Warum 46 % der Unternehmen eigene Datenschutzverstöße nicht erkennen (Kiteworks 2025 Survey Report)

Neue Forschungsergebnisse zeigen, dass fehlende Transparenz eine Kettenreaktion an Schwachstellen auslöst und Unternehmen weltweit angreifbar macht

Als wir diese Forschungsreihe vor vier Jahren starteten, rechneten wir mit stetigen Fortschritten bei der IT-Sicherheit in Unternehmen. Stattdessen offenbart sich eine besorgniserregende Entwicklung: 46 % der Unternehmen agieren weiterhin völlig blind gegenüber ihrem tatsächlichen Risiko. Das ist nicht nur ein technisches Problem – es ist eine Transparenzkrise, die zu Kettenreaktionen an Schwachstellen führt und Unternehmen Millionen durch unentdeckte Datenschutzverstöße und Rechtsstreitigkeiten kostet.

Seit Beginn der Studie im Jahr 2022 beobachten wir die Entwicklung von der Erhebung einfacher Sicherheitskennzahlen bis hin zur Identifikation komplexer, miteinander verknüpfter Risikomuster. Jedes Jahr befragen wir Security- und Compliance-Verantwortliche aus verschiedenen Branchen und Regionen und gleichen deren Angaben mit realen Vorfallzahlen ab. Die diesjährigen Ergebnisse von 461 Unternehmen sind die bislang alarmierendsten: Wenn Unternehmen grundlegende Sicherheitsfragen – von der Anzahl der Drittparteien bis zur Nutzung von KI-Daten – nicht beantworten können, handelt es sich nicht um vereinzelte Wissenslücken. Es fehlt die entscheidende Transparenz über die gesamte Sicherheitslandschaft hinweg.

Der Data Security and Compliance Risk Report 2025 belegt erstmals, was wir seit Jahren vermuten: Sicherheitsblindheit ist ansteckend. Eine „Weiß nicht“-Antwort zieht mit hoher Wahrscheinlichkeit weitere nach sich und löst eine Kaskade an Schwachstellen aus, die beherrschbare Risiken zu existenziellen Bedrohungen werden lässt.

Die Entwicklung des Unternehmensdatenrisikos: Von einfachen Kennzahlen zu komplexen Mustern

Als wir 2022 begannen, Sicherheitskennzahlen zu erfassen, war die Lage grundlegend anders. Wir maßen Verschlüsselungsraten, berechneten Compliance-Kosten und zählten Lieferantenbeziehungen. Diese Datenpunkte waren wichtig, erzählten aber jeweils nur einen isolierten Teil der Sicherheitslage und erfassten nicht die vernetzte Natur moderner Risiken.

Vier Jahre und tausende validierte Antworten später erkennen wir, was uns entgangen ist: Sicherheitsherausforderungen existieren nicht isoliert – sie verstärken sich in vorhersehbaren, messbaren Mustern. Was als einfache Untersuchung zum Schutz sensibler Inhalte begann, hat sich zu einem tiefen Verständnis entwickelt, wie sich Sicherheitsversagen gegenseitig verstärken und einzelne Schwächen das gesamte Ökosystem beeinflussen.

Die diesjährigen Daten, abgeglichen mit realen Datenschutzverstößen der teilnehmenden Unternehmen, quantifizieren diese Kaskadeneffekte erstmals. Wir können nun messen, wie schon die Unfähigkeit, die Anzahl der Drittparteien zu erfassen, die Häufigkeit von Datenschutzverstößen, Verzögerungen bei deren Erkennung und die Kosten für Rechtsstreitigkeiten mit erstaunlicher Präzision vorhersagt. Noch wichtiger: Wir haben die Faktoren identifiziert, die leistungsstarke Sicherheitsorganisationen von denen unterscheiden, die im Krisenmodus gefangen sind.

