Tous Actualités
Suivre
Abonner Hammer Hosig Herzog & Associates AG

Hammer Hosig Herzog & Associates AG

Datensicherheit ist Chefsache, nicht nur im Schadensfall

Zürich (ots)

Viele Unternehmensverantwortliche sind sich ihrer
Verantwortung und Haftung im Zusammen¬hang mit Daten- und 
Informationssicherheit nicht bewusst. Dabei können die Konsequenzen 
eines "Datendiebstahls" für die Bank straf-, verwaltungs- und 
zivilrechtlicher Natur sein und somit auch die 
Unternehmensverantwortlichen treffen. Damit die Datensicherheit nicht
erst im Schadensfall zur Chefsache wird, sollte ein Verwaltungsrat 
und die Geschäftsführung sich seiner Aufgaben und Bedeutung bewusst 
sein.
Jede Bank - und somit auch der jeweils verantwortliche Mitarbeiter
- hat die Aufgabe, im Bereich der Informations- und Datensicherheit 
aktiv möglichen Risiken wie "Datendiebstahl" oder anderen 
Notfallsituationen entgegenzuwirken. Dies muss durch organisatorische
und technische Massnahmen sowie datenschutzrechtlich erforderliche 
Massnahmen geschehen. Vielen Unternehmensverantwortlichen - gleich ob
Verwaltungsrat, Geschäftsführer oder angestellter IT-Administrator - 
sind aber Inhalt und Umfang ihrer Verantwortung und damit ihrer 
Haftung gegenüber ihren Unternehmen bzw. Dritten nicht bewusst.
Die Folgen des "Datendiebstahls" treffen neben dem Kunden auch die 
Bank, und zwar mit möglichen straf-, verwaltungs- und 
zivilrechtlichen Konsequenzen, ganz zu schweigen von den damit 
verbundenen Reputationsschäden. Hierunter sind Image- und 
Glaubwürdigkeitsschäden zu verstehen, die eine Folge des 
Vertrauensverlustes der Kunden sind. Durch den unzureichenden Schutz 
der Privatsphäre bzw. einer verspäteten Benachrichtigung über den 
Missbrauch von Bankkundendaten sehen Kunden ihre Interessen nicht 
gewahrt. Dies führt in dem entstehenden Teufelskreis dazu, dass die 
Geschäftsbeziehungen zwischen der Bank und den Kunden beendet werden.
Damit wird wiederum Kundenvermögen abgezogen, womit sich die 
operativen Erträge eines Institutes verringern. Dies ist die Folge 
davon, dass die Kundendaten in den Augen des Kunden unsicher 
aufbewahrt wurden. Damit verliert die Bank gegenüber Ihren Kunden an 
Glaubwürdigkeit, die Kundeninteressen (Schutz der Privatsphäre) auch 
in Zukunft zu wahren. Einen weiteren Faktor bilden die 
verwaltungsrechtlichen Konsequenzen. Dies können insbesondere 
Sonderuntersuchungen des Eidgenössischen Datenschutzbeauftragten und 
der Eidgenössische Finanzmarktaufsicht (FINMA) sowie entsprechende 
Bussen sein. Bei einer unzureichenden Organisation hat die FINMA 
sogar die Kompetenz, der Bank die Bewilligung nach dem Bankengesetz 
(BankG) zu entziehen. Gegenstand der Untersuchungen werden 
strafbewehrte Verletzungen des Bankgeheimnisses (Art. 47 BankG) sein.
Bereits das Ausserachtlassen der erforderlichen Sorgfalt im 
Zusammenhang mit dem Bankgeheimnis kann mit einer Busse von bis zu 
250'000 Franken bestraft werden. Zivilrechtlich kann der Kunde 
Ansprüche geltend machen, die von der Vertragsauflösung bis hin zum 
Schadenersatz wegen Vertragsverletzung oder unerlaubter Handlung 
reichen. Auslöser solcher Ansprüche kann die Pflicht der Bank zur 
Information des Kunden über den "Datenklau" sein.
Vorsorge ist Chefsache
Nicht "nur" die rechtlichen Konsequenzen, auch der drohende 
wirtschaftliche Schaden und die mit der Datenschutzverletzung 
verbundenen Reputationsschäden führen dazu, dass eine entsprechende 
Vorsorge zur Chefsache zu erklären ist. Ebenso verpflichten bereits 
das Datenschutzgesetz und die Organisationsvorschriften für Banken 
und Sparkassen die Unternehmensleitung dazu, Bankkundendaten zu 
sichern.
Die Geschäftsleitung hat die Pflicht, das Tagesgeschäft 
ordnungsgemäss auszuüben und damit die gesetzlichen Pflichten zur 
Datensicherheit nach dem Datenschutzgesetz (Art. 7 DSG) und gemäss 
anderen bankenspezifischen Vorgaben zu erfüllen. So müssen 
