Eine Datenschutzverletzung ist ein Sicherheitsvorfall, bei dem unbefugte Parteien auf sensible oder vertrauliche Informationen zugreifen, einschließlich personenbezogener Daten (Sozialversicherungsnummern, Bankkontonummern, Gesundheitsdaten) und Unternehmensdaten (Kundendatensätze, geistiges Eigentum, Finanzinformationen).
Die Begriffe „Data Breach“ und „Breach“ werden oft synonym mit „Cyberangriff“ verwendet. Jedoch sind nicht alle Cyberangriffe auch Data Breaches. Data Breaches umfassen nur die Sicherheitsverletzungen, bei denen sich jemand unbefugten Zugriff auf Daten verschafft.
Ein Distributed Denial-of-Service (DDoS)-Angriff, der eine Website überwältigt, ist beispielsweise kein Data Breach. Ein Ransomware-Angriff, bei dem die Kundendaten eines Unternehmens gesperrt werden und damit gedroht wird, die gestohlenen Daten zu veröffentlichen, sofern das Unternehmen kein Lösegeld zahlt, ist ein Data Breach. Der physische Diebstahl von Festplatten, USB-Flash-Laufwerken oder sogar Papierakten mit sensiblen Informationen ist ebenfalls ein Data Breach.
Schließen Sie sich Führungskräften im Bereich Sicherheit an, die von den kuratierten Nachrichten zu KI, Cybersicherheit, Daten und Automatisierung im Think Newsletter profitieren. Lernen Sie schnell von Experten-Tutorials und Erläuterungen, die direkt in Ihren Posteingang geliefert werden. Weitere Informationen finden Sie in der IBM Datenschutzerklärung.
Laut dem IBM Cost of a Data Breach Report 2026 betragen die weltweiten durchschnittlichen Kosten eines Data Breaches 4,99 Mio. USD. Unternehmen jeder Größe und Art sind zwar anfällig für Sicherheitsverletzungen, aber der Schweregrad dieser Verletzungen und die Kosten für ihre Behebung variieren.
Beispielsweise belaufen sich die durchschnittlichen Kosten eines Data Breaches in den Vereinigten Staaten auf 11,5 Mio. USD, etwa viermal so viel wie die Kosten eines Data Breaches in Indien (2,79 Mio. USD).
Die Folgen von Sicherheitsverletzungen sind in der Regel besonders schwerwiegend für Unternehmen in stark regulierten Bereichen wie dem Gesundheitswesen, dem Finanzwesen und dem öffentlichen Sektor, wo hohe Geldstrafen und Bußgelder die Kosten noch weiter in die Höhe treiben können. Dem Bericht von IBM zufolge belaufen sich die durchschnittlichen Kosten eines Data Breaches im Gesundheitswesen im Jahr 2026 auf 6,64 Mio. USD. Dies sind die höchsten durchschnittlichen Kosten für Data Breaches in einer Branche zum 15. Mal in Folge.
Die Kosten für Data Breaches ergeben sich aus mehreren Faktoren, wobei der IBM-Bericht vier Hauptfaktoren nennt: entgangene Geschäfte, Erkennung und Eskalation, Reaktion nach dem Breach, Benachrichtigung. Zwei Kostenkategorien – Erkennung und Eskalation sowie entgangene Umsätze – machten den Großteil (63 %) der Kosten im diesjährigen Bericht aus. Und aufwändige Berichtspflichten können den Preis noch weiter in die Höhe treiben.
Der US Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA) schreibt vor, dass Unternehmen aus den Bereichen nationale Sicherheit, Finanzwesen und bestimmten anderen Branchen Cybersicherheitsvorfälle, die personenbezogene Daten oder Geschäftsoperationen betreffen, innerhalb von 72 Stunden an das US-Heimatschutzministerium melden müssen.
US-Unternehmen, die dem Health Insurance Portability and Accountability Act (HIPPA) unterliegen, müssen das Ministerium für Gesundheitspflege und Soziale Dienste, betroffene Personen und manchmal auch die Medien informieren, wenn der Schutz geschützter Gesundheitsinformationen verletzt wird.
Alle 50 US-Bundesstaaten haben auch ihre eigenen Gesetze zur Meldung von Datenschutzverletzungen.
Die Datenschutz-Grundverordnung (DSGVO) verlangt, dass Unternehmen, die Geschäfte mit EU-Bürgern machen, Behörden innerhalb von 72 Stunden über Verstöße informieren.
Datenschutzverletzungen können durch Folgendes verursacht werden:
Unbeabsichtigte Fehler, z. B. ein Mitarbeiter, der vertrauliche Informationen per E-Mail an die falsche Person sendet.
