Kriminelle attackieren jedes zweite deutsche Großunternehmen

Großunternehmen mit mehr als einer Milliarde Euro Umsatz sind besonders gefährdet: Von ihnen hat sogar jedes zweite (57 Prozent) bereits konkrete Attacken festgestellt – vor zwei Jahren nur jedes fünfte. Allerdings: Die Dunkelziffer dürfte noch höher sein, denn in jedem sechsten betroffenen Unternehmen flogen die kriminellen Handlungen nur durch Zufall auf.

Trotz der rapiden Zunahme der Zahl der Attacken sehen lediglich 18 Prozent ein sehr hohes Risiko, selbst Opfer eines Cyber-Angriffs zu werden, und immerhin gut acht von zehn Unternehmen halten ihren aktuellen Schutz gegen Datenklau, Spionage und Sabotage für ausreichend. Dabei gibt es durchaus Grund zur Besorgnis: Erst im Mai und Juni wurden zahlreiche namhafte Unternehmen Opfer des Erpressungstrojaners WannaCry und der als solcher getarnten destruktiven Malware notPetya.

Immerhin setzt sich – vermutlich auch aufgrund dieser öffentlichkeitswirksamen Attacken – zunehmend die Erkenntnis durch, dass die Bedrohung stetig zunimmt: 46 Prozent der Manager rechnen mit einer deutlich wachsenden Bedeutung von Angriffen auf ihr Unternehmen, bei den Großunternehmen mit mehr als einer Milliarde Euro Umsatz liegt der Anteil sogar bei 67 Prozent.

Die größte Gefahr geht aus Sicht der Manager von Russland aus: 45 Prozent nennen das Land als Region mit dem höchsten Risikopotenzial, dahinter folgen China (40 Prozent) und die USA (27 Prozent). Das sind Ergebnisse einer Studie der Prüfungs- und Beratungsgesellschaft EY, für die im Juli 2017 Geschäftsführer sowie Führungskräfte aus IT-Sicherheit und Datenschutz von 450 deutschen Unternehmen befragt wurden.

„Die Gefährdung hat in jüngster Zeit nochmal rapide zugenommen – und kommt von unterschiedlichster Seite. Neben Geheimdiensten und Wettbewerbern tritt verstärkt die Organisierte Kriminalität als Angreifer auf. Gleichzeitig gehen aber immer noch viele Unternehmen viel zu sorglos mit dem Thema Datensicherheit um“, sagt Bodo Meseke, Leiter Forensic Technology & Discovery Services bei EY. „Heute kann jedes Unternehmen Ziel krimineller Attacken werden – ob weltweit tätiger Großkonzern oder regional operierender Mittelständler“.

Unternehmen setzen vor allem auf einfache Sicherheitsvorkehrungen

Dennoch wiegt sich die Mehrheit der Unternehmen weiter in Sicherheit: Wie schon vor zwei Jahren halten 82 Prozent der Manager die präventiven Maßnahmen gegen Datenklau in ihrem Unternehmen für ausreichend. Die Sicherheitsvorkehrungen sind dabei in der Regel eher konventionell: Jeweils mehr als drei von vier befragten Unternehmen setzen zur Vorbeugung von Spionageakten und Cyber-Attacken auf Firewalls, Antivirensoftware und starke Passwörter.

Umfassendere Schutzvorkehrungen sind in den Unternehmen hingegen Mangelware: Ein Intrusion-Detection- bzw. Prevention-System, das Hinweise auf die Aktivitäten von Eindringlingen geben kann, leistet sich gerade einmal jedes vierte Unternehmen. „Passwörter und Antivirensoftware können von Hackern heute zum Teil sehr rasch umgangen werden. Für einen echten Schutz müssen strengere und umfassendere Sicherheitsvorkehrungen umgesetzt werden“, warnt Meseke.

