Warum Cybersicherheit für Nonprofit-Organisationen entscheidend ist

Save the Children, ein Leuchtturm der Hoffnung und des Wandels, setzt sich seit über einem Jahrhundert dafür ein, das Leben von Kindern zu verbessern. Die in London gegründete Organisation ist heute in 29 Ländern vertreten, beschäftigt allein im Vereinigten Königreich 844 Mitarbeitende und arbeitet mit über 3600 ehrenamtlichen Helfern zusammen. Während Wohltätigkeitsorganisationen und Nonprofits wie Save the Children ihre missionsgetriebene Arbeit fortsetzen, sehen sie sich einer stetig wachsenden Zahl an Cybersicherheitsherausforderungen gegenüber.

In diesem Blogbeitrag beleuchten wir diese Themen und untersuchen Lösungsansätze mit Einblicken von Gareth Packham, Director of Information Security and Data Protection bei Save the Children International (SCI), und Sean Costigan, Managing Director of Resilience Strategy bei Red Sift.

Das aufschlussreiche Gespräch mit Sean und Gareth können Sie hier ansehen.

Wohltätigkeitsorganisationen und Nonprofits treiben ihre digitale Transformation weiter voran und verwalten dabei erhebliche Mengen sensibler Daten, darunter personenbezogene (PII) und finanzielle Informationen von Spendern, Begünstigten und Mitarbeitenden. Der Schutz dieser Daten ist nicht nur entscheidend für die Aufrechterhaltung von Vertrauen, sondern auch für die Einhaltung nationaler und internationaler Datenschutzvorschriften wie der DSGVO. Die besonderen betrieblichen Einschränkungen von Nonprofits, etwa begrenzte Budgets und Ressourcen, machen Cybersicherheit jedoch zu einer erheblichen Herausforderung.

Datenschutzverletzungen stellen eine ständige Bedrohung dar: Die Zahl der öffentlich bekannten Vorfälle ist 2023 um 20 % gestiegen, wodurch personenbezogene und finanzielle Informationen dem Risiko der Offenlegung ausgesetzt sind. Eine Datenschutzverletzung kann zu schweren finanziellen Verlusten, Reputationsschäden und einem Vertrauensverlust führen – ganz zu schweigen von rechtlichen Konsequenzen. Auch Ransomware-Angriffe haben zugenommen, wobei die Lösegeldzahlungen 2023 insgesamt über 1 Milliarde US-Dollar betrugen. Diese Angriffe können den Betrieb einer Organisation lahmlegen, indem kritische Daten und Systeme gesperrt werden, bis ein Lösegeld gezahlt wird – und Nonprofit-Organisationen waren dabei häufig Ziel solcher Angriffe.

Cyberkriminelle sind oft erfolgreich, weil Organisationen es versäumt haben, grundlegende Sicherheitsmaßnahmen umzusetzen. In anderen Fällen versuchen raffiniertere Angreifer, Nonprofits reputationsschädigend zu treffen oder Informationen über deren Aktivitäten zu sammeln. Für Nonprofits bleibt Phishing eine der gängigsten Methoden von Cyberkriminellen, um Mitarbeitende zur Preisgabe sensibler Informationen zu verleiten – oft mit gravierenden Sicherheitsverletzungen als Folge.

Viele Nonprofits haben jedoch Schwierigkeiten, ausreichende Mittel und Ressourcen für Cybersicherheit bereitzustellen, was zu Schwachstellen in ihrer Verteidigung führt – ein Umfeld, das manche als „cyber-arm, aber zielreich“ bezeichnen. Zudem herrscht weltweit ein erheblicher Fachkräftemangel im Bereich Cybersicherheit, was es Nonprofits erschwert, qualifizierte Fachkräfte zu finden und zu halten.

Um diese kritischen Themen weiter zu vertiefen, gingen Gareth Packham und Sean Costigan auf folgende zentrale Fragen ein:

Wie können Wohltätigkeitsorganisationen und Nonprofits die mit Datenschutzverletzungen verbundenen Risiken effektiv steuern und minimieren, um sensible personenbezogene und finanzielle Informationen zu schützen?

Wie können Nonprofits die Schulung ihrer Mitarbeitenden und ihre Sicherheitskultur verbessern, um widerstandsfähiger gegenüber Cyberbedrohungen zu werden?

Welche Strategien können Nonprofits umsetzen, um die Ressourcen für Cybersicherheit zu verbessern und Cyberkriminalität, insbesondere Ransomware-Angriffe, zu verhindern?

Wie können Nonprofits ihre Systeme gegenüber Schwachstellen bewerten und absichern, die durch Drittanbieter und externe Dienstleister entstehen?

Wie können Organisationen mit Regierungen und Anbietern zusammenarbeiten, um die Cybersicherheit für Nonprofits zu verbessern?

Das Rote Kreuz deckte 2022 eine schwerwiegende Datenschutzverletzung auf, bei der eine ungepatchte Schwachstelle ausgenutzt wurde und die persönlichen Daten von über 500.000 schutzbedürftigen Menschen kompromittiert wurden. Dieser Vorfall verdeutlichte die gravierenden Auswirkungen von Datenschutzverletzungen, einschließlich potenzieller Schäden für Betroffene und Reputationsverlusten für die Organisation.

Ein weiteres bemerkenswertes Beispiel ist der Cyberangriff auf die American Cancer Society im Jahr 2019. Hacker verschafften sich Zugang zum Kreditkartenverarbeitungssystem der Organisation, was zum Diebstahl von Kreditkartendaten führte, die entweder verkauft oder für weiteren Betrug genutzt wurden. Dieser Angriff verursachte nicht nur finanzielle Verluste, sondern untergrub auch das Vertrauen der Spender.

