Study on the Impact of Data Breaches on Firm Value and Information Security Risk Disclosures

The dissertation explores the financial and managerial impacts of data breaches on healthcare companies in the U.S., a sector increasingly significant given its growing proportion of the GDP and superior performance compared to the S&P 500. The study assesses the financial repercussions of data breaches and investigates the changes in disclosure practices over time. The research is divided into three parts. The first part employs an event study methodology to evaluate the stock price impacts of data breaches, revealing that while such incidents typically result in negative market reactions, these effects have diminished over time. This suggests an evolving investor sensitivity, influenced by historical market events and changes in the regulatory environment such as the implementation of breach notification laws. The second part of the thesis expands on these findings by analyzing the textual content of company disclosures following data breaches. It examines how management's response strategies affect investor reactions. The results indicate that companies can mitigate the losses in firm value typically associated with data breaches by disclosing information security risks in more detail. The third section delves deeper into the impacts of the 2018 SEC guidance on disclosure practices. It uses cosine similarity to assess changes in the textuality of disclosures post-guidance, highlighting a trend towards an industry specific convergence of information security risk disclosures following the guidance from the SEC.

Die Dissertation analysiert die finanziellen Auswirkungen von Datenschutzverletzungen auf US-Gesundheitsunternehmen sowie deren Einfluss auf die Unternehmensführung. Diese Forschung gewinnt an Bedeutung, da der Gesundheitssektor aufgrund seines wachsenden Anteils am Bruttoinlandsproduct der USA und seiner überlegenen Leistung im Vergleich zum S&P 500 zunehmend in den Fokus rückt. Die Studie analysiert die finanziellen Folgen von Datenschutzverletzungen und untersucht, wie sich die Praktiken der Informationsveröffentlichung über die Zeit verändert haben. Die Forschungsarbeit ist in drei Teile gegliedert. Der erste Teil verwendet eine Event-Study-Methodik, um die Auswirkungen von Datenschutzverletzungen auf Aktienkurse zu bewerten und zeigt, dass solche Vorfälle typischerweise negative Marktreaktionen hervorrufen, deren Effekte jedoch im Laufe der Zeit abgenommen haben. Dies deutet auf eine sich entwickelnde Sensibilität der Investoren hin, beeinflusst von historischen Marktereignissen und Änderungen im regulatorischen Umfeld, wie der Einführung von Gesetzen zur Benachrichtigung über Verstöße. Der zweite Teil der Arbeit erweitert diese Ergebnisse mittels einer Textanalyse der veröffentlichten Jahresberichte. Die Ergebnisse deuten darauf hin, dass Unternehmen die typischerweise mit Datenschutzverletzungen verbundenen Verluste im Unternehmenswert durch detailliertere Offenlegung von Informationen über Sicherheitsrisiken abschwächen können. Der dritte Teil der Disseration befasst sich mit den Auswirkungen der SEC-Richtlinie bezüglich Offenlegungspraktiken von Datenschutzverletzungen und legt eine branchenspezifische Konvergenz der Offenlegungen von Sicherheitsinformationsrisiken dar.