Datenklau: Warum Webshopbetreiber besonders gefährdet sind

Vor einigen Wochen wurde der bislang größte Datenklau innerhalb Deutschlands aufgedeckt. Hacker haben 18 Millionen Emailadressen inklusive Passwörtern erbeutet und nutzen sie nun vermutlich für kriminelle Zwecke. Und erst im Januar war der Diebstahl von rund 16 Millionen Datensätzen bekannt geworden. Auch für Webshopbetreiber stellen Hackerangriffe eine ernstzunehmende Gefahr dar – denn sowohl der Verlust von Kundendaten, als auch eine Betriebsunterbrechung durch Beschädigung der Systeme oder eine DoS-Attacke kann richtig teuer werden.

Was auf Online-Händler an Pflichten (und Kosten) nach einem Angriff durch Cyber-Kriminelle zukommen kann, erklärt Ralph Günther, Gründer der Versicherungsplattform exali.de.

Webshops im Visier: Warum Betreiber von Onlineshops gefährdet sind

Die Cyberangriffe allein in diesem Jahr zeigen: Wer sein Geld im Internet verdient, muss für etwaige Angriffe aus dem WWW gewappnet sein. Denn nicht nur Hacks im großen Stil haben teure Konsequenzen – auch kleine Vorfälle können Webshopbetreiber empfindlich treffen.

Unerlaubte Übergriffe auf die eigenen Daten und Systeme müssen dringend verhindert werden, denn: Kundendaten sind neben Geldmitteln und Lagerbestand das kostbarste Gut eines Online-Shops – jede Adresse ist bares Geld wert. Werden Kundendaten gehackt, veröffentlicht und im schlimmsten Fall sogar missbraucht, geht es dem Online-Händler an den Kragen – Eigenschäden und Schadenersatzforderungen seitens Dritter inklusive.

Eigenschäden im Onlinehandel

Doch ein Angriff auf den Webshop kostet nicht nur Geld – sondern vor allem auch Zeit. So kommen nach einem Hackerangriff häufig viele Arbeiten und Pflichten auf den Shopbetreiber zu:

• Ein externer Computer-Forensik-Experte muss engagiert werden, der ermittelt, wie die Hacker ins System eindringen konnten und welche Seiten bzw. welche Daten betroffen sind. Er kümmert sich auch darum, dass die Sicherheitslücke geschlossen wird.
• Die Systeme müssen wiederhergestellt werden, damit das Geschäft wieder aufgenommen werden kann – hierfür ist gegebenenfalls die Wiederherstellung des Shops notwendig.
• muss eine Strafanzeige gegen den Angreifer gestellt werden.
• Aufgrund der behördlichen Meldepflicht muss die Datenschutzbehörde (in Bayern z.B. das LDA)über den Vorfall informiert werden, was umfangreiche Fragebögen nach sich ziehen kann.
• Im Zusammenhang mit der behördlichen Meldepflicht muss ggf. ein spezialisierter Anwalt zur Unterstützung bei rechtlichen Fragen zum Umgang und Kommunikation mit den Datenschutzbehörden eingesetzt werden; im Worst Case fallen außerdem Kosten für die strafrechtliche Verteidigung an.
• Besonders wichtig ist es, mit den verunsicherten Kunden zu sprechen und umfangreiche Informationsmöglichkeiten für deren Fragen zur Verfügung zu stellen (z.B. Einrichtung eines Call-Centers). Ggf. müssen weitere PR- und Krisenmanagement-Maßnahmen eingeleitet werden.
• Die Bereitstellung von Kreditschutz- und Kreditüberwachungsdienstleistungen muss organisiert werden.

All die Kosten, die dabei anfallen, sind sogenannte Eigenschäden. Das bedeutet: Der Webshopbetreiber wurde selbst geschädigt und kann sich die Kosten deshalb nicht über eine herkömmliche Haftpflichtversicherung ersetzen lassen.

Und dann ist da noch eine weitere, kostspielige Folge: die Betriebsunterbrechung. Denn wenn der Shop durch einen Angriff von außen (oder auch bewusste Manipulation von innen) lahmgelegt wird und keine Bestellungen mehr durchgeführt werden können, kann das ein großes Loch in die Kasse reißen. Vor allem deshalb, weil der Betroffene seine fixen Kosten ja weiterhin zahlen muss. Ganz zu schweigen vom Imageschaden und dem Abrieb an Kunden: Wenn der Webshop nicht mehr erreichbar ist, wird eben woanders eingekauft – der Kunde ist verloren.

Fremdschäden im Onlinehandel

Beim Betrieb eines Webshops können jedoch nicht nur die Online-Händler selbst, sondern auch Dritte (z.B. Shopkunden) geschädigt werden, die infolgedessen Anspruch auf Schadenersatz erheben. Im Unterschied zum stationären Handel sind im Versandhandel Personen- und Sachschäden selten – hier überwiegen die Vermögensschäden (Vermögensschäden = finanzielle Nachteile).

Zu Schadenersatzforderungen kann es wegen verschiedenster solcher Vermögensschäden kommen:

• der Verletzung gewerblicher Schutzrechte wie Marken-, Domain-, Lizenz-, Urheber-, Namens- und Persönlichkeitsrechten;
• rechtsverletzender Veröffentlichungen (z.B. im Online-Shop, in sozialen Medien oder auf Blogs) im Zusammenhang mit Produkten und Dienstleistungen;
• Kennzeichenverletzungen (so genanntes „passing off“);
• Rechtsverletzungen durch Verlinkungen oder das „Framing“ anderer Webseiten;
• Verstößen gegen Wettbewerbsrecht und Werbung;

• Datenrechtsverletzungen: Verstößen gegen Geheimhaltungspflichten; Schäden durch schadhafte Codes (z.B. Viren); Schäden durch den unbefugten Zugriff Dritter auf Daten(z.B. Informationspiraterie).

Was tun im Schadensfall?

Vor Cyber-Angriffen ist niemand sicher. Selbst das bestausgeklügelte Sicherheitssystem kann von einem gewieften Hacker umgangen werden. Es ist nur eine Frage, wie viel Zeit und Geld dieser investieren möchte. Im Visier von Kriminellen sind dabei auch nicht – wie die Berichterstattung in den Medien vielleicht glauben lässt – ausschließlich die Webshops großer Konzerne. Gerade mittelständische Unternehmen sind für organisierte Internetkriminalität ein beliebtes Ziel.

Das Risiko, selbst einmal ins Visier von Hackern zu geraten, kann also niemals vollständig ausgeschlossen werden. Dennoch lohnt es sich, Sicherheitsstandards für die eigenen Systeme und für den Umgang der Mitarbeiter mit Daten präventiv zu implementieren. So lässt sich die Gefahr zumindest eindämmen. Zur Verbesserung des Risikomanagements im Unternehmen sollten außerdem Regelungen aufgestellt werden, wie im Falle einer Cyber-Attacke vorgegangen werden sollte. Agieren statt reagieren, heißt die Devise!

Über den Autor:

Ralph Günther von exali.de gilt als ausgewiesener Experte, wenn es um Risikomanagement und spezifische Absicherung für den Online-Handel/ eCommerce geht. Als einer der Vorreiter im Online-Versicherungsbusiness hat er aktiv an der Verbesserung des Versicherungsschutzes in diesem Bereich mitgewirkt und ein neues Versicherungskonzept am Markt eingeführt. Ralph Günther schreibt als Fachautor in relevanten Medien. Zudem klärt er wöchentlich auf seinem Blog „Vermögensschaden: Versicherung neu denken“ auf.