Datenschutzverletzung

Ein Datenleck , auch bekannt als Datenschutzverletzung , ist die unbefugte Offenlegung, Weitergabe oder der Verlust personenbezogener Daten . ^{[ 1 ]} Angreifer verfolgen vielfältige Motive, von finanzieller Bereicherung über politischen Aktivismus und politische Repression bis hin zu Spionage . Es gibt mehrere technische Ursachen für Datenlecks, darunter die versehentliche oder vorsätzliche Weitergabe von Informationen durch Insider, der Verlust oder Diebstahl unverschlüsselter Geräte, das Eindringen in ein System durch Ausnutzung von Software-Schwachstellen sowie Social-Engineering-Angriffe wie Phishing , bei denen Insider zur Preisgabe von Informationen verleitet werden. Präventionsmaßnahmen können das Risiko eines Datenlecks zwar verringern, aber nicht vollständig ausschließen.

Viele Datenpannen bleiben unentdeckt. Wird eine Datenpanne dem betroffenen Unternehmen bekannt, umfassen die Maßnahmen im Anschluss daran üblicherweise die Eindämmung des Vorfalls, die Untersuchung seines Ausmaßes und seiner Ursache sowie die Benachrichtigung der betroffenen Personen, wie es in vielen Ländern gesetzlich vorgeschrieben ist. Strafverfolgungsbehörden können zwar Datenpannen untersuchen, die verantwortlichen Hacker werden jedoch selten gefasst.

Kriminelle verkaufen Daten, die sie durch Datenlecks erlangt haben, häufig im Darknet . Daher besteht für Personen, deren persönliche Daten kompromittiert wurden, über Jahre hinweg ein erhöhtes Risiko für Identitätsdiebstahl , und viele werden Opfer dieser Straftat. In vielen Ländern, darunter alle Bundesstaaten der USA und die Mitgliedstaaten der Europäischen Union , schreiben Gesetze zur Meldung von Datenlecks die Benachrichtigung der Betroffenen vor. Klagen gegen das betroffene Unternehmen sind üblich, doch nur wenige Opfer erhalten eine Entschädigung. Abgesehen von den direkten Kosten gibt es kaum empirische Belege für wirtschaftliche Schäden, die Unternehmen durch Datenlecks entstehen. Es gibt jedoch Hinweise auf einen vorübergehenden, kurzfristigen Rückgang des Aktienkurses .

Wie fast alle Begriffe im Bereich der Cybersicherheit ist auch die Definition von „Datenleck“ kontextabhängig.

• Laut dem National Institute of Standards and Technology (NIST) ist eine Datenschutzverletzung „ein Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit eines Informationssystems tatsächlich oder potenziell gefährdet oder das einen Verstoß gegen Sicherheitsrichtlinien, Sicherheitsverfahren oder Richtlinien zur akzeptablen Nutzung darstellt oder eine unmittelbare Gefahr eines solchen Verstoßes birgt.“ ^{[ 2 ]}
• Das britische Nationale Zentrum für Cybersicherheit (NCSC) definiert eine Datenschutzverletzung als einen Vorfall, „wenn Informationen, die sich im Besitz einer Organisation befinden, gestohlen oder ohne Genehmigung abgerufen werden“. ^{[ 3 ]}
• Andere definieren eine Datenschutzverletzung als einen Verstoß gegen „organisatorische, regulatorische, gesetzliche oder vertragliche“ Gesetze oder Richtlinien ^{[ 4 ]} , der „die unbefugte Offenlegung, Weitergabe oder den Verlust personenbezogener Daten “ ^{[ 1 ]} zur Folge hat . Einige Forscher beziehen auch andere Arten von Informationen mit ein, beispielsweise geistiges Eigentum oder Verschlusssachen ^{[ 5 ]} .

