Da Ransomware-Angriffe und andere Bedrohungen der Cybersicherheit immer raffinierter werden, sehen sich Unternehmen mit einem neuen, beunruhigenden Problem konfrontiert: der Zunahme von Sammelklagen im Anschluss an eine Datenpanne.
Als ob die Produktionsverzögerungen und der Reputationsschaden durch solche Angriffe nicht schon schlimm genug wären, müssen Führungskräfte nun auch noch das Risiko in Kauf nehmen, vor Gericht zu landen. Eine aktuelle Umfrage von „ “ unter leitenden Rechtsberatern globaler Unternehmen ergab, dass Fragen der Cybersicherheit und des Datenschutzes in den kommenden Jahren die wichtigsten Auslöser für neue Rechtsstreitigkeiten sein werden.
Mit der steigenden Zahl von Sammelklagen gehen auch die rasant steigenden Kosten für Vergleichszahlungen einher. Im Jahr 2020 führte einer der aufsehenerregendsten und kostspieligsten Fälle – ein Cyberangriff auf das Kreditrating-Unternehmen Equifax – zu einer Sammelklage, in deren Rahmen ein Vergleich in Höhe von 700 Millionen Dollar erzielt wurde, von denen 425 Millionen Dollar für die Entschädigung der Verbraucher vorgesehen waren.
Auch andere Sammelklagen wegen Datenschutzverletzungen haben zu erheblichen Vergleichszahlungen geführt: Capital One erzielte einen Vergleich in Höhe von 190 Millionen US-Dollar im Zusammenhang mit einer massiven Datenschutzverletzung, von der 2019 Personen betroffen waren; Uber erklärte sich bereit, 148 Millionen US-Dollar zu zahlen, um ein Zivilverfahren im Zusammenhang mit einer Datenschutzverletzung beizulegen, von der 2016 Personen betroffen waren; und zuletzt T-Mobile erklärte sich bereit, 350 Millionen US-Dollar zu zahlen, um Ansprüche beizulegen, wonach das Unternehmen es versäumt habe, eine Datenschutzverletzung zu verhindern, von der 76 Millionen Amerikaner betroffen waren. (Die Frist für die Einreichung eines Antrags durch diese Personen im Rahmen des „ “ endete im Januar.)
Solche Summen machen deutlich – falls dies nicht bereits der Fall war –, dass die Priorisierung der Cybersicherheit wichtiger denn je ist, wie Mike Morgan, Partner und US-Leiter des Bereichs „Global Privacy and Cybersecurity“ bei der internationalen Anwaltskanzlei McDermott Will & Emery, feststellt. „Verstöße gegen die Cybersicherheit stellen ein Risiko für alle Organisationen dar, und das ist schon seit vielen Jahren so“, sagt er. „Im Laufe der Zeit hat sich das Ausmaß des Risikos jedoch erheblich vergrößert.“
Und versierte Vorstände nehmen dies zur Kenntnis.
Eine Verkettung von Ereignissen hat das Thema Cybersicherheit direkt vor die Haustür der Vorstände gebracht, sagt die Expertin für Unternehmensführung Cynthia Clark, Autorin von „ “ (), „Giving Voice to Values in the Boardroom“ () und „ “ sowie Professorin für Management an der Bentley University. „Es hat eine Annäherung zwischen eigentlich völlig unterschiedlichen Fachgebieten gegeben, die sich gegenseitig verstärken – KI ( ), maschinelles Lernen (), Robotik, Nanotechnologie und Biotechnologie –, was auf Vorstandsebene ein echtes Bewusstsein für Cybersicherheit geschaffen hat“, sagt sie. „Ich glaube jedoch, dass es im Vorstand eine gewisse Kluft zwischen dem Bewusstsein für dieses Thema und der Verantwortung dafür gibt.“
Die folgenden Maßnahmen können Vorständen dabei helfen, ihr Engagement für die Cybersicherheit zu stärken, sich vor Sammelklagen zu schützen und sich auf ein sich wandelndes rechtliches Umfeld vorzubereiten.
Stärkung der Fachkompetenz im Bereich Cybersicherheit im Vorstand
In der Bekanntmachung „ März 2022“ hat die US-Börsenaufsichtsbehörde (SEC) neue Vorschriften vorgeschlagen , wonach börsennotierte Unternehmen standardisierte Angaben zu ihrer Cybersicherheitsstrategie , ihrem Risikomanagement, , der Meldung von Vorfällen sowie ihrer Governance machen müssen. Diese Vorschriften würden börsennotierte Unternehmen zudem dazu verpflichten, Vorstandsmitglieder, die über Fachkenntnisse im Bereich Sicherheit verfügen, sowie die Art dieser Fachkenntnisse offenzulegen.
