CISOs und Ransomware: Fragwürdiger Umgang mit Lösegeld-Zahlungen

61 Prozent der CISOs in deutschen Unternehmen gehen davon aus, dass ihre Organisation für die Wiederherstellung der Systeme und zur Verhinderung einer Veröffentlichung gestohlener Daten ein Lösegeld zahlen würde, sollte sie in den nächsten 12 Monaten Opfer einer Ransomware-Attacke werden.

Dies ist ein Ergebnis des „Voice of the CISO„-Reports von Proofpoint. Die Studie untersucht die wichtigsten Herausforderungen, Erwartungen und Prioritäten von Chief Information Security Officers (CISOs) auf der ganzen Welt.

„Der richtige Umgang mit Ransomware-Attacken bleibt ein heißes Eisen der IT-Security“, kommentiert Miro Mitrovic, Area Vice President Sales DACH bei Proofpoint. „Laut unserem State of the Phish Report wurden im vergangenen Jahr 85 Prozent der deutschen Unternehmen erfolgreich mit Ransomware infiziert (ein Anstieg um 35 % im Vergleich zum Vorjahr). Von den Unternehmen, die von Ransomware betroffen waren, erklärten sich fast alle (93 %) bereit, die Angreifer zu bezahlen. Lediglich 63 Prozent erhielten nach einer einzigen Zahlung wieder Zugriff auf ihre Daten. Statistiken wie diese verdeutlichen, dass die Zahlung eines Lösegelds nicht per se die geeignete Reaktion auf einen gelungenen Ransomware-Angriff ist. Indem sie Lösegeldforderungen immer wieder nachgeben, fördern Unternehmen unbeabsichtigt die Rentabilität von Ransomware-Attacken und ermutigen Cyberkriminelle, sie wiederholt ins Visier zu nehmen. Angesichts dieser ernüchternden Statistiken ist ein Verbot von Lösegeldzahlungen wünschenswert. Solange sich die Mehrheit der betroffenen Unternehmen nicht weigert, Lösegeld zu zahlen, wird ein Teufelskreis angeheizt, von dem nur Cyberkriminelle profitieren.“

Im Voice of the CISO Report 2024 werden die Antworten von 1.600 CISOs aus Unternehmen mit 1.000 oder mehr Mitarbeitern in verschiedenen Branchen analysiert. Im ersten Quartal 2024 wurden jeweils 100 CISOs in 16 Ländern befragt: USA, Kanada, Großbritannien, Frankreich, Deutschland, Italien, Spanien, Schweden, Niederlande, Vereinigte Arabische Emirate, KSA, Australien, Japan, Singapur, Südkorea und Brasilien.

Die Auswirkungen der Mitarbeiterfluktuation auf die IT-Sicherheit und der Einsatz generativer KI durch Cyberkriminelle sind zwei der Punkte, die CISOs deutscher Unternehmen Kopfzerbrechen bereiten. So sahen sich 57 Prozent der IT-Sicherheitsverantwortlichen in den letzten 12 Monaten mit einem erheblichen Verlust sensibler Daten konfrontiert. Davon gingen 77 Prozent, zumindest teilweise, auf das Konto von Mitarbeitern, die das Unternehmen verlassen haben. CISOs sorgen sich ganz spezifisch um den Einsatz von KI durch Cyberkriminelle: Bei den drei Systemen, die nach Ansicht der CISOs das größte Risiko für ihre Organisationen bilden, handelt es sich um ChatGPT/andere generative KI (54 %), Slack/Teams/Zoom/andere Collaboration-Tools (53 %) und Microsoft 365 (52 %).

Es verwundert wenig, dass CISOs in dieser Situation unter großem Druck stehen. 60 Prozent der CISOs in deutschen Unternehmen gaben dieses Jahr zu, dass sie ausgebrannt sind. 2023 waren dies nur 54 Prozent. 61 Prozent der CISOs glauben ferner, dass sie mit übermäßigen Erwartungen konfrontiert sind, ein stetiger Anstieg von 55 Prozent im letzten Jahr und 51 Prozent im Jahr davor. Immerhin hat sich das Verhältnis zwischen CISOs und Unternehmensleitung verbessert: 2024 stimmen 84 Prozent der CISOs der Aussage zu, dass ihre Vorstandsmitglieder in Fragen der Cybersicherheit auf Augenhöhe mit ihnen sprechen. Dies ist ein deutlicher Sprung von 39 Prozent im Jahr 2023 und 48 Prozent im Jahr zuvor.

Einige der wichtigsten Ergebnisse des diesjährigen Voice of the CISO Reports

• Unveränderte Einstellung zu Lösegeldzahlungen bei gleichzeitig wachsendem Vertrauen in Cyberversicherungen. In der aktuellen Befragung gehen 61 Prozent der CISOs (57 % 2023) davon aus, dass ihre Organisation für die Wiederherstellung der Systeme und zur Verhinderung einer Veröffentlichung gestohlener Daten zahlen würde, sollte sie in den nächsten 12 Monaten Opfer einer Ransomware-Attacke werden. 83 Prozent der CISOs gaben zudem an, dass sie sich auf Cyberversicherungen verlassen, um potenzielle Verluste zu decken, verglichen mit 44 Prozent im vergangenen Jahr.
• Die Mitarbeiterfluktuation ist nach wie vor ein Problem, aber die CISOs vertrauen auf ihre Sicherheitsmaßnahmen. In diesem Jahr gaben 57 Prozent der IT-Sicherheitsverantwortlichen an, dass sie in den letzten 12 Monaten einen erheblichen Verlust sensibler Daten zu verzeichnen hatten. Davon wiederum sagten 77 Prozent, dass Mitarbeiter, die das Unternehmen verlassen haben, zu diesem Verlust beigetragen haben. Trotz dieser Verluste sind 84 Prozent der CISOs der Ansicht, dass sie über angemessene Kontrollen zum Schutz ihrer Daten verfügen.
• Das Verhältnis zwischen dem Vorstand und dem CISO hat sich deutlich verbessert. 2024 stimmen 84 Prozent der CISOs der Aussage zu, dass ihre Vorstandsmitglieder in Fragen der Cybersicherheit auf Augenhöhe mit ihnen sprechen. Dies ist ein deutlicher Sprung von 39 Prozent im Jahr 2023 und 48 Prozent im Jahr zuvor.
• Der Druck auf die CISOs ist nach wie vor hoch. 60 Prozent der CISOs gaben dieses Jahr zu, dass sie ausgebrannt sind. 2023 waren dies nur 54 Prozent. 61 Prozent der CISOs glauben ferner, dass sie mit übermäßigen Erwartungen konfrontiert sind, ein stetiger Anstieg von 55 Prozent im letzten Jahr und 51 Prozent im Jahr davor. Die Erwartungen an CISOs stellen diese weiterhin auf die Probe: 74 Prozent sind besorgt über ihre persönliche Haftung (52 % im Jahr 2023) und 79 Prozent (54 % im Jahr 2023) würden nicht für ein Unternehmen arbeiten, das keine Directors & Officers-Versicherung (D&O) anbietet. Darüber hinaus stimmten 68 Prozent der CISOs der Aussage zu, dass der aktuelle wirtschaftliche Abschwung ihre Fähigkeit beeinträchtigt hat, geschäftskritische Investitionen zu tätigen. 57 Prozent von ihnen wurden aufgefordert, Personal abzubauen oder Neueinstellungen zu verzögern und Sicherheitsbudgets zu kürzen.

(pd/ Proofpoint)