Vor der breiten Einführung von Gesetzen zur Meldung von Datenschutzverletzungen um das Jahr 2005 war die Häufigkeit von Datenschutzverletzungen schwer zu bestimmen. Auch danach waren jährliche Statistiken möglicherweise unzuverlässig, da Datenschutzverletzungen mitunter erst Jahre später gemeldet wurden ^{[ 6 ]} oder gar nicht gemeldet wurden ^{[ 7 ]} . Dennoch zeigen die Statistiken einen kontinuierlichen Anstieg der Anzahl und Schwere von Datenschutzverletzungen, der sich bis 2022 fortsetzte ^{[ 8 ].} Im Jahr 2016 schätzte die Forscherin Sasha Romanosky, dass Datenschutzverletzungen (ohne Phishing ) andere Sicherheitsvorfälle um das Vierfache übertrafen ^{[ 9 ] .}

Laut einer Schätzung aus dem Jahr 2020 wurden 55 Prozent der Datenschutzverletzungen durch organisierte Kriminalität , 10 Prozent durch Systemadministratoren , 10 Prozent durch Endnutzer wie Kunden oder Mitarbeiter und 10 Prozent durch Staaten oder staatsnahe Akteure verursacht. ^{[ 10 ]} Opportunistische Kriminelle können Datenschutzverletzungen verursachen – oft mithilfe von Malware oder Social-Engineering-Angriffen –, ziehen sich aber in der Regel zurück, wenn die Sicherheitsvorkehrungen überdurchschnittlich gut sind. Organisierte Kriminelle verfügen über mehr Ressourcen und konzentrieren sich stärker auf bestimmte Daten . ^{[ 11 ]} Beide Gruppen verkaufen die erlangten Informationen, um finanzielle Gewinne zu erzielen. ^{[ 12 ]} Eine weitere Quelle für Datenschutzverletzungen sind politisch motivierte Hacker , beispielsweise Anonymous , die bestimmte Ziele verfolgen. ^{[ 13 ]} Staatlich geförderte Hacker zielen entweder auf Bürger ihres Landes oder auf ausländische Organisationen ab, beispielsweise zur politischen Repression und Spionage . Häufig nutzen sie nicht offengelegte Zero-Day-Schwachstellen, für die sie hohe Summen erhalten. ^{[ 14 ]} Die Pegasus-Spionagesoftware – eine vom israelischen Unternehmen NSO Group entwickelte Malware, die ohne Klick funktioniert, auf den meisten Mobiltelefonen installiert werden kann und die Aktivitäten der Nutzer ausspioniert – hat sowohl wegen ihres Einsatzes gegen Kriminelle wie den Drogenboss El Chapo als auch gegen politische Dissidenten Aufmerksamkeit erregt und die Ermordung von Jamal Khashoggi ermöglicht . ^{[ 15 ]}

Trotz des Ziels der Entwickler, ein Produkt zu liefern, das vollständig wie vorgesehen funktioniert, enthalten praktisch alle Software- und Hardwareprodukte Fehler. ^{[ 16 ]} Wenn ein Fehler ein Sicherheitsrisiko darstellt, wird er als Schwachstelle bezeichnet . ^{[ 17 ] [ 18 ] [ 19 ]} Zur Behebung bekannter Schwachstellen werden häufig Patches veröffentlicht. Unbekannte Schwachstellen ( Zero-Day- Schwachstellen) sowie ungepatchte Schwachstellen können jedoch weiterhin ausgenutzt werden. ^{[ 20 ]} Sowohl die vom Ziel des Angriffs entwickelte Software als auch von diesem verwendete Drittanbietersoftware sind angreifbar. ^{[ 18 ]} Softwareanbieter haften selten für die Kosten von Sicherheitsvorfällen, was einen Anreiz schafft, billigere, aber weniger sichere Software zu entwickeln. ^{[ 21 ]}

Schwachstellen unterscheiden sich in ihrer Ausnutzbarkeit durch Angreifer. Die wertvollsten ermöglichen es dem Angreifer, eigenen Code (sogenannte Malware ) einzuschleusen und auszuführen , ohne dass der Benutzer dies bemerkt. ^{[ 17 ]} Manche Malware wird von Benutzern durch Anklicken eines schädlichen Links heruntergeladen, aber es ist auch möglich, dass schädliche Webanwendungen Malware allein durch den Besuch der Website herunterladen ( Drive-by-Download ). Keylogger , eine Art Malware, die die Tastatureingaben eines Benutzers aufzeichnet, werden häufig bei Datenlecks eingesetzt. ^{[ 22 ]} Hashing ist ebenfalls eine gute Lösung, um Passwörter vor Brute-Force-Angriffen zu schützen , jedoch nur, wenn der Algorithmus ausreichend sicher ist. ^{[ 23 ]}