Finanzbranche sieht besonders großes Risiko

Zwar ist der Anteil der Banken und Versicherungen, die von Attacken betroffen waren, mit 30 Prozent relativ niedrig – dafür ist aber das Problembewusstsein in dieser Branche besonders stark ausgeprägt: 68 Prozent der Unternehmen sehen ein hohes Risiko, attackiert zu werden. Und 60 Prozent rechnen mit einer steigenden Bedeutung von Cyber-Angriffen für das eigene Unternehmen. „Die zunehmende Bedeutung digitaler Technologien und Geschäftsmodelle erhöht die Verwundbarkeit von Unternehmen“, betont Meseke. „Denn wer seine internen Abläufe und die Kundenbeziehungen schon umfassend digitalisiert hat, bietet gleichzeitig Angreifern mehr Angriffsfläche für Online-Attacken. Die Digitalisierung zwingt Unternehmen also zu einem stärkeren Schutz ihrer Systeme – aber mit den aktuellen Maßnahmen sind viele deutsche Unternehmen nicht ausreichend für die anstehenden weiteren Digitalisierungsschritte gerüstet. Gerade mittelständische Unternehmen wiegen sich vielfach in falscher Sicherheit. Dabei muss das Thema Datensicherheit Chefsache sein – denn wer keine hohen Sicherheitsstandards implementiert, macht sich massiv verwundbar.“

Die größten Risiken bestehen laut Meseke darin, dass Daten gestohlen oder manipuliert werden, dass essentielle Systeme wie digital vernetzte Produktionsanlagen oder Webshops lahmgelegt werden und so der Geschäftsbetrieb im schlimmsten Fall zum Erliegen komme.

Täter bleiben oft unerkannt

Datenklau-Attacken gehen vielfach geräuschlos vonstatten – viele Unternehmen bemerken den Angriff gar nicht, wie Meseke berichtet. „Wenn unzureichende Sicherheitssysteme den Angriff nicht melden, fällt der Schaden erst dann auf, wenn es schon zu spät ist – wenn sensible Daten also abgegriffen werden und in die falschen Hände gelangen. Zwar ist in einer immer enger vernetzten Welt völlige Sicherheit ohnehin nicht mehr zu gewährleisten. Neben der maximalen Erschwerung des Zugriffs auf wichtige Informationen ist es essentiell, die Entdeckungsrate von Angriffen zu verbessern und die richtige Reaktion vorbereitet und geübt zu haben.“

In drei von vier Fällen (74 Prozent) handelte es sich bei den Attacken um Hackerangriffe auf die EDV-Systeme, in 16 Prozent wurden IT-Systeme vorsätzlich lahmgelegt. Neun Prozent der Fälle betrafen das Belauschen von Telefonaten oder Emails. In vielen Fällen (37 Prozent) ließ sich der Täter nicht zuordnen – er blieb also unerkannt. Genauso oft waren Hacktivisten am Werk, hier handelte es sich also um politische oder ideologische Protestaktionen. Gut jede dritte Attacke ließ sich auf organisierte Kriminalität zurückführen. Konkurrierende inländische oder ausländische Unternehmen steckten nur in drei bzw. zwei Prozent der Fälle hinter dem Angriff.

Jedes vierte Unternehmen gegen Cyber-Attacken versichert

Im Fall eines erfolgreichen Angriffs auf die betroffenen Unternehmen, können die Schäden in die Millionen gehen – etwa bei Betriebsausfällen oder Schadensersatzforderungen von geschädigten Kunden. Um für große Schäden gewappnet zu sein, schließen immer mehr Unternehmen Versicherungen gegen Cyber-Risiken ab: Aktuell haben 27 Prozent der befragten Unternehmen eine derartige Versicherung abgeschlossen – in der Finanzbranche ist der Anteil mit 48 Prozent besonders hoch.

„Cyber-Versicherungen sind bezahlbar und können die finanziellen Folgen einer Attacke zumindest teilweise auffangen“, so Meseke. Das Angebot steige regelmäßig und biete auch für kleinere Unternehmen passende Lösungen. „Eine Versicherung gegen Cyber-Risiken sollte ein Bestandteil einer umfassenden IT-Sicherheitsstrategie sein – die allerdings noch weitere Komponenten umfassen muss: etwa umfangreiche technische Vorkehrungen, die Erhöhung der digitalen Kompetenz der Mitarbeiter sowie die Sensibilisierung für IT-Risiken.“