Gehackt - Wer haftet?

Es ist ein Kampf gegen Windmühlen: Immerfort schaffen es kriminelle Hacker, sich in die IT-Systeme von Unternehmen zu schleichen. Eigentlich müsste muss man angesichts dessen ständig in Alarmbereitschaft stehen, um einen erneuten Hackerangriff abwehren zu können.

Doch die Realität sieht leider anders aus. Gerade wenn es um die IT-Sicherheit im eigenen Unternehmen geht, werden die Maßnahmen oft vernachlässigt. Veraltete Sicherheitssoftware zum Beispiel ist oft ein Auslöser für lückenbehaftete IT-Systeme - vor allem in kleineren Unternehmen, die oft nicht die Mittel für teure Sicherheitsvorkehrungen haben. Jedes zehnte mittelständische Unternehmen war laut der Beratungsgesellschaft PwC im Jahr 2014 von einem Hackerangriff betroffen - doppelt so viele wie im Vorjahr. Doch wer trägt die Verantwortung dafür? Etwa das Unternehmen selbst?

Betrachtet man den aktuellsten Fund einer Zero-Day-Lücke in der Windows-SMB-Bibliothek, die ein Denial-of-Service auf den angegriffenen Systemen zur Folge hat, stellt man fest, dass Microsoft bislang noch nicht für ein Update gesorgt hat, um seine Nutzer zu schützen. Der Entdecker des Exploits behauptet sogar, dass der Windows-Riese sich lieber auf Marketing konzentriert, statt einen Patch zu veröffentlichen.

Hackerangriff: Unternehmen selbst schuld?

Was die rechtliche Lage angeht, so schreibt diese keine klaren Regeln vor. Selten werden Unternehmen selbst zur Verantwortung gezogen. In erster Linie leidet darunter am Ende der Kunde, dessen persönliche Daten als Zielscheibe für die Hacker fungieren. Die Forderung nach rechtlichen Sicherheitsstandards ist also gerechtfertigt. Um jedoch das Unternehmen zur Rechenschaft ziehen zu können, muss zunächst betrachtet werden, ob das Unternehmen fahrlässig gehandelt hat. Zum Beispiel, indem es seine Abwehr-Systeme nicht aktualisiert oder Sicherheitslücken einfach ignoriert hat. Eine Studie von Verizon zeigt, dass 99,9 Prozent der Sicherheitslücken bereits bekannt sind, bevor sie an die Öffentlichkeit gelangen.

Ein weiterer Punkt: Gibt es im Unternehmen eine Person, die ausschließlich für die IT-Sicherheit verantwortlich ist? Denn Firmen mit einem CISO sind weitaus mehr um lückenlose Sicherheit bemüht und haben auch weniger Schäden durch Angriffe auf die Systeme zu bewältigen - so eine Studie von Veracode und der New Yorker Börse.

Laut dieser Umfrage fordern auch neun von zehn Vorstandsvorsitzenden, dass Unternehmen, die sich nicht ernsthaft um ihre Datensicherheit bemühen, in Haftung genommen werden sollten. Klare Regeln und standardisierte Vorschriften werden also auch in den Führungsetagen der Unternehmen begrüßt.

In Deutschland versucht das IT-Sicherheitsgesetz des BSI deutliche Standards vorzugeben. Doch die sind vor allem eines: unklar definiert. Das Problem dabei sind vor allem die weitläufig interpretierbaren Begriffe, die für ein lückenhaftes Verständnis sorgen. Moderne Technologien als "angemessene Vorkehrungen" zu bezeichnen, kann vieles bedeuten. Straßen mit Internetdienstleistern zu vergleichen und diese unter dem Begriff "kritische Infrastrukturen" gleichzusetzen, ist ebenso wenig eindeutig.

Haftung als Security-Anreiz?

Wenn nun schon die Rechtslage nicht genügend Anlass bietet, um Sicherheitsvorkehrungen vorbildlich einzuhalten, muss anders dafür gesorgt werden. Zum Beispiel in Form von Cyber-Versicherungen. Durch die kann der IT-Sicherheitsansatz eines Unternehmens grundlegend verändert werden. Das Volumen des Versicherungsmarkts soll sich nach Angaben von Analysten in den nächsten fünf Jahren auf 7,5 Milliarden Dollar verdreifachen. Und ein Unternehmen, das sich finanziell gegen einen Hackerangriff absichert, wird wahrscheinlich auch weniger risikofreudig mit dem Thema Datensicherheit umgehen.

Man sollte meinen, dass ein Schaden in Höhe von 22,4 Milliarden Euro für die deutsche Industrie im Jahr 2016 - so der Digitalverband Bitkom - Grund genug sei, um sich umfassend vor Hackerangriffen zu schützen. Deshalb setzen inzwischen mehr Unternehmen auf Cyber-Versicherungen, die verbesserte Standards für Best Practices in der IT-Sicherheit liefern - vor allem auch für die Drittanbieter der Unternehmen. Denn bereits 65 Prozent der Vorstände beabsichtigen vertragliche Haftungsklauseln für ihre Zulieferer. Das zeigt die Befragung durch die New Yorker Börse.

Der Hiscox Cyber Readiness Report 2017 zeigt hingegen, dass jedes dritte deutsche Unternehmen innerhalb der nächsten zwölf Monate mit dem Abschluss einer Cyber-Versicherung plant. Spannend wird es, wenn 2018 die Europäische Datenschutz-Grundverordnung in Kraft tritt. Diese sieht nämlich Strafen von bis zu 20 Millionen Dollar, beziehungsweise vier Prozent des Jahresumsatzes bei Verstößen vor. In der Folge könnten die Prämien der Cyber-Versicherungen extrem in die Höhe schnellen. Vielleicht ist das jedoch auch der Anreiz für Unternehmen, endlich mehr für ihre IT-Sicherheit zu tun.

Fazit: Verantwortung übernehmen

Unternehmen müssen selbst die Verantwortung für eine umfassende IT-Sicherheitsstrategie auf der Höhe der Zeit übernehmen. Solange keine rechtlich klar definierten Regeln geschaffen werden, werden sich Unternehmen auch nicht um die Einhaltung grundlegender Sicherheitsmaßnahmen bemühen.

Doch aussichtslos scheint die Situation nicht, denn mittels Versicherungen kann Abhilfe geleistet werden. Diese können als Treiber von transparenten Sicherheitsstandards eingesetzt werden. Denn wenn die Unternehmen schon nicht eigenständig ihre Verantwortung für die IT-Security erkennen, kann eine finanzielle Maßnahme wie die Einzahlung in eine Versicherungspolice eventuell Anreize schaffen. (fm)