Viele Datenpannen ereignen sich auf der Hardware von Partnerunternehmen des betroffenen Unternehmens – darunter die Datenpannen bei Target (2013) und JPMorgan Chase (2014) . ^{[ 24 ]} Die Auslagerung von Aufgaben an Dritte birgt das Risiko einer Datenpanne, wenn diese Unternehmen niedrigere Sicherheitsstandards aufweisen; insbesondere kleine Unternehmen verfügen oft nicht über die nötigen Ressourcen, um so viele Sicherheitsvorkehrungen zu treffen. ^{[ 25 ] [ 24 ]} Daher enthalten Outsourcing-Verträge häufig Sicherheitsgarantien und Regelungen für den Fall einer Datenpanne. ^{[ 25 ]}

Menschliche Ursachen für Sicherheitslücken liegen häufig in einem unberechtigten Vertrauen in einen Angreifer. Social-Engineering-Angriffe zielen darauf ab, Insider zu Handlungen zu verleiten, die die Systemsicherheit gefährden, wie beispielsweise die Preisgabe eines Passworts oder das Anklicken eines Links zum Herunterladen von Schadsoftware. ^{[ 26 ]} Datenlecks können auch absichtlich von Insidern verursacht werden. ^{[ 27 ]} Eine Form des Social Engineering, das Phishing , ^{[ 26 ]} , erlangt die Zugangsdaten eines Nutzers , indem diesem eine betrügerische Nachricht imitiert wird, die sich als legitime Institution, beispielsweise eine Bank, ausgibt. Der Nutzer wird so dazu verleitet, seine Zugangsdaten auf einer von Cyberkriminellen kontrollierten, manipulierten Website einzugeben. Die Zwei-Faktor-Authentifizierung kann verhindern, dass Angreifer die Zugangsdaten missbrauchen. ^{[ 28 ]} Die Schulung von Mitarbeitern im Erkennen von Social Engineering ist eine weitere gängige Strategie. ^{[ 29 ]}

Eine weitere Ursache für Sicherheitslücken ist die versehentliche Offenlegung von Informationen, beispielsweise die Veröffentlichung von Daten, die vertraulich bleiben sollten. ^{[ 30 ] [ 31 ]} Mit der Zunahme von Telearbeit und BYOD- Richtlinien (Bring Your Own Device) werden große Mengen an Unternehmensdaten auf den privaten Geräten der Mitarbeiter gespeichert. Durch Nachlässigkeit oder Missachtung der Sicherheitsrichtlinien des Unternehmens können diese Geräte verloren gehen oder gestohlen werden. ^{[ 32 ]} Technische Lösungen können viele Ursachen für menschliches Versagen verhindern, wie z. B. die Verschlüsselung aller sensiblen Daten, die Verhinderung der Verwendung unsicherer Passwörter durch Mitarbeiter, die Installation von Antivirensoftware zum Schutz vor Schadsoftware und die Implementierung eines zuverlässigen Patch-Management-Systems, um sicherzustellen, dass alle Geräte auf dem neuesten Stand sind. ^{[ 33 ]}