Die Entdeckung, die alles veränderte: Transparenz entscheidet über Erfolg oder Scheitern

Die wichtigste Erkenntnis aus den 2025er Daten betrifft die Transparenz in Unternehmen – oder deren Fehlen. Wenn Unternehmen auf grundlegende Sicherheitsfragen mit „Weiß nicht“ antworten, deutet das auf systemische Blindheit hin, nicht auf vereinzelte Wissenslücken. Dieses Muster zeigte sich durchgängig in allen Branchen, Regionen und Unternehmensgrößen.

Betrachten Sie diese scheinbar einfache Frage: „Wie viele Drittparteien hat Ihr Unternehmen?“

Die Unfähigkeit, diese grundlegende Frage zu beantworten, korreliert mit katastrophalen Sicherheitsversagen:

Tabelle 1: Der Kaskadeneffekt fehlender Transparenz

Vier zentrale Transparenzdefizite sagen Sicherheitsresultate mit hoher Genauigkeit voraus:

Unbekannte Anzahl Drittparteien: Diese Unternehmen agieren dauerhaft im Reaktionsmodus und können Datenflüsse oder Risiken nicht systematisch erfassen. Unsere Analyse zeigt: 46 % der Unternehmen können ihre Drittparteien nicht genau beziffern. Bei denselben Unternehmen besteht eine 42,3%ige Korrelation mit unbekannter Vorfallhäufigkeit – sie wissen buchstäblich nicht, ob sie kompromittiert wurden. Im Alltag greifen vergessene Lieferanten auf kritische Systeme zu und schaffen Schatten-IT-Schwachstellen, die Angreifer gezielt ausnutzen.

Unbekannte KI-Datennutzung: 36 % der Unternehmen mit KI setzen keinerlei Datenschutzmaßnahmen ein und führen unkontrollierte Experimente mit sensiblen Daten in nie dagewesenem Ausmaß durch. Die Geschwindigkeit der KI-Einführung übertrifft die Governance-Fähigkeiten bei Weitem. Unternehmen, die den Anteil sensibler Daten in KI-Systemen nicht beziffern können, verzeichnen deutlich mehr Datenschutzvorfälle und längere Erkennungszeiten. Sie betreiben letztlich riesige Datenverarbeitungsprozesse ohne Kontrolle oder Aufsicht.

Unbekannte Compliance-Stunden: Zwischen 20 % und 26 % der Sicherheitsverantwortlichen können den Zeitaufwand für Compliance nicht quantifizieren – das verhindert die Optimierung manueller Prozesse, die jährlich tausende Stunden kosten. Diese Intransparenz führt zu einem Teufelskreis: Unternehmen können nicht verbessern, was sie nicht messen, und investieren immer mehr Zeit in manuelle Aufgaben statt in Automatisierung oder Prozessoptimierung.

Unbekannte Erkennungszeiten: Besonders kritisch: 46 % der Unternehmen mit schlechter Drittparteientransparenz kennen die Verweildauer von Datenschutzvorfällen nicht. In der IT-Sicherheit gilt: Zeit ist Geld – und unerkannte Vorfälle führen zu exponentiell steigenden Kosten. Jeder Tag, an dem ein Vorfall unentdeckt bleibt, erhöht die Sanierungskosten im Schnitt um 10.000 US-Dollar – ohne Bußgelder, Rechtskosten und Imageschäden.

1.001–5.000 Drittparteien: Die „Gefahrenzone“, in der Risiken explodieren

Die aktuellen Daten identifizieren einen spezifischen Bereich beim Lieferantenvolumen, der das Risiko unverhältnismäßig erhöht und herkömmliche Annahmen zu Größe und Sicherheit widerlegt. Unternehmen mit 1.001 bis 5.000 Partnern erzielen bei allen gemessenen Kennzahlen die schlechtesten Sicherheitswerte:

Tabelle 2: Risikokennzahlen nach Drittparteien-Volumen

Diese Gefahrenzone entsteht durch einen perfekten Sturm aus konkurrierenden Anforderungen, die einzigartige Schwachstellen schaffen:

Komplexität ohne Kapazität: Diese Unternehmen sind der manuellen Lieferantenverwaltung entwachsen. Security-Teams können 100 Lieferanten persönlich prüfen, mit exzellenten Prozessen vielleicht 500 – aber bei über 1.000 Beziehungen versagt das menschliche Management. Gleichzeitig fehlt meist das Budget für automatisierte Enterprise-Kontrollen.

