausspioniert oder geschädigt werden soll? Täglich Mehrmals in der Woche Etwa einmal in der Woche 2- bis 3-mal im Monat Etwa einmal im Monat Seltener Nie Unternehmen insgesamt 50 bis unter bis unter bis unter Anzahl Mitarbeiter und mehr Quelle: Allensbacher Archiv, IfD-Umfrage 6267 (Juni/Juli 2013) Basis: Bundesrepublik Deutschland, Führungskräfte in mittleren und großen Unternehmen, die eine konkrete Angabe zur Häufigkeit von IT-Angriffen gemacht haben) 9

10 Interessante Fakten (3/3) Bedrohungsszenarien Im fünften Jahr nacheinander stiegen die Kosten je kompromittiertem Datensatz von 146 EUR auf 151 EUR. Kunden trennen sich immer eher von betroffenen Unternehmen (signifikante Unterschiede je Branche und je Strategie). Kriminelle oder bösartige Attacken (intern und extern) sind die Hauptursache für Datenschutzverstöße (Anstieg um 42% im Vergleich zu 2011). Faktoren, die Kosten im Zusammenhang mit einem Data Breach Vorfall reduzieren: hohes Sicherheitsniveau spezielle Krisenpläne Einsatz eines Krisenberaters Quelle: Ponemon-Studie für Deutschland

11 Cyber-Krisensituation (1/3) welche Datenrisiken bestehen? Fragestellung/Risikoermittlung Welche Daten halten Unternehmen vor? In welcher Form werden diese vorgehalten? Kundendaten (natürliche wie juristische Personen) Mitarbeiterdaten Bankdaten Kreditkartendaten Eigene vertrauliche Geschäftsgeheimnisse Vertrauliche geschäftliche Daten meiner Kunden Elektronisch (Server, mobile Endgeräte wie Laptops, USB Sticks, Smartphones,...) Papierform Welcher Schaden kann entstehen, wenn die Vertraulichkeit, Verfügbarkeit oder Integrität dieser Daten verletzt wird? 11

12 Cyber-Krisensituation (2/3) was kann passieren? Alltägliches Irrtümliches Mitschicken von Daten/Unterlagen in einem Brief Verlieren eines Laptops, USB Sticks, Smartphone, etc. Diebstahl von Computern wird an einen falschen Empfänger verschickt Dokumente landen im Papierkorb Etc. Für Fortgeschrittene Hackerangriffe ggf. unterstützt von kriminellen Organisationen Denial-of-Service Attacken 12

13 Cyber-Krisensituation (3/3) potenzielle Kosten Kosten für forensische Prüfung: Was ist passiert? Kosten für Information betroffener Dateninhaber/ Behörden z.b. Kosten für Beauftragung eines Call-Centers Rechtskosten Krisenmanagement / PR-Kosten Wiederherstellung der Systeme Prävention Entgangener Gewinn (Betriebsunterbrechung) Lösegeld (Datenerpressung) 13

14 Situation nach einem Cybervorfall Ursache wirklich gefunden? Welche Risiken haben die Hilfsmaßnahmen? Shitstorm bei Facebook und Twitter Journalisten stellen Fragen. Was sagt man? Welche Abteilungen & Prozesse sind in welchem Umfang betroffen? Was den verärgerten Kunden sagen? Wer hat jetzt den Hut auf? Was sagt man der Polizei, BaFin und den Wirtschaftsprüfern? Arbeiten ohne und Fileserver? Kein ausreichendes Lagebild und Konfusion im Unternehmen! 14

15 Dienstleistungen von HiSolutions Forensik Krisenmanagement Krisenkommunikation Prävention Krisenstabsarbeit Lagearbeit Forensik Reaktion Stakeholder-Management Presse- & Öffentlichkeitsarbeit Basis-FAQ Q&A Pressemitteilungen Telefon-Hotline für die Erstreaktion 15

