Cyberangriffe: Verwundbarkeit trifft auf Sorglosigkeit

Nur vier von zehn Unternehmen sind auf Cyberangriffe vorbereitet, kritisiert der Bitkom. Vor allem kleinere Unternehmen haben keinen Notfallplan für Sicherheitsvorfälle. Einer Umfrage zufolge sind aber auch Betreiber kritischer Infrastrukturen kaum besser gerüstet. Hier trifft Verwundbarkeit klar auf Sorglosigkeit, denn vor allem der Mittelstand ist für Cyberkriminelle ein lohnendes Angriffsziel.

Cyberangriffe treffen jedes zweite Unternehmen (Grafik: Bitkom, 2015).Die Zahlen sind erschreckend, man kann es nicht anders sagen. Nur vier von zehn Unternehmen (43 Prozent) sind auf Cyberangriffe vorbereitet. Anders herum, sechs von zehn Firmen besitzen kein Notfallmanagement, welches festlegt, was zu tun ist. Dabei sind selbst die Betreiber sogenannter kritischer Infrastrukturen (KRITIS) wie Energieversorger oder Finanzdienstleister kaum besser vorbereitet als die übrigen Branchen. So verfügen 53 Prozent der KRITIS-Unternehmen über einen Notfallplan, bei den Nicht-KRITIS-Unternehmen sind es 41 Prozent. Zu diesem Ergebnis kommt eine Studie des Digitalverbands Bitkom, für die 1.069 Geschäftsführer und Sicherheitsverantwortliche quer durch alle Branchen repräsentativ befragt wurden. Unter den großen Unternehmen mit mehr als 500 Mitarbeitern verfügen rund zwei Drittel (68 Prozent) über ein Notfallmanagement, bei Mittelständlern mit 100 bis 499 Mitarbeitern sind es 61 Prozent und bei den kleineren Unternehmen mit 10 bis 99 Mitarbeitern haben sich sogar nur 40 Prozent vorbereitet.

»Die Verantwortlichen in den Unternehmen sollten erkennen, dass die Gefahr digitaler Angriffe real ist«, mahnt Bitkom-Präsident Achim Berg. »Wer darauf verzichtet, einen entsprechenden Notfallplan zu erstellen und kein Notfallmanagement etabliert, der gefährdet die Sicherheit des eigenen Unternehmens, seiner Mitarbeiter, Partner und Kunden.« Firmen mit einem konkreten Plan, können im Krisenfall schneller reagieren und machen weniger Fehler.

Cyberangriffe: Notfallplan legt Vorgehen im Krisenfall fest

Die 10 größten Bedrohungen im Internet (Grafik: Bitkom)Ein betriebliches Notfallmanagement legt in schriftlicher Form Sofortmaßnahmen fest, die erfolgen müssen, wenn etwa die Produktion aufgrund digitaler Angriffe lahmgelegt wird, wichtige Webseiten wie Online-Dienste oder Online-Shops nicht erreichbar sind oder aber sensible Unternehmensdaten abfließen. Ziel ist es, den jeweiligen Cyberangriff möglichst rasch zu unterbinden, die Integrität der Daten zu schützen und die Arbeitsfähigkeit des Unternehmens wiederherzustellen.

Die Maßnahmen für die Erarbeitung eines Notfallmanagements können dabei vom Erstellen einer Kontaktliste mit den wichtigsten Ansprechpartnern bis hin zu mehrtägigen Übungen reichen, bei denen verschiedene Szenarien durchgespielt werden. Das Notfallmanagement sollte auch festlegen, in welchen Fällen externe Dienstleister hinzugezogen werden, wann staatliche Stellen eingeschaltet oder wie Mitarbeiter oder auch die Öffentlichkeit von dem Vorfall informiert werden können.

Cyberangriffe: Backup ersetzt keinen Notfallplan

Nun sind zwar IT-Manager durchaus sensibilisiert für die möglichen Folgen eines Cyberangriffs, den nötigen Handlungsbedarf sehen allerdings noch nicht alle. Das erinnert ein wenig an die Anfangszeiten der IT, als ein regelmäßiges Backup noch eher eine Seltenheit war. Aus heutigen Gesichtspunkten ist es unverständlich, wenn Unternehmen erst durch Schaden klug werden. Wobei sich viele einfach auch auf ihr Backup verlassen. Ein Backup wehrt zwar keinen Cyberangriff ab, hilft aber im Krisenfall, alle nötigen Daten wiederherzustellen. Allerdings bedroht Ransomware aktive Backup-Medien.

Cyberangriffe: Mittelstand ein lohnendes Ziel

Holger Münch: »CyberCrime hat ein breites Spektrum« »Die digitale Verwundbarkeit trifft vielerorts auf Sorglosigkeit«, erklärt Holger Münch, Präsident des Bundeskriminalamts, auf der Cybersicherheitskonferenz 2017. »Immer mehr Straftäter verlagern sich in den virtuellen Raum, denn das Risiko ist für sie verhältnismäßig klein.« Betroffen sei jeder, Privatpersonen wie Unternehmen und Behörden. 2016 gab es über 82.000 registrierte Cybercrime-Fälle. Bis Anfang Mai dieses Jahres hat diese Zahl bereits um 80 Prozent zugelegt. Münch plädiert auch dafür, mehr Fälle zur Anzeige zu bringen: »Die Taten dürfen nicht folgenlos sein.«

Zwar werden immer mehr Fälle bekannt, trotzdem herrscht noch die Meinung, Cyberangriffe würden nur große Firmen bedrohen. Dem ist mitnichten so. »50 Prozent der deutschen Unternehmen wurden bereits Opfer von Datendiebstahl«, mahnt Dr. Hans-Georg Maaßen, Präsident des Bundesamts für Verfassungsschutz. Für Cyberkriminelle sei der deutsche Mittelstand, mit seinen »Hidden Champions«, ein lohnendes Ziel. Daher muss die Geschäftsleitung dafür sorgen, dass die Mitarbeiter ausreichend sensibilisiert sind und ein Notfallplan dafür sorgt, dass im Schadensfall schnell die richtigen Maßnahmen eingeleitet werden.

2016: >82000 Cybercrime-Fälle mit einem Schaden von 51,6 Mio € #CyberSich pic.twitter.com/lPyh5O8SzG

— speicherguide.de (@speicherguide) 4. Mai 2017