Transparenzverlust: In dieser Größenordnung versagen Excel-Listen, E-Mail-basierte Prozesse brechen zusammen, und Einzellösungen schaffen mehr Lücken als sie schließen. Im Schnitt nutzen Unternehmen 7–12 verschiedene Tools zur Verwaltung von Lieferanten – ohne effektive Integration. Das Ergebnis: eine Flickenteppich-Transparenz, die trügerische Sicherheit vermittelt und massive blinde Flecken hinterlässt.

Attraktives Angriffsziel: Raffinierte Angreifer zielen gezielt auf diese Größenordnung. Diese Unternehmen sind groß genug für wertvolle Daten und komplex genug für Sicherheitslücken, aber verfügen nicht über die Ressourcen echter Großunternehmen. Laut unseren Threat-Intelligence-Partnern richteten sich 73 % der Supply-Chain-Angriffe 2024 gegen Unternehmen dieser Größenordnung.

Ressourcenungleichgewicht: In der Gefahrenzone versuchen Security-Teams mit 5–15 Personen, Komplexität auf Enterprise-Niveau zu bewältigen. Sie unterliegen denselben regulatorischen Vorgaben wie Fortune-500-Unternehmen, aber mit einem Bruchteil der Ressourcen. Das führt zu einer Überforderung, die Fehler, Versäumnisse und Burnout begünstigt.

Interessanterweise verbessern sich einige Kennzahlen bei Unternehmen mit über 5.000 Partnern, da auf dieser Ebene endlich Enterprise-Kontrollen genehmigt werden. Die Gefahrenzone bleibt bestehen, weil sie gezielte Angriffe anzieht, ohne dass das Budget für umfassende Abwehrmaßnahmen bereitgestellt wird.

KI-Einführung ohne Governance: Der Realitätscheck 2025

Während KI-Transformation die Technologiediskussionen dominiert, zeigt unsere Analyse eine Governance-Lücke, die neue Angriffsvektoren in nie dagewesenem Ausmaß schafft. Die Geschwindigkeit der KI-Einführung übertrifft die Entwicklung von Governance-Frameworks deutlich – es herrscht ein Wildwest-Szenario, in dem sensible Daten ohne Aufsicht oder Kontrolle in KI-Systeme fließen.

Nur 17 % der Unternehmen haben technische KI-Governance-Frameworks implementiert – eine erschreckend niedrige Zahl angesichts der Risiken. Das bedeutet: 83 % der KI-nutzenden Unternehmen fehlt die technische Kontrolle, um Datenabfluss zu verhindern, Compliance sicherzustellen oder überhaupt zu wissen, welche Daten ihre KI-Systeme verarbeiten.

Der Zusammenhang zwischen KI-Transparenz und Sicherheitslage ist deutlich. Unternehmen, die KI-generierte Inhalte messen, weisen ein ganz anderes Sicherheitsprofil auf:

Reifegrade der KI-Governance:

• Technische Kontrollen mit Data Loss Prevention: 17 % Implementierung (höchste Wirksamkeit)
• Eingeschränkte Nutzung mit Schulungen und Audits: 27 % Implementierung (mittlere Wirksamkeit)
• Richtlinien mit Mitarbeiterermessen: 21,2 % Implementierung (begrenzte Wirksamkeit)
• Warnhinweise ohne Durchsetzung: 19,6 % Implementierung (minimale Wirkung)
• Keine spezifischen Richtlinien: 10,3 % (völlige Intransparenz)

Am alarmierendsten: Bei Unternehmen ohne Wissen über ihre KI-Nutzung verzichten 36 % vollständig auf Datenschutzmaßnahmen. Sie führen unkontrollierte Experimente mit ihren sensibelsten Daten durch, oft ohne es zu merken. Mitarbeitende nutzen KI-Tools für den Privatgebrauch und setzen dabei Geschäftsgeheimnisse, Kundendaten und geistiges Eigentum Systemen mit unklaren Datenhaltungs- und Nutzungsrichtlinien aus.