Obwohl die Beachtung von Sicherheitsmaßnahmen das Risiko von Datenschutzverletzungen verringern kann, lässt es sich nicht vollständig ausschließen. Sicherheit ist nicht die einzige Priorität von Unternehmen, und der Versuch, perfekte Sicherheit zu erreichen, würde die Technologie unbrauchbar machen. ^{[ 34 ]} Viele Unternehmen stellen einen Chief Information Security Officer (CISO) ein, der die Informationssicherheitsstrategie des Unternehmens überwacht. ^{[ 35 ]} Um Informationen über potenzielle Bedrohungen zu erhalten, vernetzen sich Sicherheitsexperten und tauschen Informationen mit anderen Organisationen aus, die ähnlichen Bedrohungen ausgesetzt sind. ^{[ 36 ]} Zu den Verteidigungsmaßnahmen gehören eine aktualisierte Strategie zur Reaktion auf Sicherheitsvorfälle, Verträge mit Unternehmen für digitale Forensik , die eine Datenschutzverletzung untersuchen können, ^{[ 37 ]} Cyberversicherungen [ ^{38 ] [ 39 ]} und die Überwachung des Darknets auf gestohlene Zugangsdaten von Mitarbeitern. ^{[ 40 ] Im Jahr 2024 veröffentlichte das Nationale Institut für Standards und Technologie (NIST) der Vereinigten Staaten die Sonderpublikation „Datenvertraulichkeit: Identifizierung und Schutz von} Vermögenswerten vor Datenschutzverletzungen“. ^{[ 41 ]} Das NIST Cybersecurity Framework enthält ebenfalls Informationen zum Datenschutz. ^{[ 42 ]} Andere Organisationen haben unterschiedliche Standards für den Datenschutz veröffentlicht. ^{[ 43 ]}

Die Architektur der Systeme eines Unternehmens spielt eine entscheidende Rolle bei der Abwehr von Angreifern. Daswani und Elbayadi empfehlen, nur ein einziges Authentifizierungsverfahren zu verwenden [ ^{44 ] ,} redundante Systeme zu vermeiden und die sicherste Einstellung als Standard festzulegen ^{[ 45 ]} . Tiefenverteidigung und verteilte Berechtigungen – die mehrere Authentifizierungen für eine Operation erfordern – können Systeme schwerer angreifbar machen ^{[ 46 ]} . Mitarbeitern und Software nur die minimal notwendigen Zugriffsrechte zu gewähren ( Prinzip der minimalen Berechtigungen ) begrenzt die Wahrscheinlichkeit und den Schaden von Sicherheitsverletzungen ^{[ 44 ] [ 47 ]} . Mehrere Datenschutzverletzungen wurden durch das Vertrauen auf „Sicherheit durch Verschleierung“ ermöglicht ; die Opfer hatten Zugangsdaten in öffentlich zugänglichen Dateien gespeichert ^{[ 48 ]} . Dennoch ist auch die Benutzerfreundlichkeit wichtig, da Benutzer sonst die Sicherheitssysteme umgehen könnten. ^{[ 49 ]} Gründliche Softwaretests , einschließlich Penetrationstests , können Software-Schwachstellen reduzieren und müssen vor jeder Veröffentlichung durchgeführt werden, selbst wenn das Unternehmen ein Continuous Integration/Continuous Deployment- Modell verwendet, bei dem ständig neue Versionen ausgerollt werden. ^{[ 50 ]}

Das Prinzip der minimalen Persistenz ^{[ 51 ]} – die Vermeidung der Erfassung unnötiger Daten und die Löschung nicht mehr benötigter Daten – kann den Schaden durch Datenschutzverletzungen mindern. ^{[ 52 ] [ 53 ] [ 54 ]} Die Herausforderung besteht darin, dass die Datenlöschung bei modernen Datenbanksystemen komplexer sein kann. ^{[ 55 ]}

Viele Datenschutzverletzungen bleiben unentdeckt. ^{[ 56 ]} Von den entdeckten werden die meisten von Dritten aufgedeckt; ^{[ 57 ] [ 58 ]} andere von Mitarbeitern oder automatisierten Systemen. ^{[ 59 ]} Die Reaktion auf Datenschutzverletzungen obliegt häufig einem spezialisierten IT-Sicherheitsteam , dem oft technische Experten, PR-Fachleute und Rechtsberater angehören. ^{[ 60 ] [ 61 ]} Viele Unternehmen verfügen nicht über ausreichend internes Fachwissen und vergeben einige dieser Aufgaben an externe Dienstleister; ^{[ 62 ]} diese externen Ressourcen werden häufig von der Cyberversicherung abgedeckt. ^{[ 63 ]} Sobald ein Unternehmen von einer Datenschutzverletzung erfährt, umfassen die nächsten Schritte typischerweise die Bestätigung des Vorfalls, die Benachrichtigung des Krisenreaktionsteams und die Schadensbegrenzung. ^{[ 64 ]}

