Was ist Cyberwashing im Datenschutz?

Ein Bericht der Monash University hat kürzlich das Konzept des „Cyberwashing“ erläutert – eine Praxis, die sich in Organisationen ausbreitet, die nach außen hin den Anschein erwecken möchten, ihre Cybersicherheitsmaßnahmen entsprächen dem Stand der Technik. Der Bericht zeigt auf, dass es eine erhebliche Lücke gibt zwischen dem, was Unternehmen öffentlich behaupten, und dem, was ihre tatsächlichen Maßnahmen belegen.

Doch was genau bedeutet Cyberwashing? Laut dem Bericht bezeichnet der Begriff das bewusste Täuschen der Öffentlichkeit über die tatsächlichen Sicherheitsmaßnahmen eines Unternehmens. Typische Taktiken sind laut Bericht der Monash University Übertreibungen oder Falschdarstellungen von Sicherheitszertifikaten, der Einsatz vager und nichtssagender Formulierungen sowie das Fehlen unabhängiger Nachweise für angebliche Sicherheitsmaßnahmen. Dieses Konzept lässt sich ebenso auf Datenschutzpraktiken übertragen.

Eine der größten Gefahren von Cyberwashing ist das enorme Schadenspotenzial. Die irreführende Außendarstellung schafft eine falsche Sicherheitswahrnehmung – sowohl bei Verbrauchern als auch innerhalb der Organisation selbst – und erhöht damit das Risiko von Datenschutzverletzungen.

Die Medien sind voll von Berichten über große Datenpannen in Bereichen wie Gesundheitswesen, E-Commerce und Finanzdienstleistungen. Viele der betroffenen Unternehmen hatten zuvor öffentlich erklärt, Datenschutz und Cybersicherheit zu priorisieren – nur um später als Paradebeispiele für Cyberwashing entlarvt zu werden. Selbst nach einem Vorfall versuchen diese Unternehmen oft, ihre Verantwortung zu leugnen, indem sie etwa einen Cyberangriff als Ursache nennen, obwohl das eigentliche Problem ein schwaches Sicherheitskonzept oder Versäumnisse in der Umsetzung ihrer Datenschutzstrategie war. Dieser Mangel an Transparenz erschwert es, das Vertrauen von Kunden – und Regulierungsbehörden – zurückzugewinnen. Denn: Regulierungsstellen setzen Organisationen, die nachweislich über ihre Sicherheitslage getäuscht haben, verstärkt unter Druck.

Cyberwashing kann schwerwiegende finanzielle, rechtliche und rufschädigende Folgen haben. Darüber hinaus untergräbt es das Vertrauen in die Aussagen eines Unternehmens, insbesondere nach einem Vorfall.

Obwohl sich der Bericht aus Monash mit Cybersicherheit im Allgemeinen befasst, lassen sich viele der hier bereits diskutierten Beispiele für mangelnden Datenschutz ebenfalls als Cyberwashing einstufen:

Als Teil einer Strategie zur Vermeidung von Cyberwashing sollten Zustimmungs- und Cookie-Management integraler Bestandteil des Datenschutzkonzepts sein.

Wie kann Cyberwashing verhindert werden? Wie können Unternehmen Transparenz, Datenschutz und Cybersicherheit zugleich sicherstellen?

Ein zentraler Hebel ist die konsequente Durchsetzung von Datenschutzgesetzen. Unternehmen können Risikomanagement strukturell verankern – durch regelmäßige unabhängige Audits, transparente und ehrliche Sicherheitsberichte sowie durch Aufklärung und Schulung der eigenen Mitarbeitenden.

Auch der Markt selbst kann dabei eine Rolle spielen. So heißt es im Bericht der Monash University, dass Versicherungsunternehmen „als Kontrollinstanz fungieren können“. Das heißt: Wenn Unternehmen beim Abschluss einer Cyber-Versicherung falsche Angaben machen, könnte ihnen der Versicherungsschutz verweigert werden. Schon diese Möglichkeit allein könnte als ausreichender Anreiz dienen, um mehr in echte Sicherheitsmaßnahmen zu investieren.

Angesichts der potenziell katastrophalen Folgen von Datenschutzverstößen liegt es im ureigensten Interesse jeder Organisation, regelmäßig interne Prüfungen durchzuführen – sowohl manuell als auch automatisiert – und Tools einzusetzen, die bei der Einhaltung gesetzlicher Anforderungen helfen. Die finanziellen und rechtlichen Strafen sind oft gravierend – wohingegen ein proaktives Risikomanagement auf Basis von Vertrauen und Transparenz langfristig günstiger und nachhaltiger ist.