Böswillige Insider, einschließlich verärgerter oder entlassener Mitarbeiter, die dem Unternehmen schaden oder den Ruf des Unternehmens schädigen wollen, und gierige Mitarbeiter, die von den Daten des Unternehmens profitieren wollen.
Hacker, böswillige Außenstehende, die bewusst Cyberangriffe zum Stehlen von Daten einsetzen.Hacker können einzeln oder als Teil eines organisierten Rings agieren.
Finanzieller Gewinn ist die Hauptmotivation für die meisten böswilligen Datenschutzverletzungen. Hacker stehlen Kreditkartennummern, Bankkonten oder andere Finanzdaten, um Privatpersonen und Unternehmen auf direktem Wege Geld zu entwenden.
Einige Angreifer stehlen personenbezogene Daten (PII), z. B. Sozialversicherungsnummern und Telefonnummern – für Identitätsdiebstahl, Aufnahme von Krediten und Eröffnung von Kreditkarten in den Namen ihrer Opfer. Cyberkriminelle können auch gestohlene personenbezogene Daten und Kontoinformationen im Dark Web verkaufen, wo sie bis zu 500 USD für Bankanmeldedaten erzielen können.
Eine Datenschutzverletzung kann auch die erste Phase eines größeren Angriffs sein. So könnten Hacker beispielsweise die Passwörter von E-Mail-Konten von Führungskräften stehlen und diese Konten für die Kompromittierung geschäftlicher E-Mails nutzen.
Datenschutzverletzungen können andere Ziele als die persönliche Bereicherung verfolgen. Skrupellose Unternehmen könnten Geschäftsgeheimnisse von Konkurrenten stehlen, und staatliche Akteure könnten in Regierungssysteme eindringen, um Informationen über vertrauliche politische Geschäfte, militärische Operationen oder die nationale Infrastruktur zu stehlen.
Die meisten vorsätzlichen Data Breaches, die durch interne oder externe Bedrohungsakteure verursacht werden, folgen demselben grundlegenden Muster:
Böswillige Akteure können eine Reihe von Angriffsvektoren oder Methoden nutzen, um Datenschutzverletzungen durchzuführen. Einige der häufigsten sind:
Gestohlene oder kompromittierte Zugangsdaten sind ein häufiger erster Angriffsvektor. Hacker können Anmeldedaten kompromittieren, indem sie Brute-Force-Angriffe zum Knacken von Passwörtern einsetzen, gestohlene Anmeldedaten im Dark Web kaufen oder Mitarbeiter durch Social-Engineering-Angriffe dazu bringen, ihre Passwörter preiszugeben.
Beim Social Engineering handelt es sich um die psychologische Manipulation von Menschen, um unabsichtlich ihre eigene Informationssicherheit zu gefährden.
Phishing, die häufigste Art von Social-Engineering-Angriffen, ist auch der häufigste Angriffsvektor für Data Breaches und macht 16 % der Data Breaches aus. Phishing-Betrugsmaschen verwenden betrügerische E-Mails, Textnachrichten, Social-Media-Inhalte oder Websites, um Benutzer dazu zu verleiten, Anmeldeinformationen weiterzugeben oder Malware herunterzuladen.
Ransomware ist eine Art von Malware, bei der Daten so lange verschlüsselt zurückgehalten werden, bis das Opfer ein Lösegeld zahlt.
Unter den betroffenen Unternehmen dieses Jahres gaben 39 % an, dass ihre Systeme von Ransomware angegriffen wurden, laut dem Bericht Cost of a Data Breach 2026. Solche Sicherheitsverletzungen sind in der Regel mit hohen Kosten verbunden, wobei allein die Lösegeldzahlungen oft Dutzende Millionen Dollar betragen.
Cyberkriminelle können sich Zugang zu einem Zielnetzwerk verschaffen, indem sie Schwachstellen in Websites, Betriebssystemen, Endpunkten, APIs und häufig verwendeter Software wie Microsoft Office oder anderen IT-Assets ausnutzen.
Bedrohungsakteure müssen ihre Ziele nicht direkt erreichen. Bei Angriffen auf die Lieferkette nutzen Hacker Schwachstellen in den Netzwerken von Dienstleistern und Lieferanten eines Unternehmens aus, um dessen Daten zu stehlen.
Wenn Hacker eine Schwachstelle finden, nutzen sie diese oft, um Malware im Netzwerk zu installieren. Spyware, die die Tastenanschläge eines Opfers und andere vertrauliche Daten aufzeichnet und an einen von den Hackern kontrollierten Server sendet, ist eine häufige Art von Malware, die bei Datenschutzverletzungen eingesetzt wird.