Um den Datenabfluss zu stoppen, werden häufig folgende Strategien angewendet: Abschalten betroffener Server, Offline- Schalten der Sicherheitslücke und Wiederherstellung der Systeme . ^{[ 65 ]} Sobald die genaue Art und Weise der Datenkompromittierung identifiziert ist, müssen in der Regel nur ein oder zwei technische Schwachstellen behoben werden, um den Vorfall einzudämmen und ein erneutes Auftreten zu verhindern. ^{[ 66 ]} Ein Penetrationstest kann anschließend die Wirksamkeit der Behebung überprüfen. ^{[ 67 ]} Bei Malware- Einsatz muss das Unternehmen alle Infiltrations- und Exfiltrationswege untersuchen und schließen sowie die gesamte Malware von seinen Systemen entfernen. ^{[ 68 ]} Wurden Daten im Darknet veröffentlicht , können Unternehmen versuchen, diese entfernen zu lassen. ^{[ 69 ]} Die Eindämmung des Vorfalls kann die Untersuchung beeinträchtigen, und einige Maßnahmen (wie das Abschalten von Servern) können gegen vertragliche Verpflichtungen des Unternehmens verstoßen. ^{[ 70 ]}

Die Erfassung von Daten über den Vorfall kann spätere Gerichtsverfahren oder strafrechtliche Verfolgung erleichtern ^{[ 71 ]} , jedoch nur, wenn die Datenerhebung gemäß den rechtlichen Standards erfolgt und die Beweiskette lückenlos dokumentiert ist ^{[ 72 ]} . Datenbankforensik kann die betroffenen Datensätze eingrenzen und so den Umfang des Vorfalls begrenzen ^{[ 73 ]} . Es können umfangreiche Ermittlungen eingeleitet werden, die sogar noch kostspieliger sein können als ein Gerichtsverfahren ^{[ 58 ]} . In den Vereinigten Staaten können Datenschutzverletzungen von Regierungsbehörden wie dem Office for Civil Rights , dem US-Gesundheitsministerium und der Federal Trade Commission (FTC) untersucht werden ^{[ 74 ]} . Auch Strafverfolgungsbehörden können Datenschutzverletzungen untersuchen ^{[ 75 ]} , obwohl die verantwortlichen Hacker selten gefasst werden ^{[ 76 ] .}

Benachrichtigungen werden in der Regel gemäß den gesetzlichen Bestimmungen versandt. ^{[ 77 ]} Viele Unternehmen bieten Betroffenen eines Datenlecks eine kostenlose Bonitätsüberwachung an, allerdings nutzen nur etwa 5 Prozent der Berechtigten diesen Service. ^{[ 78 ]} Die Ausgabe neuer Kreditkarten an Verbraucher ist zwar kostspielig, aber eine wirksame Strategie zur Reduzierung des Kreditkartenbetrugsrisikos . ^{[ 78 ]} Unternehmen versuchen, das Vertrauen in ihre Geschäftstätigkeit wiederherzustellen und ergreifen Maßnahmen, um ein erneutes Auftreten eines Datenlecks zu verhindern. ^{[ 79 ]}

Nach einem Datenleck verdienen Kriminelle Geld mit dem Verkauf von Daten wie Benutzernamen, Passwörtern, Informationen aus sozialen Medien oder Kundenbindungsprogrammen , Debit- und Kreditkartennummern ^{[ 12 ]} sowie persönlichen Gesundheitsdaten (siehe medizinisches Datenleck ) ^{[ 80 ]} . Diese Daten werden häufig im Darknet – Teilen des Internets, in denen die Rückverfolgung von Nutzern schwierig ist und illegale Aktivitäten weit verbreitet sind – über Plattformen wie .onion oder I2P angeboten ^{[ 81 ]} . Das Darknet, das in den 2000er-Jahren entstand und in den 2010er-Jahren durch nicht nachverfolgbare Kryptowährungen wie Bitcoin ergänzt wurde, ermöglichte es Kriminellen, aus Datenlecks erlangte Daten mit minimalem Risiko der Entdeckung zu verkaufen, was zu einem Anstieg von Hackerangriffen führte ^{[ 82 ] [ 83 ]} . Ein bekannter Darknet-Marktplatz, Silk Road , wurde 2013 geschlossen und seine Betreiber verhaftet, doch an seiner Stelle entstanden mehrere andere Marktplätze ^{[ 84 ]} . Auch Telegram ist ein beliebtes Forum für den illegalen Verkauf von Daten. ^{[ 85 ]} Wenn durchgesickerte Datenbanken vollständige Sozialversicherungsnummern und Geburtsdaten enthalten, sind die betroffenen Personen einem erhöhten langfristigen Risiko des Identitätsdiebstahls ausgesetzt.

