Viele Unternehmen sind noch nicht auf Umsetzung der EU-Datenschutzgrundverordnung vorbereitet

Eine aktuelle Trend Micro-Studie zeigt, dass Nachholbedarf besonders hinsichtlich technologischer Standards und der Verteilung von Zuständigkeiten besteht. [...]

Österreichische Unternehmen sind nur unzureichend auf die Umsetzung der EU-Datenschutz-Grundverordnung vorbereitet. Vielen Unternehmensvorständen sind die weitreichenden Implikationen der Verordnung nicht bewusst. Dabei sollte diese als Chance betrachtet werden, die eigene Infrastruktur zu verbessern und wichtige Investitionen in die Zukunft zu tätigen.

Die EU-Datenschutz-Grundverordnung (DSGVO) gilt ab dem 25. Mai 2018 – mit weitreichenden Konsequenzen für Unternehmen auf der ganzen Welt. In einer neuen Studie von Trend Micro zeigt sich jedoch, dass viele C-Level-Führungskräfte die Anforderungen der Verordnung unterschätzen. Das kann zu Nachlässigkeit bei deren Umsetzung führen.

Bewusstsein für die Anforderungen der DSGVO
Die Untersuchung zeigt ein weitreichendes Bewusstsein für die Grundlagen der DSGVO. So sind sich 98 Prozent der Befragten in Österreich bewusst, dass sie die Verordnung umsetzen müssen. Immerhin 75 Prozent haben sich bereits grundsätzlich mit deren Anforderungen auseinandergesetzt. Zusätzlich sind 79 Prozent der österreichischen Unternehmen davon überzeugt, dass sie ihre Daten bereits jetzt bestmöglich schützen.

Trotz des vermeintlichen Bewusstseins für die DSGVO herrscht ein gewisses Maß an Unklarheit darüber, welche personenbezogenen Daten (pbD) geschützt werden müssen. Von den österreichischen Befragten waren nur 50 Prozent sich darüber im Klaren, dass das Geburtsdatum eines Kunden als pbD klassifiziert ist. Zusätzlich würden nur 63 Prozent ihre Marketing-Datenbanken als pbD einordnen. 29 Prozent stufen Adressen von Kunden fälschlicherweise nicht als pbD ein, 21 Prozent deren E-Mail-Adressen. Diese Ergebnisse deuten darauf hin, dass Unternehmen längst nicht so gut vorbereitet oder sicher sind, wie sie denken. Schließlich finden Angreifer in solchen Datensätzen alles, was sie für einen Identitätsdiebstahl benötigen. Ein Unternehmen, das diese Informationen nur unzureichend schützt, riskiert damit eine Geldbuße.

Die Kosten unzureichender Umsetzung
Laut der Studie sind 27 Prozent der österreichischen Unternehmen gleichgültig gegenüber möglichen Geldstrafen, die ihnen im Falle der unzureichenden Absicherung ihrer Daten bevorstehen. Nur 21 Prozent sind sich bewusst, dass als Strafe bis zu 4 Prozent des weltweiten Jahresumsatzes fällig werden können. 46 Prozent der Befragten glauben, dass ein Image-Schaden die größte Gefahr im Falle eines Datenlecks ist. 42 Prozent gehen davon aus, dass dies vor allem Auswirkungen auf die Loyalität von bestehenden Kunden hätte. Angesichts der Tatsache, dass die Höhe der Strafen für manche Unternehmen existenzbedrohend sein kann, überraschen diese Einstellungen.

„Investitionen in eine zeitgemäße Infrastruktur und die Umsetzung von Datenschutz-Maßnahmen sollten als strategische Unternehmensentscheidung betrachtet werden, und nicht als bürokratische Hürde“, sagt Frank Schwittay, Vice President Europe bei Trend Micro. „Als strategischer Sicherheitspartner betrachten wir es als unsere Aufgabe, unsere Kunden bei der Umsetzung der Anforderungen der DSGVO zu unterstützen.“

Verantwortliche Parteien
Trend Micro hat ebenfalls herausgefunden, dass österreichische Unternehmen sich oftmals nicht im Klaren darüber sind, wer zur Rechenschaft gezogen wird, wenn einem Internet-Dienstleister in den USA die Daten von europäischen Nutzern gestohlen werden. Nur 15 Prozent der Befragten gaben zutreffend an, dass ein Datenleck in die Verantwortlichkeit beider Seiten fällt. 69 Prozent glauben, dass die Strafe den europäischen Inhaber der Daten trifft, während 8 Prozent davon ausgehen, dass der US-amerikanische Dienstleister zur Rechenschaft gezogen wird.

Zusätzlich stellt sich heraus, dass viele österreichische Unternehmen nicht wissen, wer für die Umsetzung der Anforderungen verantwortlich ist. 35 Prozent glauben, dass der CEO federführend bei der Umsetzung der DSGVO sein sollte, während 13 Prozent der Befragten den CISO (Chief Information Security Officer) und das zugehörige IT-Sicherheitsteam in der Pflicht sehen. Demgegenüber verfügen in der Realität überhaupt nur 17 Prozent der österreichischen Unternehmen über einen C-Level-Manager, der in die DSGVO-Implementierung eingebunden ist. 67 Prozent verlassen sich hierbei auf die IT-Abteilung.