Eine weitere Methode, um direkt in Zielsysteme einzudringen, ist die SQL-Injektion, bei der Schwachstellen in den SQL-Datenbanken (Structured Query Language) von ungesicherten Websites ausgenutzt werden.
Hacker geben bösartigen Code in benutzerorientierte Felder wie Suchleisten und Anmeldefenster ein. Dieser Code veranlasst die Datenbank, private Daten wie Kreditkartennummern oder persönliche Daten von Kunden preiszugeben.
Bedrohungsakteure können Fehler von Mitarbeitern ausnutzen, um sich Zugang zu vertraulichen Informationen zu verschaffen. Laut dem Bericht Cost of a Data Breach 2026 sind menschliche Fehler für 23 % der Data Breaches verantwortlich, während IT-Ausfälle 22 % ausmachen.
So können beispielsweise falsch konfigurierte oder veraltete Systeme Unbefugten den Zugriff auf Daten ermöglichen, auf die sie keinen Zugriff haben sollten. Mitarbeiter können Daten preisgeben, indem sie sie an ungesicherten Orten aufbewahren, Geräte mit sensiblen Informationen auf ihren Festplatten verlegen oder Netzwerkbenutzern versehentlich übermäßige Zugriffsrechte gewähren. Cyberkriminelle nutzen möglicherweise auch IT-Ausfälle, etwa vorübergehende Systemausfälle, um sich in vertrauliche Datenbanken einzuschleichen.
Bedrohungsakteure können in Firmenbüros einbrechen, um die Geräte der Mitarbeiter (z. B. Laptops und Mobiltelefone), Papierdokumente und physische Festplatten mit sensiblen Daten zu stehlen. Angreifer können auch Skimming-Geräte auf physischen Kredit- und Debitkartenlesern platzieren, um Kartendaten zu sammeln.
Der Datendiebstahl bei TJX Corporation, der Muttergesellschaft der Einzelhändler TJ Maxx und Marshalls, im Jahr 2007 war damals der größte und teuerste Datendiebstahl in der US-Geschichte. Der Datenschutz von etwa 94 Millionen Kunden wurde gefährdet, und das Unternehmen erlitt finanzielle Verluste in Höhe von über 256 Millionen USD.
Die Hacker verschafften sich Zugriff auf die Daten, indem sie Traffic-Sniffer in den drahtlosen Netzwerken von zwei Geschäften platzierten. Die Sniffer ermöglichten es den Hackern, Informationen abzufangen, während sie von den Kassen der Geschäfte an die Backend-Systeme übertragen wurden.
Im Jahr 2013 erlebte Yahoo die vielleicht größte Datenschutzverletzung der Geschichte. Hacker nutzten eine Schwachstelle im Cookie-System des Unternehmens aus, um an die Namen, Geburtsdaten, E-Mail-Adressen und Passwörter aller 3 Milliarden Yahoo-Nutzer zu gelangen.
Das volle Ausmaß der Datenschutzverletzung wurde 2016 bekannt, als Verizon Gespräche über den Kauf des Unternehmens führte. Daraufhin reduzierte Verizon sein Übernahmeangebot um 350 Millionen USD.
Im Jahr 2017 drangen Hacker in die Kreditauskunftei Equifax ein und verschafften sich Zugriff auf die personenbezogenen Daten von mehr als 143 Millionen Amerikanern.
Die Hacker nutzten eine ungepatchte Schwachstelle in der Website von Equifax aus, um sich Zugang zum Netzwerk zu verschaffen. Die Hacker griffen dann lateral auf andere Server zu, um Sozialversicherungsnummern, Führerscheinnummern und Kreditkartennummern zu finden. Der Angriff kostete Equifax 1,4 Milliarden USD an Schadensersatz, Geldstrafen und anderen Kosten für die Behebung der Datenschutzverletzung.
Im Jahr 2020 führten russische Bedrohungsakteure mit einem Hack des Softwareanbieters SolarWinds einen Angriff auf die Lieferkette durch. Hacker nutzten Orion, die Netzwerküberwachungsplattform des Unternehmens, um heimlich Malware an die Kunden von SolarWinds zu verteilen.
Russische Spione verschafften sich Zugang zu den vertraulichen Informationen verschiedener US-Regierungsbehörden, darunter das Finanz-, Justiz- und Außenministerium, die die Dienste von SolarWinds nutzen.
Im Jahr 2021 infizierten Hacker die Systeme von Colonial Pipeline mit Ransomware und zwangen das Unternehmen, die Pipeline, die 45 % des Treibstoffs an der US-Ostküste liefert, vorübergehend abzuschalten.