Diese Informationen können für verschiedene Zwecke missbraucht werden, beispielsweise für Spamming , den Erwerb von Produkten mithilfe der Kundendaten oder Zahlungsinformationen des Opfers, Identitätsdiebstahl , Rezeptbetrug oder Versicherungsbetrug . ^{[ 86 ]} Die Drohung mit einem Datenleck oder die Offenlegung der dabei erlangten Informationen kann zur Erpressung missbraucht werden . ^{[ 12 ]}

Verbraucher können durch den Diebstahl ihrer persönlichen Daten verschiedene materielle und immaterielle Schäden erleiden oder diese gar nicht bemerken. ^{[ 87 ]} Ein erheblicher Teil der von einem Datenleck Betroffenen wird Opfer von Identitätsdiebstahl . ^{[ 78 ]} Die persönlichen Daten einer Person kursieren oft jahrelang im Darknet, was das Risiko von Identitätsdiebstahl trotz Gegenmaßnahmen erhöht. ^{[ 76 ] [ 88 ]} Selbst wenn ein Kunde die Kosten für Kreditkartenbetrug oder Identitätsdiebstahl nicht selbst tragen muss , muss er Zeit für die Aufklärung des Falls aufwenden. ^{[ 89 ] [ 90 ]} Zu den immateriellen Schäden zählt beispielsweise Doxxing (die öffentliche Preisgabe persönlicher Informationen), wie etwa Angaben zur Medikamenteneinnahme oder private Fotos. ^{[ 91 ]}

Die Auswirkungen auf das Unternehmen können von Geschäftsverlusten und reduzierter Mitarbeiterproduktivität aufgrund von Systemausfällen oder der Umverteilung von Personal zur Behebung des Datenlecks ^{[ 92 ]} über Rücktritt oder Entlassung von Führungskräften ^{[ 74 ]} und Reputationsschäden ^{[ 74 ] [ 93 ]} bis hin zu steigenden zukünftigen Kosten für Audits und Sicherheitsmaßnahmen reichen. ^{[ 74 ]} Es gibt Hinweise auf einen vorübergehenden, kurzfristigen Rückgang des Aktienkurses . ^{[ 94 ]} Verbraucherverluste durch ein Datenleck stellen in der Regel einen negativen externen Effekt für das Unternehmen dar. ^{[ 95 ]} Einige Experten argumentieren, dass die vorliegenden Erkenntnisse darauf hindeuten, dass die direkten Kosten oder Reputationsschäden durch Datenlecks nicht ausreichen, um deren Prävention ausreichend zu fördern . ^{[ 96 ] [ 97 ]}