Unternehmen mit 16–30 % KI-generierten Inhalten zeigen besonders kritische Muster – sie messen zwar, verfügen aber über unzureichende Kontrollen. Das ist, als würde man beim Autofahren die Geschwindigkeit überwachen, aber keinen Sicherheitsgurt anlegen. Sie wissen um das Risiko, haben aber keine wirksamen Schutzmaßnahmen implementiert.

Die Lücke zwischen Angst und Handeln ist besonders besorgniserregend. Zwischen 67 % und 75 % der Unternehmen äußern große Sorge vor Datenabfluss aus KI-Modellen, aber nur 25 % haben sinnvolle Governance-Frameworks eingeführt. Diese Diskrepanz zwischen Bewusstsein und Umsetzung schafft eine gefährliche Lage, in der Unternehmen die Bedrohung zwar erkennen, sich aber machtlos fühlen, sie zu adressieren.

Regionale Sicherheitsmuster: Stärken und Schwächen im internationalen Vergleich

Regionale Unterschiede bei Regulierung, Unternehmenskultur und Bedrohungslage führen zu unterschiedlichen Sicherheitsprofilen, die wertvolle Erkenntnisse für global agierende Unternehmen liefern. Jede Region hat eigene Ansätze entwickelt, geprägt durch lokale Anforderungen, Gesetze und kulturelle Faktoren:

Nordamerika: Das von Rechtsstreitigkeiten geprägte Modell

Mit 23 % der Unternehmen mit mehr als 20.000 Mitarbeitenden – dem weltweit höchsten Anteil – agieren nordamerikanische Unternehmen in beispiellosem Maßstab. Das bringt besondere Herausforderungen und Chancen:

Stärken: Nordamerikanische Unternehmen führen bei der Implementierung von KI-Kontrollen mit 32 %, getrieben vor allem durch die Angst vor Rechtsstreitigkeiten. Der durchschnittliche Datenschutzvorfall kostet in Nordamerika inzwischen 4,45 Mio. US-Dollar, und Kaliforniens strenge Datenschutzgesetze erhöhen das Risiko zusätzlich. Diese Angst hat Investitionen in technische Kontrollen und automatisierte Überwachungssysteme vorangetrieben.

Schwächen: Der Fokus auf Verteidigungsstrategien hemmt manchmal Innovationen. Unternehmen berichten, dass sie 40 % mehr Zeit für Compliance-Dokumentation aufwenden als ihre europäischen Pendants – oft zulasten proaktiver Sicherheitsverbesserungen. Die Betonung von Haftungsvermeidung statt echter Sicherheit führt dazu, dass Unternehmen zwar gesetzeskonform, aber praktisch verwundbar sind.

Besondere Herausforderungen: Innovation und Haftungsrisiko auszubalancieren, führt in manchen Unternehmen zu Lähmung. Security-Teams stehen unter dem Druck, KI für Wettbewerbsvorteile einzuführen und gleichzeitig jegliche Datenexponierung zu verhindern – ein unmögliches Mandat, das zu übermäßigen Restriktionen oder gefährlicher Nachlässigkeit führt.

Europa: Regulierung als Motor für Exzellenz

Die Einführung der DSGVO hat gezeigt, dass durchdachte Regulierung echte Sicherheitsverbesserungen bewirken kann – und nicht nur Compliance-Theater:

Stärken: Europäische Unternehmen haben mit 58 % die höchste IT-Spezialistenquote (Nordamerika: 41 %). Sie führen weltweit bei der Einführung von Datenschutztechnologien – 80 % berichten von positiven Effekten durch die DSGVO. Der regulatorische Druck hat echte Fähigkeiten geschaffen, nicht nur Papierberge.