Hacker drangen in das Netzwerk ein, indem sie das Passwort eines Mitarbeiters verwendeten, das sie im Dark Web gefunden hatten. Die Colonial Pipeline Company zahlte ein Lösegeld in Höhe von 4,4 Millionen USD in Kryptowährung, aber die Strafverfolgungsbehörden des Bundes konnten etwa 2,3 Millionen USD dieser Zahlung zurückholen.
Im Herbst 2023 stahlen Hacker die Daten von 6,9 Millionen 23andMe-Nutzern. Der Verstoß war aus mehreren Gründen bemerkenswert. Erstens erhielten die Angreifer einige unkonventionelle und sehr persönliche Informationen, darunter Stammbäume und DNA-Daten, da 23andMe Gentests durchführt.
Zweitens drangen die Hacker durch eine Technik namens „Credential Stuffing“ in Benutzerkonten ein. Bei dieser Art von Angriffen verwenden Hacker Anmeldedaten, die in früheren Leaks aus anderen Quellen aufgedeckt wurden, um in die Konten von Nutzern auf verschiedenen Plattformen einzudringen. Diese Angriffe funktionieren, weil viele Menschen dieselben Kombinationen aus Benutzernamen und Passwort auf verschiedenen Websites verwenden.
Laut dem Bericht Cost of a Data Breach 2026 dauert es branchenübergreifend durchschnittlich 247 Tage, um einen aktiven Data Breach zu erkennen und einzudämmen. Die Bereitstellung der richtigen Sicherheitslösungen kann Unternehmen helfen, diese Verstöße schneller zu erkennen und darauf zu reagieren.
Standardmaßnahmen im Bereich Risikomanagement wie z. B. regelmäßige Anfälligkeitsbewertungen, geplante Backups, rechtzeitiges Patchen und ordnungsgemäße Datenbankkonfigurationen, können dazu beitragen, einige Breaches zu verhindern und die Auswirkungen derjenigen, die auftreten, abzumildern.
Viele Unternehmen setzen heute jedoch fortschrittlichere Kontrollen und Best Practices ein, um mehr Sicherheitsverletzungen zu verhindern und den von ihnen verursachten Schaden deutlich zu verringern.
Unternehmen können spezielle Datensicherheit Lösungen bereitstellen, um vertrauliche Daten automatisch zu erkennen und zu klassifizieren, Verschlüsselung und andere Schutzmaßnahmen anzuwenden und in Echtzeit Erkenntnis in die Datennutzung zu erhalten.
Unternehmen können den Schaden durch Sicherheitsverletzungen begrenzen, indem sie formelle Notfallpläne zur Erkennung, Eindämmung und Beseitigung von Cyber-Bedrohungen einführen. Laut dem Bericht Cost of a Data Breach 2026 war der dritthäufigste Bereich für Sicherheitsinvestitionen im Jahr 2026 die IR-Planung und -Tests mit 43 % aller Befragten.
Laut dem Bericht Cost of a Data Breach 2026 lösen Unternehmen, die künstliche Intelligenz (KI) und Automatisierung in den Sicherheitsbetrieb integrieren, Sicherheitsverletzungen 65 Tage schneller als diejenigen, die dies nicht tun. Der Bericht zeigt auch, dass KI und Automatisierung im Sicherheitsbereich die Kosten einer durchschnittlichen Sicherheitsverletzung um 1,93 Millionen USD senken.
Viele Tools für Datensicherheit, Schutz vor Datenverlust und Identity und Access Management (IAM) integrieren inzwischen KI und Automatisierung.
Da Social-Engineering- und Phishing-Angriffe die Hauptursachen für Datenschutzverletzungen sind, kann die Schulung von Mitarbeitern zur Erkennung und Vermeidung dieser Angriffe das Risiko einer Datenschutzverletzung für ein Unternehmen verringern. Darüber hinaus kann die Schulung von Mitarbeitern im richtigen Umgang mit Daten dazu beitragen, versehentliche Datenschutzverletzungen und Datenlecks zu verhindern.
Password Manager, Zwei-Faktor-Authentifizierung (2FA) oder Multifaktor-Authentifizierung (MFA), Single Sign-on (SSO) und andere Identity und Access Management (IAM)-Tools können Mitarbeiterkonten, VPNs und Zugangsdaten vor Diebstahl schützen.
Unternehmen können auch rollenbasierte Zugriffskontrollen und das Prinzip der geringsten Privilegien durchsetzen, um den Zugriff der Mitarbeiter auf die Daten zu beschränken, die sie für ihre Aufgaben benötigen. Diese Richtlinien können dazu beitragen, sowohl Insider-Bedrohungen als auch Hacker zu stoppen, die legitime Konten kapern.