Die Kosten von Datenschutzverletzungen abzuschätzen ist schwierig, da nicht alle Vorfälle gemeldet werden und die finanziellen Auswirkungen nicht einfach zu berechnen sind. Es gibt verschiedene Methoden, die Kosten für Unternehmen zu ermitteln, insbesondere den Personalaufwand für die Bewältigung der Datenschutzverletzung. ^{[ 98 ]} Kevvie Fowler schätzt, dass mehr als die Hälfte der direkten Kosten für Unternehmen auf Rechtsstreitigkeiten und die Betreuung betroffener Personen entfällt. Die restlichen Kosten verteilen sich auf Benachrichtigung und Aufdeckung, einschließlich forensischer Untersuchungen. Er argumentiert, dass diese Kosten sinken, wenn das Unternehmen vor der Datenschutzverletzung in Sicherheit investiert hat oder bereits Erfahrung mit solchen Vorfällen besitzt. Je mehr Datensätze betroffen sind , desto teurer ist eine Datenschutzverletzung in der Regel. ^{[ 99 ]} Die Forscherin Sasha Romanosky schätzte 2016, dass die durchschnittlichen Kosten einer Datenschutzverletzung für das betroffene Unternehmen bei etwa 5 Millionen US-Dollar lagen. Dieser Wert wurde jedoch durch einige wenige, besonders kostspielige Fälle verzerrt, und die typische Datenschutzverletzung verursachte deutlich geringere Kosten von rund 200.000 US-Dollar. Romanosky schätzte die jährlichen Gesamtkosten für Unternehmen in den Vereinigten Staaten auf rund 10 Milliarden US-Dollar. ^{[ 100 ]} Es wurde geschätzt, dass ein Datenleck bei der Kryptowährungsbörse Coinbase im Jahr 2025 zu einem Gesamtschaden von bis zu 400 Millionen US-Dollar führen könnte, einschließlich Schäden für Kunden, einer von Hackern geforderten Lösegeldzahlung, Anwaltskosten, Verlust von Krypto-Assets, Reputationsschäden und Kosten für die Einhaltung gesetzlicher Bestimmungen. ^{[ 101 ] [ 102 ]}

Das Recht bezüglich Datenschutzverletzungen findet sich häufig in Gesetzen zum allgemeinen Schutz der Privatsphäre und ist geprägt von Bestimmungen zur Meldepflicht bei Verstößen. ^{[ 103 ]} Die Gesetze unterscheiden sich hinsichtlich der Definition von Datenschutzverletzungen, ^{[ 104 ]} der Art der geschützten Informationen, der Meldefrist ^{[ 105 ]} und der Klagebefugnis bei Gesetzesverstößen. ^{[ 106 ]} Meldepflichten erhöhen die Transparenz und bieten Unternehmen einen Anreiz, Datenschutzverletzungen zu reduzieren. [ ^{107 ] Die} Kosten für die Meldung einer Datenschutzverletzung können hoch sein, wenn viele Personen betroffen sind, und fallen unabhängig von der Verantwortung des Unternehmens an. Sie können daher wie eine verschuldensunabhängige Geldbuße wirken. ^{[ 108 ]}

Im Gesundheitswesen verpflichtet die HIPAA- Meldepflicht bei Datenschutzverletzungen , die 2009 im Rahmen des HITECH Act erlassen wurde, betroffene Einrichtungen und Geschäftspartner, die betroffenen Personen innerhalb von 60 Tagen nach Entdeckung einer Verletzung des Schutzes ungesicherter Gesundheitsdaten (PHI) zu benachrichtigen. ^{[ 109 ]} Datenschutzverletzungen, die 500 oder mehr Personen betreffen, müssen zudem dem Office for Civil Rights (OCR) und prominenten Medien gemeldet und auf dem HHS Breach Portal, informell bekannt als „Wall of Shame“, veröffentlicht werden. ^{[ 110 ]} Der Cyberangriff auf Change Healthcare im Februar 2024 , bei dem die Daten von etwa 100 Millionen Personen offengelegt wurden, verdeutlichte das Ausmaß der Risiken von Datenschutzverletzungen im Gesundheitswesen und führte zu einer verstärkten Überprüfung der Cybersicherheitspraktiken im gesamten Gesundheitssektor. ^{[ 111 ]}

Laut Thomas on Data Breach gab es im Jahr 2024 62 UN-Mitgliedstaaten mit Gesetzen zur Meldung von Datenschutzverletzungen. Einige andere Länder schreiben die Meldung von Datenschutzverletzungen im Rahmen allgemeinerer Datenschutzgesetze vor . ^{[ 112 ]} Kurz nach der ersten gemeldeten Datenschutzverletzung im April 2002 verabschiedete Kalifornien ein Gesetz, das die Meldung von Datenschutzverletzungen vorschreibt. ^{[ 113 ]} In den USA verbreiteten sich die Meldepflichten nach der ChoicePoint-Datenpanne im Februar 2005 rasant . Diese erregte große Aufmerksamkeit, unter anderem aufgrund der hohen Zahl der Betroffenen (über 140.000) und der Empörung darüber, dass das Unternehmen zunächst nur Betroffene in Kalifornien informierte. ^{[ 114 ] [ 115 ]} 2018 trat die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union in Kraft. Die DSGVO schreibt eine Meldefrist von 72 Stunden vor; bei Nichteinhaltung drohen großen Unternehmen sehr hohe Geldstrafen. Diese Verordnung trug auch in anderen Ländern zur Verschärfung der Datenschutzgesetze bei. ^{[ 116 ] [ 117 ]} Stand 2022 beschränkt sich das einzige US-Bundesgesetz, das eine Meldung von Datenschutzverletzungen vorschreibt, auf medizinische Daten, die dem HIPAA unterliegen . Alle 50 Bundesstaaten (seit Alabama 2018 ein entsprechendes Gesetz verabschiedet hat) verfügen jedoch über eigene allgemeine Gesetze zur Meldung von Datenschutzverletzungen. ^{[ 117 ]}

