Unternehmen vermeiden Aufmerksamkeit für Datenverluste

Firmen melden Datenlecks an Nachrichten-starken Tagen

Als sich Jens Förderer, Professor für Innovation und Digitalisierung an der Technischen Universität München (TUM), und Sebastian Schütz, Professor für Wirtschaftsinformatik der Florida International University, mit solchen Vorfällen beschäftigten, wunderten sie sich, dass die Veröffentlichung der Datenverluste relativ geringe Folgen für den Aktienkurs der Unternehmen hatte. „Das hat uns überrascht, da Datenlecks für die Firmen ja einen Imageverlust und ein sinkendes Kund:innen-Vertrauen bedeuten, was ihren Wert am Aktienmarkt eigentlich stark belasten sollte“, sagt Jens Förderer. „Unsere Hypothese war, dass die Aufmerksamkeit der Anleger:innen abgelenkt war.“

Die Forscher identifizierten deshalb den Zeitpunkt der Veröffentlichung von mehr als 8.000 Datenlecks börsennotierter US-amerikanischer Unternehmen zwischen 2008 und 2018, wobei sie Informationen der Non-Profit-Organisation Identity Theft Resource Center (ITRC) nutzten. Dann glichen sie die Zeitpunkte mit Tagen ab, an denen viele Firmen ihre Quartalszahlen vorstellten – also Tagen, von denen im Voraus klar war, dass eine Vielzahl an marktrelevanten Informationen publik werden würde. Dafür werteten sie das „Wall Street Journal“ aus, die größte Wirtschaftszeitung der USA.

Die Studie bestätigt die Vermutung der Forscher: An Tagen, an denen andere Meldungen die Schlagzeilen dominierten, wurden signifikant mehr Datenlecks veröffentlicht. Besonders deutlich war der Zusammenhang zwischen Nachrichtenlage und Veröffentlichungstag bei schwerwiegenden Datenverlusten, bei Pannen mit Firmen-internen Ursachen und wenn Gesundheitsinformationen oder Ausweisdaten betroffen waren.

„An hektischen Tagen müssen sowohl Redaktionen als auch Analyst:innen Prioritäten setzen, welche Informationen sie aufgreifen. Unsere Ergebnisse legen nahe, dass Unternehmen die Bekanntgabe ihrer Datenlecks strategisch planen und gezielt auf eine geringere Aufmerksamkeit setzen“, sagt Förderer.

In einem zweiten Schritt wollten die Forscher wissen, ob das Kalkül der Unternehmen aufgeht. Dafür untersuchten sie die Aktienkurse der Firmen nach der Bekanntgabe der Datenverluste. Zwar mussten die Unternehmen im Durchschnitt einen Kursverlust verzeichnen. Dieser fiel aber an Nachrichten-starken Tagen tatsächlich deutlich geringer aus.

„Unternehmen, die ihre Fehler im Umgang mit Daten im Schatten anderer Ereignisse verstecken, vermeiden so auch den öffentlichen Druck, dass sie selbst und andere Firmen stärkere Maßnahmen gegen Datenlecks ergreifen müssen“, sagt Sebastian Schütz.

Die Wissenschaftler empfehlen, die Spielräume für die Bekanntgabe von Datenverlusten möglichst eng zu fassen. „Je länger die Meldefrist für einen Datenverlust ist, desto eher können Unternehmen die Bekanntgabe strategisch planen und den Zweck der Bekanntgabe unterlaufen“, sagt Jens Förderer.