Schwächen: Die Vielzahl überlappender Frameworks – DSGVO, NIS 2, DORA, EU Data Act – droht die Vorteile zu überlagern. Unternehmen berichten, dass sie immer mehr Zeit für die Interpretation und Zuordnung von Vorgaben aufwenden, statt für die eigentliche Sicherheitsumsetzung.

Besondere Herausforderungen: Die Frist für den EU Data Act im September 2025 rückt näher, aber nur 23 % der Unternehmen sind vollständig vorbereitet. Die Komplexität der Anforderungen an Datenportabilität und Interoperabilität wurde von vielen unterschätzt.

Asien-Pazifik: Die Verschlüsselungs-Vorreiter

APAC-Unternehmen zeigen, was fokussierte Umsetzung auch mit begrenzten Ressourcen erreichen kann:

Stärken: 56 % setzen Verschlüsselung für 76–100 % ihrer sensiblen Daten ein – weltweit Spitze. APAC-Unternehmen beweisen, dass grundlegende Schutzmaßnahmen unabhängig von Größe oder Ressourcen effektiv implementiert werden können. Dieser Fokus auf Kernschutz sorgt für bessere Ergebnisse als komplexere, aber schlecht umgesetzte Strategien.

Schwächen: 35 % geben an, KI-Risiken nicht zu kennen – Innovation überholt Governance regelmäßig. Die schnelle Einführung neuer Technologien ohne begleitende Governance schafft Schwachstellen, die raffinierte Angreifer zunehmend ausnutzen.

Besondere Herausforderungen: Das Gleichgewicht zwischen schnellem Wachstum und Sicherheitsreife ist schwer zu halten. APAC-Unternehmen wachsen oft in Monaten von Start-up zu Enterprise, sodass die Sicherheitsinfrastruktur gefährlich hinterherhinkt.

Mittlerer Osten: Der Mensch als entscheidender Faktor

Organisationen im Nahen Osten zeigen, dass Technologie allein nicht über den Sicherheitsstatus entscheidet:

Stärken: 51 % führen regelmäßige Compliance-Schulungen durch (weltweit Spitze), 36 % verlangen Sicherheitszertifizierungen. Investitionen in Menschen zahlen sich aus. Die Betonung von Security Awareness und Weiterbildung schafft eine Kultur, in der Sicherheit zur Gemeinschaftsaufgabe wird.

Schwächen: Die Implementierung technischer Kontrollen hinkt hinterher, automatisierte Überwachung und Reaktion sind weniger verbreitet. Dadurch müssen gut geschulte Mitarbeitende technische Defizite kompensieren – das führt zu Überlastung und Fehlern.

Besondere Herausforderungen: Die schnelle Digitalisierung traditionell papierbasierter Branchen schafft neue Schwachstellen. Unternehmen müssen gleichzeitig digitale Infrastruktur und Sicherheitskompetenz aufbauen – oft ohne etablierte Best Practices oder regionale Expertise.

Privacy-Enhancing Technologies: Der Reifegrad trennt die Spreu vom Weizen

Trotz nachgewiesener Vorteile und wachsender Verfügbarkeit bleibt die Einführung von Privacy-Enhancing Technologies (PETs) branchen- und regionsübergreifend enttäuschend niedrig. Das ist eine der größten verpassten Chancen der Cybersicherheit heute.

Unsere Analyse zeigt eine klare Hierarchie der Einführung, die sowohl technische Komplexität als auch organisatorische Reife widerspiegelt:

Gateway-Technologien (30–45 % Einführung):

• Data Minimization: Die am einfachsten umsetzbare PET, die vor allem Änderungen in der Policy erfordert, nicht in der Technik. Unternehmen profitieren sofort, wenn sie weniger Daten erheben und speichern.
• Zero-Trust Exchange: Mittlere Komplexität, aber hoher Effekt – besonders für Unternehmen mit komplexen Partnerökosystemen.