“„Ich gehe davon aus, dass es zahlreiche Rechtsstreitigkeiten und behördliche Durchsetzungsmaßnahmen geben wird, bei denen es um die Frage geht, ob ein bestimmtes Unternehmen über angemessene Cybersicherheit verfügt oder nicht.“Mike Morgan, Partner und Leiter des Bereichs „Global Privacy and Cybersecurity“ in den USA bei McDermott Will & Emery
Eine kürzlich vom „Wall Street Journal“ durchgeführte Umfrage „ “ unter 1 000 der 3000 Unternehmen des Russell-Index ergab, dass knapp 15 % angegeben haben, über ein Vorstandsmitglied mit Fachkenntnissen im Bereich Cybersicherheit zu verfügen. Clark erklärt, dies sei ein Beispiel für die Diskrepanz zwischen dem Bewusstsein, dass Cybersicherheit ein wichtiges Thema ist, und der Verantwortung dafür innerhalb der Vorstände.
„Vorstände können diese Lücke schließen, indem sie die allgegenwärtige Bedeutung der Cybersicherheit anerkennen“, sagt sie. „Sie müssen gezielt nach Personen mit dieser Erfahrung suchen, und davon gibt es reichlich.“ Diese Personen müssen die regulatorischen Anforderungen unter sowie den Unterschied zwischen Datenschutz und Sicherheit verstehen und über ausgezeichnete Kommunikationsfähigkeiten verfügen, fügt sie hinzu. Die Fähigkeit, zu erörtern, wie sich diese Themen auf das Geschäftsmodell der Organisation auswirken, ist heutzutage von entscheidender Bedeutung – ebenso wie die Notwendigkeit, Informationen zur Cybersicherheit in Krisensituationen auf das Wesentliche zu reduzieren.
Der Vorsitzende der SEC, Gary Gensler, erklärt, dass Anleger mehr darüber erfahren möchten, wie Emittenten mit den wachsenden Cybersicherheitsrisiken umgehen. „Ich bin der Ansicht, dass sowohl Unternehmen als auch Investoren davon profitieren würden, wenn diese Informationen in einer einheitlichen, vergleichbaren und für Entscheidungen aussagekräftigen Weise bereitgestellt würden“, erklärte Gensler in einer Pressemitteilung der SEC unter . „Sollte [der Vorschlag] angenommen werden, würde dies die Möglichkeiten der Anleger stärken, die Cybersicherheitspraktiken und die Meldung von Vorfällen bei börsennotierten Unternehmen zu bewerten.“ Die Offenlegung von Fachwissen im Bereich Cybersicherheit könnte Einfluss darauf haben, ob eine Sammelklage gegen eine Organisation erhoben wird – ein kompetenter Vorstand könnte beispielsweise im Falle eines Sicherheitsvorfalls Vorwürfe der Fahrlässigkeit entkräften, während ein Mangel an Fachwissen im Bereich Cybersicherheit im Vorstand ein Faktor für die Einreichung einer Sammelklage sein könnte.
Eine Kultur der Cybersicherheit fördern
Die Bedeutung des Vorstands in Fragen der Cybersicherheit könne gar nicht genug betont werden, so Morgan. Der Vorstand steuert die Ressourcen, die erforderlich sind, um sicherzustellen, dass die Organisation über angemessene IT- und Informationssicherheitsfunktionen verfügt, und er ist zudem die Instanz, die eine Kultur der Offenheit und ehrlicher Diskussionen über den Reifegrad der Cybersicherheit fördert, sagt er.
[Lesen Sie auch: 6 Fragen zur Cybersicherheit, die ich den Vorständen stets empfehle zu stellen]
„Kultur beginnt oft damit, dass der Vorstand und die Führungsspitze sich bewusst machen, dass Cybersicherheit wirklich von entscheidender Bedeutung ist.“ „Wenn diese Entscheidung in der Organisation nach unten weitergegeben wird – beispielsweise an die Rechtsabteilung, das Risikomanagement, die Vertragsabteilung und den Vertrieb –, dann befähigt dies die betreffenden Bereiche , entschlossener vorzugehen“, sagt er. „Mit der Zeit werden Sie beobachten, wie Organisationen reifen. Die Stimmen werden selbstbewusster, und Sie erzielen Durchbrüche, wie beispielsweise Abschlüsse mit diesen Gruppen bereits in einer früheren Phase des Prozesses. „Sie entwickeln ein Gespür für diese Themen , das zuvor nicht vorhanden war, da deutlich wird, dass dies für die Geschäftsleitung und den Vorstand von Bedeutung ist.“
Diskussionen über angemessene Maßnahmen zur Cybersicherheit leiten
Da der Einsatz von KI in der Cybersicherheit und die Datenverarbeitung immer leistungsfähiger werden, sollten Vorstände damit rechnen, vermehrt Diskussionen über die von ihnen getroffenen Schutzmaßnahmen zu führen, so Morgan. Gemäß den neuen SEC-Vorschriften sind Unternehmen beispielsweise verpflichtet, „angemessene“ Maßnahmen zur Cybersicherheit zu entwickeln und aufrechtzuerhalten – auch wenn die SEC nicht definiert, was als angemessen gilt und was nicht. Morgan sagt, dass diese Grauzone in künftigen Rechtsstreitigkeiten wahrscheinlich im Mittelpunkt stehen wird.
