Im Rahmen einer dreiteiligen Artikelserie zum Datenschutztag 2023 (siehe die begleitenden Artikel vonJakub LewandowskiundThomas Bryant) argumentiert Bill Mew, dass es ein echtes Problem bei der Durchsetzung gibt – es herrschen dort draußen Zustände wie im „Wilden Westen“.
Richtlinien, Rahmenbedingungen und Vorschriften sind nur dann hilfreich, wenn sie eingehalten werden – genauso wie Vorschriften und Gesetze ohne Durchsetzung bedeutungslos sind. Das Problem im Bereich Datenschutz und Cybersicherheit besteht darin, dass dort, wo Vorschriften gelten sollten, diese häufig ignoriert werden, und dass dort, wo Gesetze eingeführt wurden, deren Durchsetzung verstärkt werden muss.
CISOs (Chief Information Security Officers) haben eine undankbare Aufgabe. Die Mitarbeiter zögern meist, sich an die von einem CISO durchgesetzten Maßnahmen zur Cyberhygiene zu halten, doch wenn ihre mangelnde Disziplin zu einer Sicherheitsverletzung führt, sind diese Kollegen nur allzu schnell dabei, dem CISO die Schuld zu geben. Hinzu kommt, dass zwar kostspielige und komplexe Vorschriften einzuhalten sind und strenge Regeln für die Meldung von Sicherheitsverletzungen gelten, die Behörden jedoch, anstatt bei der Bewältigung von Vorfällen zu helfen oder die tatsächlichen Täter zu fassen, die Meldungen lediglich dazu nutzen, die Höhe der Bußgelder festzulegen.
Funktionale und kulturelle Diskrepanz
Auf Nachfrage würden die meisten Mitarbeiter zustimmen, dass Cyberbedrohungen ein erhebliches Problem darstellen, doch in ihrer täglichen Arbeit konzentrieren sie sich auf umsatz- oder gewinnorientierte ROI-Kennzahlen (Return on Investment). Anhand dieser Kennzahlen werden ihre individuelle Leistung und die ihrer Abteilung gemessen, und darauf sind auch die unternehmensweiten Anreizsysteme ausgerichtet.
Der CISO konzentriert sich stattdessen auf die Risikorendite (ROR). Ausgehend vom zugewiesenen Budget und der Risikobereitschaft des Unternehmens legt der CISO den Schwerpunkt darauf, die Sicherheit zu maximieren und Risiken zu minimieren.
Die Diskrepanz zwischen der ROR-Orientierung des CISO und der ROI-Orientierung so gut wie aller anderen kann dazu führen, dass der CISO in Konflikt mit dem restlichen Führungsteam gerät. Er kann nicht nur isoliert werden (was ich als „CISOlation“ bezeichne), sondern auch zum Sündenbock werden, wenn etwas schiefgeht – selbst wenn Warnungen ignoriert wurden.
Perverse regulatorische Anreize
In an accompanying article, Jakub Lewandowski [LINK] has explored the raft of new privacy and cybersecurity laws expected to add to a considerable regulatory burden. The problem is thatEine Regelung ohne Durchsetzung ist nicht nur sinnlos, sondern sogar kontraproduktiv.. Schließlich halten sich nur verantwortungsbewusste Unternehmen an diese Vorschriften, und für sie bedeutet dies Kosten oder eine Art „Compliance-Steuer“. Unverantwortliche Unternehmen hingegen entscheiden sich oft dafür, die Regeln nicht einzuhalten. Wenn sie davon ausgehen, dass das Risiko einer Ahndung gering oder gar nicht vorhanden ist, stellt dies für sie eine kostensparende und risikofreie Quelle für Wettbewerbsvorteile dar.
Die Nichteinhaltung von Vorschriften ist weit verbreitet und geht von der Unternehmensspitze aus, was sich in häufigen Schlagzeilen über Datenvorfälle bei Big-Tech-Unternehmen oder gegen diese verhängte Bußgelder widerspiegelt. Solche Bußgelder scheinen keine abschreckende Wirkung zu haben, sondern werden von Big-Tech-Unternehmen und vielen anderen, die das Pech hatten, einen Datenvorfall zu erleiden, vielmehr als zusätzliche Geschäftskosten angesehen.
Again, responsible firms that did their best to take reasonable measures but were unfortunately unable to prevent mistakes or attacks run the risk of being fined once they notify the local regulator. Meanwhile, irresponsible ones who choose not to comply will simply avoid reporting incidents and attempt to cover them up instead to avoid fines. Fines have, therefore, become more of aNachlaufender Indikator für Misserfolge bei verantwortungsbewussten Unternehmenrather than of misbehaviour by irresponsible ones.
Bilanz der Untätigkeit der Regulierungsbehörden
Die meisten Big-Tech-Unternehmen haben sich, angezogen von einem günstigen Steuersystem, dafür entschieden, ihren europäischen Hauptsitz in Irland anzusiedeln. Die lokale Aufsichtsbehörde, die DPC Ireland, ist daher dafür verantwortlich, sicherzustellen, dass diese Unternehmen die DSGVO und andere ähnliche Vorschriften einhalten. Ob nun aufgrund unzureichender finanzieller Mittel, aus Scheu, für Unruhe zu sorgen, oder einfach, weil sie den Big-Tech-Unternehmen an Ressourcen und Lobbykraft unterlegen ist – die DPC Ireland gilt als ineffektiv, wenn es darum geht, diese Unternehmen zur Rechenschaft zu ziehen.