2024 reichte die Federal Trade Commission eine Beschwerde gegen Blackbaud ein, ein Unternehmen, das „Daten-, Fundraising- und Finanzdienstleistungen für mehr als 45.000 Unternehmen, darunter Nonprofits, Stiftungen, Bildungseinrichtungen und Gesundheitsorganisationen“, anbietet. 2020 erlitt Blackbaud eine Datenschutzverletzung – offenbar aufgrund mangelhafter Benutzerkontrollen –, bei der die persönlichen Daten von Millionen Verbrauchern kompromittiert wurden. Der Vorfall hatte weitreichende und langanhaltende Auswirkungen auf Tausende von Nonprofit-Organisationen.

Im Mai 2024 veröffentlichte die US-Regierung eine Cybersicherheitswarnung, die aufzeigte, wie Nordkorea unsachgemäß konfigurierte DNS Domain-based Message Authentication, Reporting and Conformance (DMARC)-Richtlinien ausnutzte, um Social-Engineering-Versuche zu verschleiern. Viele US-amerikanische Nonprofits waren davon überrumpelt und ermöglichten es nordkoreanischen Angreifern, Spear-Phishing über gefälschte E-Mails zu verbreiten. Die Raffinesse der Kampagne und des Exploits ließ es so erscheinen, als kämen diese E-Mails vom legitimen E-Mail-Server einer Domain.

Auch fortgeschrittene, hartnäckige Bedrohungen (Advanced Persistent Threats) richten sich gegen Nonprofits – langfristige, gezielte Angriffe, die darauf abzielen, über einen längeren Zeitraum sensible Informationen zu stehlen oder Spender und andere zu betrügen. Auch hier kann Social Engineering Einzelpersonen dazu verleiten, vertrauliche Informationen preiszugeben oder Handlungen vorzunehmen, die die Sicherheit gefährden.

Diese Beispiele unterstreichen die dringende Notwendigkeit robuster Cybersicherheitsmaßnahmen im Nonprofit-Sektor.

Hier sind einige zentrale Empfehlungen für Nonprofits zur Verbesserung ihrer Cybersicherheitslage:

• Ein effektives Management von Risiken im Zusammenhang mit Datenschutzverletzungen umfasst sowohl technologische als auch menschliche Faktoren. Nonprofits sollten bestehende Rahmenwerke und Leitfäden nutzen, um entsprechende Richtlinien einzuführen.
• Technologische Lösungen ergänzen die Umsetzung robuster Verschlüsselung, Multi-Faktor-Authentifizierung, regelmäßiger Sicherheitsprüfungen, sorgfältiger Backups und starker Zugriffskontrollen zum Schutz sensibler Informationen.
• Darüber hinaus ist die Förderung einer vertrauensbasierten Sicherheitskultur entscheidend. Mitarbeitende sollten geschult werden, potenzielle Bedrohungen zu erkennen und die Bedeutung des Datenschutzes zu verstehen. Der Aufbau einer starken Sicherheitskultur, in der sich jeder für Cybersicherheit verantwortlich fühlt, kann das Risiko von Sicherheitsverletzungen erheblich reduzieren und die Widerstandsfähigkeit stärken.
• Nonprofits können voneinander lernen und regelmäßige Workshops sowie Simulationen organisieren, um sich gegenseitig über die neuesten Taktiken der Cyberkriminalität und bewährte Sicherheitspraktiken auf dem Laufenden zu halten.
• Regierungen bieten umfangreiche Ressourcen, wie etwa Cyber Essentials im Vereinigten Königreich oder das NIST Cybersecurity Framework in den USA. Darüber hinaus bieten viele vertrauenswürdige Cybersicherheitsanbieter spezielle Preise für Nonprofits an.

Da ihre digitalen Bestände weiter wachsen, müssen Nonprofits Cybersicherheit als Unternehmensrisiko priorisieren. Auch wenn die Mittel oft begrenzt sind, kann die Investition in Schulungen und essenzielle Sicherheitstools wie E-Mail- und Domain-Schutz kostspielige Vorfälle verhindern, die Vertrauen und Reputation beeinträchtigen. Auch die Prüfung von Partnerschaften und speziellen Fördermitteln für Cybersicherheit kann zusätzliche Ressourcen bereitstellen. Um Risiken im Zusammenhang mit Drittanbieterdiensten zu minimieren, sollten Nonprofits vor der Zusammenarbeit mit Anbietern gründliche Risikobewertungen und Sorgfaltsprüfungen durchführen.

Nonprofits können auch den Abschluss einer Cyber-Haftpflichtversicherung in Betracht ziehen, was jedoch eine sorgfältige Bewertung der spezifischen Risiken und Bedürfnisse der Organisation erfordert. Faktoren wie die potenziellen finanziellen Auswirkungen von Cybervorfällen, bestehende Sicherheitsmaßnahmen und die allgemeine Risikobereitschaft der Organisation sollten diese Entscheidung beeinflussen. Denken Sie daran: Eine Versicherung kann ein wertvolles Sicherheitsnetz bieten, sollte gute Cybersicherheitspraktiken jedoch ergänzen, nicht ersetzen.

Während Nonprofits wie Save the Children ihre wichtige Arbeit fortsetzen, ist der Schutz sensibler Daten und die Aufrechterhaltung von Vertrauen von größter Bedeutung. Indem sie die vielschichtigen Herausforderungen der Cybersicherheit durch tiefgreifende Verteidigungsmaßnahmen, strategische Planung, Mitarbeiterschulungen, technische Maßnahmen und robustes Risikomanagement angehen, können sich Nonprofits besser schützen und die Fortführung ihrer wichtigen Aufgaben sicherstellen.

Hier ansehen