„Ich gehe davon aus, dass es zahlreiche Rechtsstreitigkeiten und behördliche Durchsetzungsmaßnahmen geben wird, bei denen es um die Frage geht, ob ein bestimmtes Unternehmen über angemessene Cybersicherheitsmaßnahmen verfügt“, sagt er. „Im Rahmen dieser Diskussionen wird es Debatten darüber geben, welche Standards herangezogen werden sollten, um zu bestimmen, was angemessen ist und was nicht, und inwieweit die Frage der Angemessenheit durch den Angriffsweg im Vergleich zur allgemeinen Cybersicherheit einer Organisation bestimmt wird.“
Da es weiterhin zu Fällen von Datenschutzverletzungen kommt – und die Zahl der Vergleichsvereinbarungen bei Sammelklagen wegen großer Datenschutzverletzungen weiter zunimmt –, werde das Risiko durch unzureichende Sicherheitsmaßnahmen für Entscheidungsträger immer deutlicher, sagt er. „Das bedeutet, dass es weitere Gespräche über diese Themen geben muss.“
Führen Sie eine selbstkritische Analyse durch
Eine selbstkritische Analyse ist eine Untersuchung des Cybersicherheitsprogramms einer Organisation, um Schwachstellen zu identifizieren und Möglichkeiten zur Verbesserung ihrer Cybersicherheitsreife aufzuzeigen. Ein wesentlicher Teil einer selbstkritischen Analyse konzentriere sich darauf, was getan werden könne, um einen Angriff zu verhindern, so Morgan; dies sei insbesondere bei Rechtsstreitigkeiten im Bereich der Cybersicherheit von entscheidender Bedeutung.
“„Während Unternehmen wie Equifax, T-Mobile und andere Branchenriesen für Schlagzeilen sorgen, sind auch kleine und mittelständische Unternehmen gefährdet.“
„Eine der Fragen, die sich in Rechtsstreitigkeiten stellt, ist, inwieweit der Rechtsgegner Ihrer Organisation – sei es ein Kläger, der Anwalt des Klägers oder eine Aufsichtsbehörde – Zugang zu der selbstkritischen Analyse Ihres eigenen Cybersicherheitsprogramms durch Ihre Organisation erhalten darf“, sagt er. „Der Fokus auf die Abwehr von Angriffen ist aus rechtlicher Sicht von großer Bedeutung, da er dazu beiträgt, potenzielle Anträge auf Unterlassungsansprüche hinfällig zu machen, mit denen Anordnungen zur Behebung des Problems oder zur Verbesserung der Cybersicherheit angestrebt werden.“
Morgan erklärt, dass die Durchführung einer selbstkritischen Analyse eine bewährte Vorgehensweise ist, die Unternehmen in Betracht ziehen sollten.
Und es sind nicht nur größere Unternehmen, die ihre Anstrengungen verstärken müssen, um Rechtsstreitigkeiten zu vermeiden oder sich darauf vorzubereiten. Während Unternehmen wie Equifax, T-Mobile und andere Branchenriesen für Schlagzeilen sorgen, sind auch kleine und mittelständische Unternehmen gefährdet.
Ein typisches Beispiel hierfür ist das Hope College, eine kleine, christliche vierjährige Hochschule für Geistes- und Sozialwissenschaften in Holland, Michigan, gegen die nun zwei separate Sammelklagen anhängig sind, die in der letzten Woche des Jahres 2022 eingereicht wurden. Die Klagen, in denen der Schule Fahrlässigkeit und eine nicht rechtzeitig erfolgte Benachrichtigung der Betroffenen vorgeworfen wird – wodurch „ihre Verletzungen verschlimmerten und sich der Schaden ausbreitete“ –, beziehen sich auf einen Datenverstoß im September, durch den möglicherweise vertrauliche Informationen von mehr als 155 000 Personen offengelegt wurden. Eine weitere warnende Geschichte, die verdeutlicht, wie wichtig es ist, die Abwehrmaßnahmen zu verstärken.
Indem Unternehmen Fachwissen im Bereich Cybersicherheit in ihren Vorständen verankern, eine Kultur der Cybersicherheit auf Führungsebene fördern, angemessene Sicherheitsmaßnahmen erörtern und die Cybersicherheitsprozesse der Organisation kritisch und selbstreflektierend unter die Lupe nehmen, können sie das Bewusstsein schärfen, bewährte Verfahren etablieren und eine solidere Sicherheitsgrundlage schaffen, um künftigen Rechtsstreitigkeiten standzuhalten.