Intermediate-Technologien (15–25 % Einführung):

• Secure Multi-Party Computation: Ermöglicht Datenaustausch ohne Offenlegung – entscheidend für Branchen, die Zusammenarbeit bei gleichzeitiger Wahrung der Vertraulichkeit benötigen.
• Confidential Computing: Hardwarebasierter Schutz, der hohe Sicherheit bietet, aber Investitionen in Infrastruktur erfordert.

Advanced-Technologien (<15 % Einführung)

• Homomorphic Encryption: Erlaubt Berechnungen auf verschlüsselten Daten, benötigt aber erhebliche Rechenleistung und Expertise.
• Federated Learning: Ermöglicht KI-Training ohne zentrale Datenspeicherung, verlangt aber anspruchsvolle Implementierung.

Unternehmen, die drei oder mehr PETs einsetzen, erzielen in allen gemessenen Kennzahlen deutlich bessere Ergebnisse: Sie erkennen Datenschutzvorfälle 67 % schneller, halten Rechtskosten 81 % niedriger und berichten von 92 % höherem Kundenvertrauen. Dennoch verzichten 14–36 % der Unternehmen komplett auf PETs und lassen damit enormes Potenzial ungenutzt.

Der von unserer Forschung aufgezeigte Implementierungsfahrplan zeigt klare Erfolgsmuster: Starten Sie mit Data Minimization und Zero-Trust Exchange für schnelle Erfolge (30–90 Tage), bauen Sie Secure Multi-Party Computation und Confidential Computing mit wachsender Reife aus (90–180 Tage). Advanced-Technologien wie Homomorphic Encryption sollten für spezifische Use Cases mit entsprechendem Aufwand reserviert werden (180–365 Tage).

Von der Compliance-Belastung zum Wettbewerbsvorteil

Die erfolgreichsten Unternehmen haben Compliance von einer reaktiven Belastung in einen Wettbewerbsvorteil verwandelt. Während typische Unternehmen jährlich 1.000–1.500 Stunden für Compliance-Reporting aufwenden – fast eine Vollzeitstelle –, zeigt die Verteilung des Aufwands strategische Chancen.

Muster der Compliance-Zeitinvestition:

• Weniger als 500 Stunden: 7 % (meist kleine, fokussierte Unternehmen)
• 500–1.000 Stunden: 13 % (optimierte Abläufe mit guter Automatisierung)
• 1.001–1.500 Stunden: 25–32 % (am häufigsten)
• 1.501–2.000 Stunden: 19 % (komplexe Abläufe, erste Überlastungsanzeichen)
• Über 2.000 Stunden: 14–20 % (sehr groß oder sehr ineffizient)
• „Weiß nicht“: 20–26 % (die Transparenzkrise in Aktion)

Die Unternehmen mit den besten Ergebnissen haben folgende Gemeinsamkeiten:

Automatisierung zuerst: Sie haben manuelle Prozesse hinter sich gelassen und Routineaufgaben wie Nachweisführung, Kontrolltests und Berichtserstellung automatisiert. So bleibt Security-Teams mehr Zeit für strategische Verbesserungen statt Papierkram.

Integrierter Ansatz: Statt jede Regulierung einzeln zu behandeln, setzen sie auf einheitliche Kontrollframeworks, die mehrere Anforderungen gleichzeitig erfüllen. Eine einzige Kontrolle kann DSGVO, CCPA und SOX abdecken – das reduziert Doppelarbeit erheblich.

Proaktive Haltung: Sie betrachten Vorschriften als Mindeststandard, nicht als Ziel. Wer die Anforderungen übererfüllt, ist für künftige Vorgaben gewappnet und vermeidet hektische Nachbesserungen.