Maßnahmen zum Schutz von Daten vor Datenschutzverletzungen sind im Gesetz typischerweise nicht vorhanden oder unklar formuliert. ^{[ 103 ]} Diese Lücke schließen die Standards der Cyberversicherung , die von den meisten großen Unternehmen abgeschlossen wird und faktisch als Regulierung fungiert . ^{[ 118 ] [ 119 ]} Von den bestehenden Gesetzen lassen sich zwei Hauptansätze unterscheiden: der Ansatz, der spezifische Standards vorschreibt, und der Angemessenheitsansatz . ^{[ 120 ]} Ersterer wird aufgrund mangelnder Flexibilität und der Zurückhaltung der Gesetzgeber, technische Fragen zu klären, selten angewendet; beim zweiten Ansatz ist das Gesetz zwar vage, aber aus der Rechtsprechung können sich spezifische Standards ergeben . ^{[ 121 ]} Unternehmen bevorzugen oft den Standardansatz, um eine größere Rechtssicherheit zu gewährleisten , erfüllen aber möglicherweise alle Anforderungen, ohne ein sicheres Produkt anzubieten. ^{[ 122 ]} Ein weiterer Mangel besteht darin, dass die Gesetze schlecht durchgesetzt werden, die Strafen oft deutlich niedriger sind als die Kosten einer Datenschutzverletzung, und viele Unternehmen sie nicht einhalten. ^{[ 123 ]}

Nach Datenschutzverletzungen wurden zahlreiche Sammelklagen , abgeleitete Klagen und andere Gerichtsverfahren angestrengt. ^{[ 124 ]} Aufgrund der hohen Prozesskosten werden diese oft unabhängig von der Erfolgsaussicht des Falles außergerichtlich beigelegt . ^{[ 125 ] [ 126 ]} Selbst wenn eine Entschädigung gezahlt wird, erhalten nur wenige betroffene Verbraucher tatsächlich Geld, da es sich in der Regel nur um Centbeträge bis wenige Dollar pro Opfer handelt. ^{[ 74 ] [ 126 ]} Die Rechtswissenschaftler Daniel J. Solove und Woodrow Hartzog argumentieren, dass „Prozesse die Kosten von Datenschutzverletzungen erhöht, aber sonst wenig bewirkt haben.“ ^{[ 127 ]} Kläger haben oft Schwierigkeiten, nachzuweisen, dass ihnen durch eine Datenschutzverletzung ein Schaden entstanden ist. ^{[ 127 ]} Der Beitrag des Handelns eines Unternehmens zu einer Datenschutzverletzung ist unterschiedlich, ^{[ 123 ] [ 128 ]} und ebenso ist die Haftung für die daraus resultierenden Schäden umstritten. Es besteht Uneinigkeit darüber, welcher Standard anzuwenden ist – ob Gefährdungshaftung, Fahrlässigkeit oder etwas anderes. ^{[ 128 ]}

• Vollständige Offenlegung  – Richtlinie zur Computersicherheit
• Datenschutzverletzung im Gesundheitswesen  – Datenschutzverletzung im Zusammenhang mit Gesundheitsinformationen
• Versiegelung von Akten § Cybersicherheitsvorfälle im Zusammenhang mit versiegelten Akten
• Überwachungskapitalismus  – Ein Konzept der politischen Ökonomie