Auswirkungen von Unternehmensdatenlecks auf die digitale Reputation: Vertrauen, Krise und Erholung

Eine Datenschutzverletzung ist nicht nur ein technischer Vorfall, den das Informationssicherheitsteam lösen muss. Werden Kundendaten unbefugt erlangt oder zugänglich, kann dies die Glaubwürdigkeit der Marke und die Beziehung der Kunden zum Unternehmen unmittelbar beeinträchtigen.

Es gibt jedoch keine feste prozentuale oder durchschnittliche Kundenverlustrate, die für jedes Unternehmen gilt. Die Art der Verletzung, die betroffenen Daten, die Kundenbasis, die Kommunikation und die Qualität der Reaktion auf den Vorfall verändern das Ergebnis.

Warum wird eine Datenschutzverletzung zum Reputationsrisiko?

Für Nutzer ist häufig eine Frage wichtiger als technische Details: „Hat das Unternehmen meine Daten geschützt und mich nach dem Vorfall richtig informiert?“

Die Reputationswirkung kann insbesondere in folgenden Bereichen zutage treten:

Kundenvertrauen,
Suchanfragen zum Markennamen,
Gespräche über soziale Medien,
Kundenbetreuungswünsche,
Nachrichtensichtbarkeit,
Bewertungs- und Beschwerdeverhalten.

Erster Schritt: Überprüfen Sie den Vorfall

Die Krisenkommunikation sollte nicht getrennt von der technischen Untersuchung erfolgen.

Zunächst klarstellen:

wann der Vorfall bekannt wurde,
welche Systeme betroffen waren,
welche Datenkategorien betroffen sind,
ob der unbefugte Zugriff fortgesetzt wird,
ob der Vorfall eingedämmt wurde

Diese Punkte müssen geklärt werden.

Die 72-Stunden-Regel

Nach dem Beschluss Nr. 2019/10 des türkischen Datenschutzrats vom 24. Januar 2019 bedeutet „so bald wie möglich“ im KVKK: unverzüglich und spätestens innerhalb von 72 Stunden nachdem der Verantwortliche von der Verletzung Kenntnis erlangt hat.

Diese Frist bedeutet nicht, dass das Kommunikationsteam 72 Stunden warten muss, um eine öffentliche Erklärung abzugeben oder eine Erklärung genau zur 72. Stunde abzugeben. Rechtliche Notifikation und Krisenkommunikation sind miteinander verknüpft, aber unterschiedliche Prozesse.

Kommunikation mit betroffenen Personen

Sobald die betroffenen Personen feststehen, sollten sie korrekte, verständliche Informationen erhalten, aus denen konkrete Handlungsmöglichkeiten hervorgehen.

Die Mitteilung sollte klar und deutlich lauten:

Was ist passiert,
welche Daten betroffen sein könnten,
die Maßnahmen des Unternehmens,
die Vorsichtsmaßnahmen, die die Anwender treffen können,
der Kontaktkanal

Diese Angaben sollten klar benannt werden.

Spekulationen vermeiden

Eine Identität eines Angreifers, die Datenmenge oder die Ursache des Vorfalls sollten nicht als etablierte Fakten dargestellt werden, bevor sie technisch überprüft wurden.

Eine falsche Erstaussage kann nach der Datenverletzung selbst zu einer zweiten Vertrauenskrise werden.

Wie wird die Reputation von Marken gemessen?

Statt pauschaler, unbelegter „Prozentsätze für Reputationsverluste“ können die eigenen Ausgangsdaten des Unternehmens genutzt werden.

Wachstumsgeschwindigkeit der Erwähnungen,
gewichtete Einschätzung,
Änderungen bei Markenrecherchen,
Trends bei Kundenbewertungen,
Anzahl der Supporttickets,
Antwort-SLA,
Nach der Krise Erholungszeit.

Reputation in Suchmaschinen

Die Nachricht von einer Datenverletzung kann auch nach Beendigung der Krise bei der Suche nach der Marke weiter auftreten.

Nach der Krise sollte das Unternehmen daher folgende Inhalte zugänglich halten:

seine aktuelle amtliche Erklärung,
Sicherheitsaktualisierungen,
häufig gestellte Fragen

Diese Inhalte sollten auf den eigenen verifizierten digitalen Kanälen zugänglich bleiben.

Überprüfung nach dem Vorfall

Der Vorfall sollte nicht allein deshalb abgeschlossen werden, weil die technische Behebung erfolgt ist.

Fragen zu prüfen:

Wann wurde die erste Warnung erhoben?
Wann wurde der Vorfall bekannt?
Hat die Eskalation richtig funktioniert?
Arbeiteten Rechts-, IT- und Kommunikationsteams mit denselben Fakten?
Wie lange hat es gedauert, um Kundenfragen zu beantworten?
Welche technischen und administrativen Kontrollen wurden geändert?

Checkliste zur Reputation nach einer Datenschutzverletzung

Wurde der Zeitpunkt der Kenntniserlangung dokumentiert?
Wurde der Umfang der Verletzung überprüft?
Wird der 72-Stunden-KVKK-Prozess gesteuert?
Ist die Kommunikation mit betroffenen Personen geplant?
Gibt es ein einziges verifiziertes Nachrichtenzentrum?
Werden Social Listening und Suchanfragen zum Markennamen überwacht?
Werden Fehlinformationen und gefälschte Posts verfolgt?
Wurde der Vorfall im Nachgang ausgewertet?

Der Ansatz B10

B10 Digital Agency betrachtet digitale Risiken nach einer Datenschutzverletzung gemeinsam mit dem technischen Vorfall, den rechtlichen Pflichten und der Online-Reputation.

Offizielle Quelle

KVKK – Beschluss Nr. 2019/10 vom 24. Januar 2019 zur Meldung von Datenschutzverletzungen

Fazit

Die Reputationsfolgen einer Datenschutzverletzung sollten anhand der tatsächlichen Kunden-, Such-, Support- und Social-Listening-Daten des Unternehmens gemessen werden statt mit unbelegten pauschalen Prozentsätzen. Für den Vertrauenserhalt ist vor allem eine schnelle, faktenbasierte und konsistente Vorfallbearbeitung wichtig.

Dieser Inhalt dient nur zur allgemeinen Information.