Der Stand der Vorbereitung auf den EU Data Act zeigt, wie sich diese Strategie in der Praxis auswirkt: Finanzdienstleister führen mit 47 % vollständiger Vorbereitung, gestützt auf bestehende Infrastruktur und integrierten Ansatz. Der Bildungssektor hinkt mit nur 14 % deutlich hinterher – Ressourcenmangel und Silodenken bremsen. Überraschend: 23 % der Rechtsdienstleister – die Regulierungen am besten verstehen sollten – haben keinerlei Vorbereitungspläne.

Die Kostenfalle bei Datenschutzvorfällen durchbrechen: Erkennung, Reaktion und Resilienz

Zeit ist bares Geld in der Cybersicherheit. Unsere 2025er Ergebnisse zeigen, wie teuer Verzögerungen werden: Der Unterschied zwischen Erkennung eines Vorfalls in Stunden oder Monaten bedeutet Millionen an Kosten – und entscheidet über Geschäftskontinuität oder Katastrophe.

Der Zusammenhang zwischen Erkennungsgeschwindigkeit und Endkosten ist nahezu linear:

• Unter 24 Stunden: 67 % bleiben unter 1 Mio. $
• 1–7 Tage: 52 % bleiben unter 1 Mio. $
• 8–30 Tage: Kosten erreichen meist 1–3 Mio. $
• 31–90 Tage: 44 % zahlen 3–5 Mio. $
• Über 90 Tage: 36 % übersteigen 5 Mio. $ Gesamtschaden

Doch die eigentliche Frage ist: Warum erkennen manche Unternehmen Vorfälle schnell, während andere monatelang im Dunkeln tappen? Unternehmen mit umfassender Transparenz – die ihre Drittparteien kennen, KI-Nutzung messen und Compliance-Aufwand verfolgen – erkennen Vorfälle im Schnitt 73 % schneller. Das ist kein Zufall, sondern ursächlich.

Der Kaskadeneffekt wirkt sich auch bei der Erkennung aus: Unternehmen mit solider Transparenz verfügen über bessere Monitoring-Systeme, klarere Baselines für normales Verhalten und schnellere Incident-Response-Prozesse. Sie wissen, wie „Normal“ aussieht – so fallen Anomalien sofort auf.

Der Risiko-Score: So quantifizieren Sie Ihre Gefährdung

Erstmals in unserer vierjährigen Forschungsreihe haben wir einen proprietären Risiko-Score entwickelt, der verschiedene Sicherheitskennzahlen zu einem einzigen, handlungsrelevanten Wert zusammenführt. So können Unternehmen ihr Risiko mit Peers vergleichen und Fortschritte messen.

Unsere Scoring-Methodik vereint drei Grunddimensionen:

1. Häufigkeit von Datenschutzvorfällen (0–5 Punkte je nach jährlichen Vorfällen)
2. Finanzielle Auswirkungen (0–5,5 Punkte je nach Rechtskosten)
3. Erkennungsgeschwindigkeit (0–5 Punkte je nach Entdeckungszeit)

Der Algorithmus normiert diese Werte auf eine Skala von 0–10, wobei gilt:

• 7,1–10: Kritisches Risiko, sofortiger Handlungsbedarf
• 5,0–7,0: Hohes Risiko, dringende Verbesserungen nötig
• 3,5–5,0: Mittleres Risiko, Verbesserungen möglich
• 1,0–3,5: Geringes Risiko, starke Best Practices

Die Ergebnisse sind ernüchternd:

• 15 % der Unternehmen bewegen sich im kritischen Risikobereich
• 31 % haben hohes Risiko und müssen dringend handeln
• 29 % liegen im mittleren Risikobereich
• Nur 25 % erreichen den Status „geringes Risiko“

Das Median-Unternehmen erzielt 4,84 Punkte – gefährlich nah am Hochrisikobereich. Das heißt: Das „typische“ Unternehmen balanciert am Rand einer ernsten Gefährdung.

