Die Arbeitswelt ist während der Covid-19-Pandemie noch digitaler geworden – und damit hat sich auch das Einfallstor für Cyberkriminelle weiter geöffnet: Jedes dritte für die aktuelle EY Datenklaustudie befragte Unternehmen geht davon aus, dass das Risiko von Cyberangriffen beziehungsweise Datenklau während der Pandemie zugenommen hat.
Konkrete Hinweise auf Angriffe in den vergangenen zwei Jahren hatten 44 Prozent der Unternehmen. 28 Prozent der Unternehmen, die betroffen waren, beobachteten eine gesteigerte Anzahl an Attacken während der Pandemie.
Grundsätzlich fürchten mehr Unternehmen als in den Vorbefragungen, Opfer von Datenklau zu werden: Fast zwei von drei Unternehmen (63 Prozent) schätzen das Risiko als „eher hoch“ oder „sehr hoch“ ein. Der höchste Anteil lag bisher im Jahr 2017 bei 61 Prozent.
Doch das Ende der Fahnenstange ist nach Ansicht der befragten Manager noch längst nicht erreicht: Fast alle (99 Prozent) gehen davon aus, dass das Problem von Datenklau und Cyberangriffen künftig noch zunehmen wird – 65 Prozent erwarten sogar, dass es stark steigen wird. Auch dies sind die höchsten Werte seit Durchführung der Studie.
Das sind Ergebnisse der Datenklaustudie der Prüfungs- und Beratungsgesellschaft EY, für die Geschäftsführer sowie Führungskräfte aus IT-Sicherheit und Datenschutz von über 500 deutschen Unternehmen befragt wurden. Die Studie führt die EY Forensic & Integrity Services seit 2011 alle zwei Jahre durch.
Bodo Meseke, Partner und Leiter Cyber Response & Digital Forensics bei EY: “Unternehmen mussten Beschäftigte während der Pandemie von heute auf morgen nach Hause schicken und hatten wenig Zeit für entsprechende Sicherheitsvorkehrungen – für Cyberkriminelle ideal, weil ein Firmennetzwerk in der Regel schwerer zu knacken ist als ein Heimnetzwerk. Leider ist es aber so, dass mit der Rückkehr ins Büro das Problem nicht behoben ist. Gerade der Kampf gegen Datenklau im Netz gleicht einem Wettrüsten mit Kriminellen, Hacktivisten oder ausländischen Geheimdiensten. Diese setzen immer ausgefeiltere Methoden ein, um an Firmengeheimnisse zu kommen. Nicht zu vergessen der ‚klassische‘ Datenklau, der von innen kommt: Unzufriedene oder auch unwissende Mitarbeiter können mit sensiblen Daten erheblichen Schaden anrichten.“
Trotz der Gefahren: 27 Prozent der befragten Manager sehen ihr Unternehmen nicht wirkungsvoll gegen Informationsabfluss gesichert – bei der Vorbefragung waren es nur 19 Prozent. Und immerhin ein Viertel (26 Prozent) hat keine Krisenpläne zur Reaktion auf Datenklau-Fälle vorbereitet – weiteren 22 Prozent sind solche Pläne im Unternehmen nicht einmal bekannt
Matthias Bandemer, Partner und Leiter Cybersecurity bei EY in Deutschland: „Hundertprozentigen Schutz gegen Datenklau gibt es nicht. Aber Unternehmen müssen ihre Geschäftsgeheimnisse und ihr Know-how bestmöglich schützen – und im Angriffsfall schnell reaktionsfähig sein. Möglichst genaue Krisenpläne, die regelmäßig eingeübt werden, können helfen, den Schaden zu begrenzen.“
Unternehmen fürchten am meisten das organisierte Verbrechen – und Angriffe aus China und Russland
Insbesondere das organisierte Verbrechen stellt aus Sicht der Unternehmen eine Gefahr dar: Mehr als zwei Drittel gehen von einem hohen Risiko aus dieser Richtung aus. 2019 schätzte noch die Hälfte die Gefahr als hoch ein. Von Hacktivisten (42 Prozent) oder ausländischen Geheimdiensten sowie ausländischen Konkurrenzunternehmen (jeweils 30 Prozent) geht nach Ansicht der Befragten ebenfalls ein hohes Risiko aus.
Am ehesten erwarten die Unternehmen Angriffe aus China oder Russland. Der Anteil derjenigen, die ein besonders hohes Gefährdungspotenzial aus China sehen, ist von 41 Prozent im Jahr 2019 auf jetzt 59 Prozent gestiegen. Aus Russland geht aus Sicht von 56 Prozent der Unternehmen ein hohes Gefährdungspotenzial aus (2019: 31 Prozent).
„Staatlich geduldete oder sogar gestützte Cyberangriffe haben immer stärker zugenommen“, hat Bandemer beobachtet. „Dem können die meisten Unternehmen allein wenig entgegensetzen. Sie sollten sich die Unterstützung externer Experten sichern, die die Netzwerke auf Schwachstellen überprüfen können. Die Mitarbeiter sollten regelmäßig zur Datensicherheit geschult werden. Ein längst überfälliger Schritt war die Gründung der neuen Bundescyberagentur. Die Entwicklung neuer Sicherheitstechnologien für Bürger, Behörden und Unternehmen in Deutschland erhält dadurch einen höheren Stellenwert.“
Technologie- und Medienunternehmen stehen im Fokus
Besonders im Fokus der Angreifer stehen Technologie- und Medienunternehmen – zumindest schätzt gut ein Viertel der Manager aus dieser Branche das grundsätzliche Risiko für Cyberattacken und Datenklau als sehr hoch ein. 22 Prozent der Manager aus dem Maschinenbau und sonstigen Industrien sehen ihren Sektor einem sehr hohen Risiko ausgesetzt.
Meist geht es ums Geld – bei 75 Prozent der entdeckten Angriffe war die Motivation der Täter, sich einen finanziellen Vorteil zu verschaffen. Aber auch menschliche Fehler wie Unwissenheit oder Bedienfehler waren in 20 Prozent der Fälle der Auslöser. Reputationsschädigung oder Wettbewerbsvorteil hatten zwölf beziehungsweise elf Prozent der Angreifer im Sinn.
Umsatzstarke Unternehmen sehen sich höherem Risiko ausgesetzt
Da ist es wenig überraschend, dass die Täter insbesondere die umsatzstärksten Unternehmen ins Visier nahmen: Ein Drittel (32 Prozent) der Unternehmen mit einem Umsatz von mehr als 50 Millionen Euro hatte bereits mehrfach Hinweise auf Angriffe. Entsprechend schätzen Unternehmen mit einem Umsatz von mehr als 50 Millionen Euro das Risiko am höchsten ein: 22 Prozent sehen sich einem sehr hohen Risiko ausgesetzt, Opfer von Cyberangriffen zu werden, 70 Prozent glauben, dass das Risiko stark steigen wird.
„Ein simples Kriterium für Angriffe ist oft der Umsatz“, so Meseke. „Je höher der Umsatz, desto höher ist in den Augen Krimineller die potenzielle Beute. Insbesondere Technologieführer sind im Fokus der Angriffe. Denn ihre Geschäftsgeheimnisse sind insbesondere für ausländische Geheimdienste und Konkurrenzunternehmen viel wert. Das heißt aber nicht, dass andere Unternehmen sicher sind. Jeder hat etwas Wichtiges zu verlieren: Das können neben Geld und Geschäftsgeheimnissen auch Kundendaten oder die Reputation sein.“
(Pressemitteilung EY vom 18.10.2021)
