Als Beamte der öffentlichen Sicherheit in Shenzhen 19 Sicherheitslücken im chinesischen Geschäftsbetrieb von Walmart aufdeckten, sprachen sie eine offizielle Verwarnung aus und behaupteten, der weltweit größte Einzelhändler habe gegen die Cybersicherheitsgesetze des Landes verstoßen. Die chinesischen Behörden verhängten keine Geldbußen, wiesen Walmart jedoch an, die Lücken zu schließen. Diese Anordnung war eine Warnung – und zwar nicht nur an Walmart.
Multinationale Unternehmen, die in der weltweit zweitgrößten Volkswirtschaft tätig sind, sind nun in höchster Alarmbereitschaft, da sie mit einer verstärkten Überprüfung hinsichtlich der Einhaltung neuer Gesetze zur Cybersicherheit und zum Datenschutz rechnen müssen.
Im Herbst des Jahres 2021 traten neue Datenschutzbestimmungen in Kraft, doch laut Beobachtern hat Peking bislang noch keine näheren Einzelheiten dazu bekannt gegeben. Das umstrittene Gesetz zur Datensicherheit (DSL) und das Gesetz zum Schutz personenbezogener Daten (PIPL) legen allgemeine Methoden und Vorschriften für das Datenmanagement und den Datenschutz für Behörden, Unternehmen und Organisationen fest – insbesondere zur Beschränkung der Datenübermittlung aus China. Das letzte Mal, als eine ähnliche Maßnahme eingeführt wurde, war im Jahr 2017 mit dem Gesetz zur Cybersicherheit „ “ der Volksrepublik China, das die lokale Speicherung von Daten in China vorschrieb und Sicherheitskontrollen für Unternehmen einführte. Dies führte aufgrund seiner Mehrdeutigkeit zu weitreichender Verwirrung .
Für multinationale Unternehmen geht es nicht lediglich darum, was mit ihnen in China geschieht. Tatsache ist, dass der Umgang mit den unterschiedlichen weltweiten Vorschriften zu Compliance und Datenintegrität immer komplizierter
und kostspieliger geworden ist.
„Es ist ein echtes Puzzle, ein Programm zu entwickeln, das weltweit den Vorschriften entspricht“, sagt Kenneth Citarella, Senior Managing Director für Untersuchungen bei Guidepost Solutions, einem Anbieter von Compliance-Lösungen sowie Sicherheits- und Technologieberatung. Seit die Europäische Union im Jahr 2016 ihre wegweisende Datenschutz-Grundverordnung (DSGVO) verabschiedet hat, wurden auch in den USA, in Russland und in China strenge Datenschutzgesetze eingeführt.
“„Es ist ein echtes Puzzle, ein Programm zu entwickeln, das weltweit den Vorschriften entspricht.“Kenneth Citarella, Senior Managing Director für Ermittlungsangelegenheiten bei Guidepost Solutions
Die zunehmende „Regulierungsflut“ im Bereich des Datenschutzes treibt die Kosten für die Ausübung globaler Geschäftstätigkeiten in die Höhe und macht deutlich, wie wichtig ein umfassender Echtzeit-Überblick über die gesamte Risikosituation eines Unternehmens ist, um die Einhaltung der neuesten internationalen Standards effektiv zu verwalten .
„Wenn man das Thema Compliance so betrachtet, wie es Sicherheitsexperten mittlerweile zunehmend tun, stellt es eine Bedrohung dar“, sagt J.R. Cunningham, CSO von Nuspire, einem in den USA ansässigen Anbieter von Sicherheitsdienstleistungen für multinationale Unternehmen. „Wenn Sie die Vorschriften nicht einhalten, stellt dies eine Gefahr für Ihre Marke dar.“ „Dies birgt das Risiko von Einnahmeausfällen und finanziellen Verbindlichkeiten.“
Das Ausmaß der weltweiten Einhaltung von Vorschriften
In den letzten Jahren sahen sich Hightech-Giganten wie Facebook, Google und
Apple aufgrund ihres Umgangs mit personenbezogenen Daten einer intensiven Überprüfung durch europäische Regulierungsbehörden ausgesetzt und mussten Geldstrafen zahlen. Vor kurzem warfen die österreichischen Datenschutzbehörden Google Analytics vor, gegen die DSGVO verstoßen zu haben, da das Unternehmen angeblich Website-Daten ohne angemessene Schutzmaßnahmen in die USA übermittelt habe.
“Wenn Sie die Vorschriften nicht einhalten, stellt dies eine Gefahr für Ihre Marke dar. Dies birgt das Risiko von Einnahmeausfällen und finanziellen Verbindlichkeiten.”J.R. Cunningham, CSO, Nuspire
Selbstverständlich betrifft der Druck, die Vorschriften zum Datenschutz und zur Cybersicherheit einzuhalten, nicht nur große westliche Unternehmen. Alle Unternehmen weltweit müssen die DSGVO einhalten, sofern sie in Europa tätig sind. Zudem müssen sie auch andere Vorschriften einhalten, wie beispielsweise den California Consumer Privacy Act (CCPA), der jedem Unternehmen, das in einem Bundesstaat tätig ist, in dem viele der weltweit größten Technologieunternehmen ihren Hauptsitz haben, Beschränkungen beim Umgang mit Daten auferlegt.
Es lässt sich nicht mit Sicherheit sagen, ob Chinas Fokus auf multinationale Konzerne wie Walmart teilweise als Vergeltungsmaßnahme für die Untersuchungen der US-Regierungs s gegen TikTok – das schnell wachsende chinesische Social-Media-Unternehmen mit weltweit mehr als einer Milliarde Nutzern – erfolgt.
