DIE DUNKLE SEITE DER (IT-)MACHT

So hilfreich und effizienzsteigernd digitalisierte Prozesse auch sind, sie schaffen in den Unternehmen und Organisationen eine sehr hohe Abhängigkeit von IT-Systemen. [...]

Die Supportinstrumente sind ins Zentrum der unternehmerischen Tätigkeit gerückt und nun Kernelement der Wertschöpfungskette. Natürlich ist diese Abhängigkeit mit einem hohen Risiko behaftet: Steht die IT, kann nicht mehr produziert, verteilt, informiert und gemailt werden, zeitkritische Lieferketten werden nicht mehr bedient. Ein solcher Stopp verursacht womöglich einen Umsatzentgang, in Wirklichkeit stellt der für ein Unternehmen drohende Reputationsschaden aber das größere Risiko dar.

Wird ein Unternehmen erfolgreich gehackt oder kommt aus anderen Gründen zu einem Datenverlust, zeigt sich rasch die Kehrseite der Digitalisierung, sozusagen die »dunkle Seite der Macht«. Qualität und Quantität von Cyberangriffen bringen selbst professionelle Cybersecurity-Teams regelmäßig ins Schwitzen. Hier stehen IT-Mannschaft (mit beschränkten Ressourcen) gut organisierten Hackern mit ausgereiften Tools oder bösartigen Insidern gegenüber. Eine umfassende, nicht-technische Vorbereitung auf den Ernstfall ist also notwendig. Dem Management als letztverantwortlicher Stelle kommt hier eine Schlüsselrolle zu, einerseits was die Vorbildwirkung, andererseits was Haftungsfragen nach einem aufgedeckten Cyberbreach betrifft.

Wie weitreichend das Haftungsthema unter dem aktuellen DSGVO-Regime zu verstehen ist, zeigt ein englischer Fall: Die Datenschutzbehörde Information Commissioner’s Office (ICO) hat einem internationalen Touristikkonzern eine Strafe von knapp 100 Millionen Pfund in Aussicht gestellt, weil das Unternehmen bei der Übernahme eines Mitbewerbers die IT-Systeme nicht ausreichend geprüft hatte. Durch die mangelnde Cyber Due Diligence wurde ein seit 2014 bestehendes Datenleck, durch das Millionen Kundendaten gestohlen wurden, nicht entdeckt. Auch nach Abschluss der Transaktion war die Schwachstelle weiterhin offen. Erst 2018, zwei Jahre nach der Übernahme, wurde das Leck entdeckt – aus Sicht der Behörde viel zu spät.

Der Autor Alexander Kleedorfer ist Director bei Brunswick Austria & CEE.