Branche voll Vorfreude auf die GDPR

Mit einer neuen Bestmarke kann sich die it-sa seit Dienstag als Leitmesse für IT-SecurityIT-Security behaupten. Im Jahr 2016 Jahr kamen 489 Aussteller nach Nürnberg. Dieses Jahr tummeln sich bis zum 12. Oktober 629 Aussteller in den Messehallen. Anders als bei den Anwendern herrscht unter ihnen große Vorfreude auf die GDPR. Bis zu 20 Millionen Euro oder bis zu vier Prozent vom Umsatz könnten ab Mai 2018 bei Datenschutz-Verfehlungen als Strafe fällig werden. Das lässt einige CIOs unruhig schlafen. Die Anbieter hingegen frohlocken. Alles zu Security auf CIO.de

Grund 1: Wie eine Befragung unter den Ausstellern ergab, rechnen 82 Prozent im kommenden Jahr mit einem positiven oder sehr positiven Effekt auf die Geschäftsentwicklung. Vergangenes Jahr hatte sich die EU-Datenschutz-Grundverordnung noch nicht so deutlich auf die Erwartung der it-sa Aussteller ausgewirkt. Mittlerweile wird klar, dass wohl die meisten Anwender nicht rechtzeitig mit ihren Hausaufgaben fertig werden. Das freut besonders die Berater der Security-Szene.

Datenschutz-Verfehlungen werden teuer

Aber auch die Anbieter frohlocken, die eigentlich gar nicht direkt von der GDPR betroffen sind. Skybox zum Beispiel, ein amerikanischer Anbieter mit israelischen Wurzeln. Obwohl die meisten der Skybox-Kunden aus Amerika stammen, müssen sie doch aufpassen: Wer im europäischen Markt agiert, hat die EU-Auflagen zu erfüllen, auch wenn anderswo andere Auffassungen zum Thema vorherrschen. "Ich glaube nicht, dass die Europäer es mit dem DatenschutzDatenschutz übertreiben", sagt dazu Gidi Cohen, CEO und Founder von Skybox: "Es ist schon sinnvoll rauszufinden, wo die eigenen Daten liegen und wer darauf Zugriff hat." Alles zu Datenschutz auf CIO.de

Grund 2: Die Aussteller-Studie der it-sa bringt ein weiteres Phänomen zu Tage: Obwohl die Budgets wachsen, wappnen sich die Kunden mehrheitlich nicht, bevor ein Angriff erfolgt. Insgesamt 65 Prozent der Aussteller gaben an, dass die Kunden erst nach einem IT-Sicherheitsvorfall investieren. Das könnte sich durch das Damoklesschwert GDPR ändern. Drohende Strafen von bis zu 20 Millionen Euro sorgen erstmals für Management Attention beim Thema IT-Security.

Wenn Cyberattacken unbemerkt bleiben

Erst nach einem Vorfall zu investieren, ist auch schon deshalb nicht besonders sinnvoll, weil die wenigsten Opfer überhaupt erkennen, dass sie angegriffen wurden. Erpresser-Attacken wie bei WannaCry merkt natürlich jeder. Aber auf eine andere Art der Bedrohung weist ein bayerischer Verfassungsschützer bei einer Sitzung des "Global Industry Clubs" auf der it-sa hin: Bei einer Attacke von chinesischen Industry-Spionen wurden unter anderem 80 bayerische Unternehmen angegriffen. Nur ein Unternehmen hatte den Vorfall überhaupt bemerkt - und das auch nur zufällig.

Grund 3: IT-Security wird vornehmlich von kleinen Unternehmen ignoriert: Insgesamt 70 Prozent der Unternehmen mit mehr als 250 Mitarbeitern verfolgen nach Einschätzung der it-sa-Aussteller ein systematisches IT-Sicherheitskonzept. Bei Unternehmen zwischen 51 und 250 Mitarbeitern beträgt der Anteil noch 52 Prozent. Demgegenüber stehen nur 37 Prozent der Unternehmen bis 50 Mitarbeitern. Die GDPR entlässt die kleinen Unternehmen jedoch nicht aus der Haftung. Die absolute Summe von 20 Millionen Strafe mag den kleinen wie eine Strafe von einem anderen Stern erscheinen. Bis zu vier Prozent vom Umsatz wirken da hingegen bedrohlicher.

Ob tatsächlich ein Richter dieses Strafmaß ausschöpft, bleibt jedoch fraglich. Justiz genauso wie Unternehmen werden sich im Jahr 2018 nur um einzelne Fälle von Datenschutz-Verfehlungen kümmern können. "Unwahrscheinlich, dass die Unternehmen bis Mai fertig werden", sagt Gidi Cohen von Skybox. Für unwahrscheinlich hält er es auch, dass Richter die drakonischen Strafen verhängen - insbesondere, wenn sie bei den Unternehmen ein Bemühen erkennen: "Das haben wir bei anderen, vergleichbaren Gesetzen auch schon gesehen." Als Entwarnung sollte das jedoch kein CIO sehen.