Bislang ist unklar, ob multinationale Unternehmen in China im Falle erfolgreicher Zero-Day-Angriffe bestraft werden, die auf den „ -Log4j “-Hack oder die zahlreichen -Ransomware-Angriffe zurückzuführen sind, welche den Geschäftsbetrieb von Unternehmen weltweit beeinträchtigt haben. „Diese Vorschriften wurden bislang noch nicht im Einzelnen dargelegt – die Menschen warten darauf, dass es endlich losgeht“, sagt Citarella von Guidepost.
Citarellas Unternehmen untersucht beispielsweise Handelsgeschäfte und Transaktionen im Auftrag internationaler Bankkunden, wobei die jeweiligen Rechtsordnungen eine große Rolle dabei spielen, welche Daten sein Unternehmen erheben darf und an wen es diese weitergeben darf. Er erklärt, dass der Compliance-Prozess damit beginnt, zu erfragen, wie ein Unternehmen mit Daten umgeht und ob Daten grenzüberschreitend übertragen werden. „Man muss unglaublich ins Detail gehen“, sagt er.
Es gibt keine Standardsoftware zur Automatisierung solcher Entscheidungen, doch es gibt Maßnahmen, die Unternehmen ergreifen können, um Risiken in Echtzeit zu überwachen und die Einhaltung der Vorschriften sicherzustellen. Citarella empfiehlt folgende Strategien:
- Machen Sie sich mit den Sicherheitsstandards vom Ursprungsort bis zum Ende der Datenlieferkette vertraut, insbesondere wenn Sie Daten an ein anderes Unternehmen weiterleiten.
- Ermitteln Sie, wer Ihre autorisierten Benutzer sind , und überprüfen Sie diese.
- Beschränken Sie den Zugriff auf die Daten, die ein Benutzer benötigt.
Die Gewährleistung der Risikokonformität in Echtzeit hängt von weiteren Aspekten der Datensicherheit ab, darunter die Risikobewertung von Endgeräten in Echtzeit, die ferngesteuerte, authentifizierte Überprüfung von Netzwerkgeräten, ein segmentierter Ansatz für das Risikobenchmarking innerhalb eines Unternehmens, robuste, rollenbasierte Zugriffskontrollen sowie automatisierte Patches.
[Lesen Sie auch: Was ist Schwachstellenmanagement?]
„Die Herausforderungen und Probleme im Bereich der Compliance nehmen mit der Größe des Unternehmens zu“, sagt Cunningham von Nuspire. „Je komplexer die Verwendung Ihrer personenbezogenen Daten ist, desto mehr Ressourcen müssen Sie aufwenden, um die Datenschutzgesetze einzuhalten.“
Ohne Cybersicherheit gibt es keine Privatsphäre
Der weltweite Trend ist eindeutig: Die Regierungen überlassen den Datenschutz und die Cybersicherheit nicht mehr ausschließlich der Wirtschaft. Es steht zu viel auf dem Spiel. Nach dem Angriff auf die „ 2021 Colonial Pipeline“ hat die US-Behörde für Transportsicherheit (Transportation Security Administration, TSA) neue Standards zur Cybersicherheit und zu Audits von Pipelines erlassen. Die Einhaltung der Vorschriften ist nicht mehr freiwillig, und Unternehmen riskieren Sanktionen, wenn sie die neuen Vorschriften nicht einhalten.
“[Wir] müssen das Thema Datenschutz ernst nehmen. Wir kommen hier nicht drum herum.”Charles Denyer, ehemaliger Berater für Cybersicherheit im Verteidigungsministerium und Experte für nationale Sicherheit
Abgesehen von Geldstrafen kann beispielsweise der unsachgemäße Umgang mit Verbraucher- und Kundendaten den Versicherungsschutz eines Unternehmens im Bereich Cybersicherheit gefährden, so Cunningham. „Die Versicherungsbranche beginnt, darauf zu achten und stellt den Unternehmen einige sehr detaillierte Fragen, bevor sie Cyber-Versicherungspolicen für abschließen“, sagt er. Darüber hinaus legen die Versicherer Wert darauf, dass „Maßnahmen zur Cybersicherheit und zum Datenschutz bereits vorhanden sind, bevor sie eine Police ausstellen“.
Schließlich, so argumentiert Cunningham, „gibt es keine Privatsphäre ohne Cybersicherheit“. Diese symbiotische Beziehung hat zu einer „Nettoverbesserung der Sicherheitslage von Organisationen geführt, die über personenbezogene Daten verfügen, die geschützt werden müssen.“ „Aber auch hier gilt: Das hat natürlich seinen Preis.“
Ein großer Kostenfaktor sind die Rechtskosten.
„Organisationen, die sich mit diesen strengen Datenschutzgesetzen auskennen müssen, entstehen zusätzliche Rechtskosten“, sagt Charles Denyer, ein ehemaliger Berater für Cybersicherheit im Verteidigungsministerium und Experte für nationale Sicherheit mit Sitz in Austin, Texas. „Die Komplexität hängt mit dem Verständnis der Vorschriften und den damit verbundenen Kosten zusammen, sowohl bei den einmaligen als auch bei den wiederkehrenden Kosten.“
[Lesen Sie auch: 6 Prioritäten im Bereich Cybersicherheit für das Jahr 2022]
Letztendlich, so mahnt Denyer, müssen Unternehmen „den Datenschutz in der heutigen Welt ernst nehmen“. Ein Datenschutzprogramm muss regeln, wie ein Unternehmen Daten, die aus dem eigenen Unternehmen und von außerhalb stammen, nutzt, speichert, weitergibt und entsorgt. Die Kontrolle, so sagt er, werde nur noch zunehmen. „Wir kommen hier nicht drum herum.“