16 Vielen Dank für Ihre Aufmerksamkeit! 16

17 Vorteile einer Cyber Deckung Cyber-Haftpflichtversicherung Deckt Schadenersatzansprüche (Vermögensschäden) aufgrund: Eines Verstoßes gegen eine gesetzliche Bestimmung, die den Schutz von Daten bezweckt (nicht auf personenbezogene Daten beschränkt) Eines Verstoßes gegen Geheimhaltungspflichten Eines Verstoßes gegen eine vertragliche Datenschutzbestimmung Der Weitergabe eines Virus Einer Persönlichkeitsrechtsverletzung nach Hacker-Angriff verschuldensunabhängig 17

18 Vorteile einer Cyber Deckung Cyber-Haftpflichtversicherung Was wird geleistet? Prüfung von Ansprüchen Abwehr von unberechtigten Ansprüchen Erfüllung von berechtigten Ansprüchen Kosten strafrechtlicher Verteidigung 18

19 Vorteile einer Cyber Deckung Cyber-Eigenschadenversicherung Folgende Schadenszenarien sind gedeckt: Datenrechtsverletzung Hacker-Angriffe Denial-of-Service Attacken Cyber-Erpressung 19

20 Vorteile einer Cyber Deckung Cyber-Eigenschadenversicherung Was wird geleistet? Kosten für IT-Forensik Rechtsberatung Informationskosten Kreditüberwachungsdienstleistungen Kosten für Krisenmanagement und PR-Beratung Betriebsunterbrechungsschäden (optional) Vertragsstrafen (PCI) Lösegeld Wiederherstellungskosten Sicherheitsverbesserungen 20

21 Vorteile einer Cyber Deckung Cyber-Eigenschadenversicherung Weitere Vorteile von Cyber Risk Management by Hiscox Exklusiver Zugang zu einem führenden Sicherheitsberater im Bereich Informations- und Kommunikationstechnologie Vorrangige Deckung 5 Jahre Nachmeldefrist Unbegrenzte Rückwärtsversicherung Auch ungezielte Angriffe sind mitversichert Keine Sublimitierung (außer Vertragsstrafen) Präventives Krisenmanagement insbesondere Erstellung Krisenplan durch HiSolutions wird subventioniert 21

22 Rechtliche Rahmenbedingungen Datenschutz als unternehmerische Pflicht ( 91 Abs. 2 AktG/ 239 Abs. 4, Satz 2, 261 HGB) Deliktsrechts ( 823 BGB) 130 Abs. 1 i.v.m. 30 OWiG Haftung der Geschäftsleitung für Unterlassen von Aufsichtsmaßnahmen; Haftung des Unternehmens für Ordnungswidrigkeit (Geldstrafe bis 1,0 Mio. EUR) Datenvorfall kann Schadensersatzanspruch des Betroffenen gem. 7 BDSG begründen Bußgelder ( Tsd. EUR) gem. 43 BDSG Vertragliche Ansprüche (PCI = Payment Card Industry) Neue EU-Datenschutzverordnung 2012 (u.a. unverzügliche Anzeigepflicht, höhere Strafen etc.) 22

23 Beispiel Cyberkrisen-Übung Ein Kamerateam filmt vor Ort und interviewt Mitarbeiter zum Vorfall Wie reagieren Sie? Und welche Abteilung? Betreff: Hacker-Angriff Uns liegen erste Informationen über einen massiven Hacker-Angriff und Datendiebstahl vor. Erste Recherchen ergaben, dass auch Ihr Unternehmen betroffen sein könnte. Sind Sie tatsächlich ebenfalls von den Attacken betroffen? Welche Informationen liegen Ihnen diesbezüglich vor? Welche Auswirkungen haben diese Angriffe für Ihre Services? Besteht die Gefahr, dass auch Daten von Kunden oder Unternehmen gehackt werden? Wie sind Sie auf einen solchen Vorfall vorbereitet? 23

24 Krisenmanagement Krisenstab Leiter Recht Compliance IT Datenschutz Kommunikation Weitere Ressourcen (intern/extern) Normale Ablauforganisationen sind zu langsam. Daher Krisenstab erforderlich! Aufgaben des Krisenstabs Entwicklung und Auswahl von Handlungsoptionen Kommunikationsstrategie festlegen Wirksamkeitsüberprüfung der Maßnahmen Dokumentation der Vorgänge Vorbereitung & Checklisten helfen Übungen erhöhen die Reaktionsfähigkeit im Ernstfall Krisenmanagement-Plan enthält alle Infos dazu 24