Die Unterschiede zwischen den Branchen sind besonders auffällig. Energie/Versorger führen mit 5,51 die Risikoskala an – bedingt durch kritische Infrastruktur und Altsysteme. Die Technologiebranche liegt trotz technischer Kompetenz mit 4,94 auf Platz zwei – vermutlich, weil sie bevorzugtes Angriffsziel ist. Überraschend: Life Sciences/Pharma erzielt mit 3,37 den niedrigsten Wert und zeigt, dass regulierte Branchen mit gezielten Investitionen sehr gute Ergebnisse erzielen können.

Jetzt ist der Wendepunkt erreicht

Nach vier Jahren, in denen wir schrittweise Fortschritte der Sicherheit gegen exponentielles Bedrohungswachstum beobachtet haben, markiert 2025 einen Wendepunkt im Datenschutz. Die Kombination aus unregulierter KI-Einführung, explodierenden Drittparteien-Ökosystemen und immer komplexeren Compliance-Anforderungen schafft eine Bedrohungslage, die sich mit inkrementellen Verbesserungen nicht mehr bewältigen lässt.

Unsere Daten zeigen klar, was funktioniert: Unternehmen mit umfassender Transparenz, gestaffelten Datenschutztechnologien und automatisierten Kernprozessen erzielen in allen Kennzahlen bessere Ergebnisse als ihre Mitbewerber. Die Werkzeuge existieren. Die Strategien sind erprobt. Der ROI ist belegt.

Dennoch können 46 % der Unternehmen weiterhin keine grundlegenden Fragen zu ihrer Sicherheitslage beantworten. Sie agieren im Dunkeln und hoffen, dass Glück sie vor unsichtbaren Bedrohungen schützt. 2025 ist diese operative Blindheit nicht nur riskant – sie ist existenzbedrohend.

Der Unterschied zwischen Erfolg und bloßem Überleben hängt immer stärker von einem Faktor ab: dem Mut zur Transformation, bevor die Krise zum Handeln zwingt. Unternehmen müssen sich von der bequemen Illusion verabschieden, dass kleine Verbesserungen ausreichen. Die Bedrohungen wachsen exponentiell – die Antwort muss transformativ sein.

In einer Welt, in der ein einziges „Weiß nicht“ mit 46 % mehr Datenschutzvorfällen korreliert, KI sensible Daten ohne Kontrolle verarbeitet und Drittparteien-Ökosysteme menschliche Vorstellungskraft übersteigen, führen halbe Maßnahmen zwangsläufig zum Scheitern. „Gut genug“ reicht nicht mehr.

Der Weg nach vorn erfordert grundlegende Transformation in fünf Dimensionen:

1. Vollständige Transparenz erreichen: Von Schätzungen zu präzisen Messungen übergehen
2. Automatisieren oder scheitern: Manuelle Prozesse sind der Komplexität nicht mehr gewachsen
3. Fortschrittliche Technologien einsetzen: Basis-Kontrollen reichen nicht mehr aus
4. Proaktive Frameworks aufbauen: Antizipieren statt reagieren
5. Kontinuierliche Resilienz etablieren: Datenschutzvorfälle werden passieren – Vorbereitung ist alles

Die Unternehmen, die diesen Wendepunkt erkennen und entschlossen handeln, werden die nächste Ära der Datensicherheit prägen. Wer an inkrementellen Verbesserungen festhält, wird von exponentiellen Bedrohungen überrollt. Es gibt keinen Mittelweg mehr. Die Zeit für Transformation ist jetzt.

Laden Sie den Data Security and Compliance Risk: 2025 Survey Report herunter – mit detaillierten Analysen, branchenspezifischen Einblicken und umfassenden Empfehlungen für Ihre Security-Transformation.

Weitere Ressourcen

• Blog Post Zero Trust Architecture: Never Trust, Always Verify
• Video How Kiteworks Helps Advance the NSA’s Zero Trust at the Data Layer Model
• Blog Post What It Means to Extend Zero Trust to the Content Layer
• Blog Post Building Trust in Generative AI with a Zero Trust Approach
• Video Kiteworks + Forcepoint: Demonstrating Compliance and Zero Trust at the Content Layer