Personendaten durch angemessene technische und organisatorische 
Massnahmen gegen unbefugtes Bearbeiten geschützt werden. Die 
entsprechenden Mindestanforderungen hat der Gesetzgeber in den Art. 8
bis 12 der Verordnung zum Datenschutzgesetz (VDSG) aufgestellt.
Den Verwaltungsrat einer Bank trifft zwar nicht die Pflicht zur 
Geschäftsführung, ihm verbleiben aber die Pflichten nach Art. 716a 
des Obligationenrechts. So ist er unter anderem für die Oberleitung 
der Bank verantwortlich. Damit ist die strategische Führung des 
Unternehmens und der Geschäftstätigkeiten gemeint. Somit ist der 
Verwaltungsrat auch für die Informationsstrategie, welche auch die 
Datensicherheit beinhaltet, verantwortlich. Fehlen ihm diesbezüglich 
die Fachkenntnisse, ist er verpflichtet, Berater hinzuzuziehen. Die 
Pflicht zur Organisation und Oberaufsicht heisst auch, dass ein 
zweckmässiges System zur Berichterstattung eingerichtet sein muss, 
über das sich der Verwaltungsrat bezüglich der Umsetzung seiner 
Vorgaben informieren kann.
Datensicherheit wird in der Regel vernachlässigt
Der Grossteil der Führungskräfte misst der Daten- bzw. 
Informationssicherheit zwar eine wichtige Rolle im Unternehmen bei, 
jedoch befassen sich die wenigsten umfassend mit dem Thema und 
vernachlässigen dieses bei der Prioritätensetzung. Risikovermeidung, 
Schadensvorbeugung und die entsprechenden Massnahmen sollten jedoch 
für jeden, der für Kundendaten Verantwortung trägt, ein prioritär zu 
behandelndes Thema sein - sowohl im Interesse des Kunden, des 
Unternehmens als auch aus Eigeninteresse im Hinblick auf eine 
mögliche persönliche Inanspruchnahme.
Durch eine Investition in die Datensicherheit erhöht sich nicht nur 
die Sicherheit vor künftigen Datenschutzverletzungen, sondern es 
verbessert zugleich auch die Reputation der Bank am Markt. Ein 
Institut trägt soziale Verantwortung, die als Teil der Corporate 
Governance anzusehen ist. So gilt es auch für eine Bank, 
Datensicherheit herzustellen und wirksame 
Datenschutzprogramme/Verhaltensrichtlinien zu kommunizieren, zu 
verbreiten und durchzusetzen sowie das Risikobewusstsein der 
Mitarbeiter zu fördern, um das Vertrauen der Kunden zu gewinnen. Dies
führt zu einer Stärkung der Kundenbeziehungen und Wettbewerbsposition
des Finanzinstitutes.
Ein effektives Management von Bankkundendaten soll also nicht nur 
eine Pflicht sein und sich auf den Mindestanforderungen an 
Datenschutz und Sicherheit ausruhen. Vielmehr müssen diese Massnahmen
auch angemessen und demnach aktuell sein. Ein Geschäftsführer oder 
Verwaltungsrat muss folglich in der Lage sein, die Frage zu 
beantworten, was für seine Bank ein angemessener Schutz ist.
Jeder Verantwortliche sollte sich daher einige Fragen stellen:
-	Was hat mein Unternehmen, was habe ich aus den Missbrauchsskandalen
von Bankkundendaten gelernt?
-	Wurden Sicherungsmassnahmen eingeführt?
-	Hat die Unternehmensleitung ihre eigene Verantwortlichkeit dafür 
überhaupt erkannt?
-	Wird versucht, das Risiko Mensch zu bewältigen?
Mittels einer Studie zur Informations- und Datensicherheit in 
Schweizer Banken - durchgeführt von der Unternehmensberatung Hammer 
Hosig Herzog & Associates AG - werden erste Lehren der 
Bankenlandschaft aus dem Missbrauch der Bankkundendaten in 
Liechtenstein und der Schweiz gezogen.
Hammer Hosig Herzog & Associates AG ist eine Schweizer 
Unternehmensberatung mit Fokussierung auf Business Consulting für 
Finanzdienstleistungsunternehmen. Ihr Themen-Portfolio umfasst die 
Competence Center Client Facing Solutions, Risk Management & 
Compliance sowie Business Performance Management.

Kontakt:

Hammer Hosig Herzog & Associates AG
Patrick Gregorkiewicz
Seestrasse 520
CH-8038 Zürich
Tel. +41 (0)44 480 12 00
Fax +41 (0)44 480 12 06
E-Mail pgregorkiewicz@hhh-associates.com
Internet www.hhh-associates.com

Plus de actualités: Hammer Hosig Herzog & Associates AG
Plus de actualités: Hammer Hosig Herzog & Associates AG