KMU-Security: Was kostet ein Datenleck wirklich?
Mit der Digitalisierung steigt die Angriffsfläche, auch in Hamburgs kleinen und mittleren Unternehmen. Ein einzelnes Datenleck kann erhebliche Folgen haben, finanziell wie für das Vertrauen der Kunden. Doch wie hoch sind die tatsächlichen Kosten für ein KMU?
#### Warum Durchschnittswerte hier wenig helfen
Zu dieser Frage kursieren große Zahlen. Sie stammen meist aus internationalen Erhebungen, die Konzerne und Mittelständler in einen Topf werfen. Ein weltweiter Durchschnitt wird von wenigen sehr großen Vorfällen nach oben gezogen und sagt über einen Hamburger Betrieb mit 80 Mitarbeitenden wenig aus. Wer seine eigene Lage einschätzen will, kommt mit den Kostenarten weiter als mit einer Schlagzeile.
#### Die direkten Kosten
Unmittelbar fällig werden in der Regel:
- Forensik und Wiederherstellung: Ursachenanalyse, Bereinigung der Systeme, Wiederaufbau aus Backups. Wer keine getesteten Backups hat, zahlt hier am meisten.
- Externe Unterstützung: IT-Dienstleister, oft zu Notfallsätzen, sowie anwaltliche Beratung.
- Betriebsunterbrechung: Die Tage, an denen nicht produziert, geliefert oder abgerechnet wird. Bei vielen KMU ist das der größte Posten, und der am seltensten eingeplante.
- Benachrichtigungen: Die Information betroffener Personen nach Art. 34 DSGVO verursacht Aufwand und bindet Personal.
#### Die indirekten Folgen
Schwerer zu beziffern, aber oft länger wirksam: Kunden, die abspringen, Ausschreibungen, bei denen der Vorfall nachgefragt wird, und der interne Aufwand, verlorenes Vertrauen zurückzugewinnen. Hinzu kommen Investitionen in Sicherheitsmaßnahmen, die nach einem Vorfall ohnehin fällig werden, dann aber unter Zeitdruck und ohne Verhandlungsspielraum.
#### Rechtliche Konsequenzen
Ein Datenleck ist selten nur ein technischer Vorfall. Nach Art. 83 Abs. 5 DSGVO sind bei Verstößen Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist. Für Unternehmen im Anwendungsbereich des NIS2-Umsetzungsgesetzes kommt § 65 BSIG hinzu, mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen.
Wichtiger als die Höchstbeträge ist für die meisten Betriebe jedoch die Meldepflicht: Nach § 32 BSIG gilt eine Frühwarnung binnen 24 Stunden, eine Zwischenmeldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Wer diese Fristen im Ernstfall erst nachschlägt, verliert die entscheidenden ersten Stunden.
#### Vorbeugen ist die kleinere Rechnung
Die wirksamsten Maßnahmen sind selten die teuersten: getestete Backups, Mehr-Faktor-Anmeldung, ein aktueller Patchstand, klare Zuständigkeiten für den Ernstfall und geschulte Mitarbeitende. Entscheidend ist, dass diese Dinge dokumentiert sind. Was nicht dokumentiert ist, gilt im Zweifel als nicht getan.
#### Fazit
Die ehrliche Antwort auf die Titelfrage lautet: Es hängt von Ihrer Vorbereitung ab. Dieselbe Attacke kostet den einen Betrieb zwei Tage und den anderen die Existenz. Der Unterschied liegt fast immer in den Backups, den Zuständigkeiten und der Dokumentation.
Auf kyberguard.de finden Sie einen kostenlosen Domain-Scan, der Ihnen in etwa einer Minute zeigt, was Angreifer von außen über Ihr Unternehmen sehen.