In one notable case, measures it failed to take against Facebook were eventually resolved in the European High Court under the Schrems I and Schrems II rulings. When it still failed to take action and apply these rulings, DPC Ireland was sanctioned by the European Parliament in a451 zu 1 Stimmensanktioniert. Als sie schließlich durch weitere Lobbyarbeit von Regulierungsbehörden aus ganz Europa nach einer zweijährigen Verzögerung zum Handeln gezwungen wurde, war die gegen Facebook verhängte Geldbuße so niedrig, dass sie auf Drängen der anderen Regulierungsbehörden (um das Zehnfache) erhöht werden musste.
The EU Ombudsman Emily O’Reilly eventuallyeine Untersuchung eingeleitetinto the European Commission’s monitoring of how data protection rules are applied in Ireland. Eight months later, theDer Irish Council of Civil Liberties (ICCL) kritisierte die EUfor its continued failure to properly monitor Ireland’s GDPR enforcement while “the fundamental rights of all Europeans hang in the balance.” There are now moves afoot to strip Ireland of its responsibility for regulating the BigTech firms and centralise such enforcement instead.
Ineffektive globale Polizeiarbeit
Meanwhile, the number and sophistication of cyber-attacks are increasing exponentially, as is the cost of remediation. The World Economic Forum (WEF) has recently not only called for more widespread use of„Cyber-Übungen“to test cybersecurity and incident response capabilities but is also championing theNotwendigkeit globaler Regelnto crack down on cybercrime.
Die durch alle Formen der Cyberkriminalität entstandenen Schäden, einschließlich der Kosten für Recovery und Behebung, beliefen sich Schätzungen zufolge im Jahr 2015 auf insgesamt 3 Billionen US-Dollar und im Jahr 2021 auf 6 Billionen US-Dollar; bis 2025 könnten sie jährlich bis zu 10,5 Billionen US-Dollar erreichen.
Cyber insuranceist nicht die Lösung. Rapidly increasing premiums mean that it is out of reach to most buyers, but even those who can afford it often find it’snicht lohnt.At the same time, cyber insurance cannot be expected to cover systemic problems, and in any case, it has the perverse effect ofsie schwerwiegende Probleme möglicherweise noch verschlimmert.
While almost all nations have signed up for United Nations agreements on combatting crime, includingCyberkriminalität, unterzeichnet, doch einige Länder verschließen die Augen davor und bieten Cyberkriminellen stattdessen sichere Rückzugsorte für ihre Aktivitäten. Während der Großteil der Cyberkriminalität aus Ländern wie Russland, dem Iran oder Nordkorea stammt, beschränken sich solche Aktivitäten nicht auf diese Schurkenstaaten, sondern finden auch in unserer näheren Umgebung statt. Darüber hinaus betreiben Länder wie China umfangreiche Spionageaktivitäten, und die Vereinigten Staaten sind für einen Großteil der weltweiten Massenüberwachung verantwortlich – all dies verstößt gegen die DSGVO und eine Vielzahl weiterer Gesetze.
We need to start with mandatory data breaches and cyber theft reporting. This has begun in the US with 2022’sdem „Cyber Incident Reporting for Critical Infrastructure Act“and in the EU with 2018’sder Richtlinie über die Sicherheit von Netz- und Informationssystemen. Still, there are also aVielzahl weiterer Vorschriftenthat mandate telecom payment services, medical device manufacturers, and critical infrastructure providers to report breaches.
Once we have better data on the problem, we can focus on improving international investigation, prosecution, and adjudication efficiency and effectiveness. TheBüro der Vereinten Nationen für Drogen- und Verbrechensbekämpfungis promoting a Cybercrime Programme which has the following aims:
- Steigerung der Effizienz und Wirksamkeit bei der Ermittlung, Strafverfolgung und gerichtlichen Aufarbeitung von Cyberkriminalität, insbesondere der sexuellen Ausbeutung und des Missbrauchs von Kindern im Internet, im Rahmen eines starken Menschenrechtsrahmens.
- Eine effiziente und wirksame langfristige, regierungsübergreifende Reaktion auf Cyberkriminalität, einschließlich nationaler Koordinierung, Datenerhebung und wirksamer rechtlicher Rahmenbedingungen, die zu einer nachhaltigen Bekämpfung und einer stärkeren Abschreckung führt.
- Eine verstärkte nationale und internationale Kommunikation zwischen Regierung, Strafverfolgungsbehörden und der Privatwirtschaft sowie eine bessere Aufklärung der Öffentlichkeit über die Risiken der Cyberkriminalität.
Das sind lobenswerte Ziele. Allerdings sind wir noch weit davon entfernt, dass Opfer von Straftaten die Polizei auf lokaler, nationaler oder internationaler Ebene anrufen können und dabei darauf hoffen können, praktische Hilfe oder Gerechtigkeit zu erhalten. Die Realität sieht so aus, dass man im Bereich der Cyberkriminalität – abgesehen von Spezialisten für die Reaktion auf Vorfälle aus der Privatwirtschaft – auf sich allein gestellt ist.
- Die Mitarbeiter halten sich selten ausreichend an die Regeln der Cyberhygiene
- Die Aufsichtsbehörden gehen nicht proaktiv gegen Verstöße vor und bekämpfen diese nicht
- Kriminelle werden immer selbstbewusster, agieren immer aggressiver und gehen immer raffinierter vor
- Die Polizei ist nicht in der Lage, gegen Kriminelle vorzugehen, die von sicheren Rückzugsorten aus operieren
- Und wenn etwas schiefgeht, sind die CISOs automatisch die Sündenböcke.
In dieser „Wild-West“-Umgebung kommt keine Kavallerie zur Rettung, daher wird von dir erwartet, dass du angemessen bewaffnet und bereit bist, dich zu verteidigen. Lass dich inspirieren vonThomas Bryant’s article and learn how to deal with it best. There isEs gibt keinen Ersatz dafür, sich um die eigene Cybersicherheit zu kümmernand incident response right.
