Kein Datenschutz ohne ausreichende IT-Sicherheit

Das BSI hatte die Angriffswelle auf Microsoft-Exchange-Server im Frühjahr 2021 als extrem kritisch eingestuft. 98 Prozent der in Deutschland geprüften Systeme waren nach Angaben des BSI zeitweise verwundbar. Durch Warnungen sei der Anteil innerhalb von zwei Wochen unter die Zehn-Prozent-Marke gedrückt worden, berichtete das BSI einige Zeit später. Danach habe sich jedoch keine deutliche Verbesserung mehr gezeigt: Nach zwei Monaten waren immer noch knapp neun Prozent der Server ohne Sicherheitsupdate. Irritierend ist jedoch, dass über ein halbes Jahr danach die „olle Lücke“ immer noch ausgenutzt wird, wie Experten aus der Szene immer wieder warnen.

Wer als Datenschutzbeauftragter seine „Bubble“ verlässt und sich auch für den Bereich der IT-Sicherheit interessiert, merkt schnell, dass es auch in diesem Bereich im Gebälk knirscht. Datenschutzverletzungen in Folge von Cyberattacken sind an der Tagesordnung, auch im Bereich der KRITIS.  

Zu bedenken gilt hier, dass naturgemäß eine Datenschutzverletzung nach Art. 33 DS-GVO nicht weit ist, wenn die IT-Fachleute über Cyber-Angriffe reden, die täglich zu verzeichnen sind.

Der Sächsische Datenschutzbeauftragte gibt an, dass eine Cyberattacke  im Schnitt 21.818 EUR je Vorfall (Quelle: Statista) koste. Den Zahlen des Sächsischen Datenschutzbeauftragten ist zu entnehmen, dass die Zahl der Angriffe und das Ausmaß der Schäden stark zugenommen haben.

Danach hätten im Jahr 2018 Verantwortliche dem Sächsischen Datenschutzbeauftragten 227 Fälle gemeldet. 2019 seien es 450 Meldungen. 2020 habe die Behörde einen Anstieg um 40 Prozent auf 635 Meldungen verzeichnet.  Diese kontinuierliche Steigerung setze sich 2021 fort: In den vergangenen zehn Monaten seien bereits 750 Meldungen registriert worden. Davon seien ein Drittel auf Cyberkriminalität zurückzuführen.
Insgesamt beliefen sich die Kosten für digitale Angriffe auf die deutsche Wirtschaft allein 2020 auf ca. 24,3 Milliarden Euro. Das waren viermal mehr als noch 2019 (Quelle: Bitkom-Studie).

Ein Grund mehr auch für Datenschützer beim Thema IT-Sicherheit mehr zu sehen, als das stupide Ankreuzen von technischen und organisatorischen Maßnahmen in Mustervorlagen, wenn es um die Einhaltung von Art. 32 DS-GVO geht. Oftmals sind insbesondere bei Datenschutzbeauftragten mit einem „lediglich“ juristischen Background Defizite zu beobachten. Wer als Datenschutzbeauftragter ganzheitlicher beraten und überwachen möchte, benötigt auch bei der IT-Sicherheit solide Kenntnisse.

Der Sächsische Datenschutzbeauftragte fasst die Problematik gut zusammen, wenn er sagt: „Mangelhafte Datensicherheit offenbart meist auch Schwächen beim Datenschutz. Das ist nicht nur für die betroffenen Unternehmen existenzbedrohend, sondern auch für Menschen, deren Daten in den Besitz von Kriminellen gelangen. Identitätsdiebstahl gehört dabei zu den schlimmsten Folgen. Betroffenen droht ein finanzieller und sozialer Totalschaden“.

(Foto: knssr – stock.adobe.com)