Studie zeigt: KMU sind nicht auf Cyberangriffe vorbereitet

Wie eine aktuelle Studie zeigt, sind gerade einmal vier von zehn Unternehmen auf Cyberangriffe vorbereitet. Dabei stehen sogar die Betreiber kritischer Infrastrukturen wie Energieversorger oder Finanzdienstleister kaum besser da. Dieser Beitrag klärt auf, warum neben Maßnahmen wie die Überwachung vernetzter Geräte oder die Einrichtung von Zugriffsrechten für bestimmte Daten auch ein Notfallmanagement für Unternehmen eine zentrale Rolle spielt, um sich vor Cyberangriffen zu schützen.
Mehr als die Hälfte aller deutschen Unternehmen ist in den letzten zwei Jahren Opfer von Wirtschaftsspionage, Sabotage oder Diebstahl geworden – das belegt eine repräsentative Studie des Digitalverbands Bitkom. Dadurch ist ein Schaden von etwa 55 Milliarden Euro entstanden, eine Erhöhung um acht Prozent im Vergleich zur letzten Studie von vor zwei Jahren (51 Milliarden Euro). Für die Studie wurden 1.069 Geschäftsführer und Sicherheitsverantwortliche deutscher Unternehmen befragt, unabhängig von der Branche.
Der Studie zufolge wurden in jedem sechsten Unternehmen (17 Prozent) sensible Daten in den vergangenen zwei Jahren gestohlen. Am häufigsten wurden Kommunikationsdaten wie E-Mails (41 Prozent) sowie Finanzdaten (36 Prozent) entwendet. Besonders brisant: In 11 Prozent der Fälle sind Patente oder Informationen aus Forschung und Entwicklung in die Hände der Angreifer gefallen.
Die Delikte müssen aber nicht immer digital sein. Fast jedes dritte Unternehmen (30 Prozent) war durch den Diebstahl von IT- oder Telekommunikationsgeräten betroffen. Ob die Geräte wie Notebooks, Tablets oder Smartphones an sich oder die darauf gespeicherten Daten das Ziel des Diebstahls waren, bleibt ungeklärt. Dabei sind die Täter häufig keine Unbekannten. In fast zwei von drei Fällen (62 Prozent) wurden die Straftaten von aktuellen oder ehemaligen Mitarbeitern begangen.

Notfallmanagement tut Not, aber zu wenig beherzigt

Tritt der Ernstfall ein, sind Unternehmen häufig nicht vorbereitet. Nur weniger als die Hälfte aller Befragten (43 Prozent) gab an, dass es ein eigenes Notfallmanagement gibt. Betreiber der sogenannten kritischen Infrastrukturen (Energieversorger, Krankenhäuser, Finanzdienstleister) sind kaum besser aufgestellt (53 Prozent). Insbesondere die kleinen und mittleren Unternehmen hinken den großen hinterher: 61 Prozent der Mittelständler (100 bis 499 Mitarbeiter) und nur 40 Prozent der kleinen Unternehmen (10 bis 99 Mitarbeiter) sind vorbereitet. Dabei ist ein IT-Notfallmanagement wichtig, um weitere Schäden abzumildern, Datenabfluss zu stoppen und das Unternehmen schnell wieder in einen betriebsbereiten Zustand zu versetzen. Bereits das Erstellen einer Kontaktliste mit den wichtigsten Ansprechpartnern ist ein erster Schritt in die richtige Richtung.

Unterstützung durch CERT-Teams

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, bei der Erstellung eines Notfallplans auf mehrere Punkte zu achten. Wichtig ist vor allem der Aufbau einer Organisationsstruktur, die im Notfall greift. Gleichzeitig sollten genügend Ressourcen für den Aufbau eines solchen Plans bereitgestellt werden, um alle organisationsweiten Abläufe und Prozesse im Fall der Fälle in kürzester Zeit wieder hochfahren zu können.
Wie das BSI im neuen Lagebericht zur IT-Sicherheit in Deutschland für 2017 schreibt, komme es bei der Bewältigung von sicherheitsrelevanten Vorfällen, sprich im Notfall, darauf an, schnell und angemessen zu reagieren, „um den Abfluss von Daten, eine Gefährdung Dritter oder ein weiteres Ausbreiten eines Angreifers im eigenen Netz zu verhindern“. Sogenannte CERTs oder CSIRTs (Computer Emergency oder Computer Security Incident Response Teams) würden Betroffene und deren IT-Sicherheitsbeauftragte oder Administratoren dabei schnelle Unterstützung anbieten.
Das BSI verfügt seit 1994 selbst über ein solches Computersicherheits-Ereignis- und Reaktionsteam und richtet sich mit einem sogenannten Bürger-CERT auch an Privatpersonen. Letzteres ist 2007 aus dem von Bitkom und der Bundesregierung gegründeten Mcert hervorgegangen. Weitere bekannte CERT-Teams sind das RUS CERT der Universität Stuttgart und das DFN-CERT des Deutschen Forschungsnetzes.

Quelle:
Cancom.info