Wenn Firmen Opfer einer Cyber-Attacke werden, müssen sie sich auf eine längere Auszeit einstellen. Vier von zehn betroffenen mittelständischen Unternehmen sagen, dass sie vier Tage und mehr gebraucht haben, um ihre IT-Systeme wieder herzustellen. Damit hat sich die Zahl, die mit Langzeitfolgen zu kämpfen hat, deutlich erhöht.
Cyberattacken legen Unternehmen zunehmend länger lahm. Das geht aus einer forsa-Umfrage hervor, die der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) in Auftrag gegeben hat. Vier von zehn betroffenen mittelständischen Firmen gaben an, dass sie nach einem erfolgreichen Angriff vier Tage und länger benötigten, um ihre IT-Systeme wieder herzustellen.
Damit ist die Zahl der Firmen, die längere Zeit mit den Folgen einer Attacke kämpfen, deutlich gestiegen. In den Umfragen der Vorjahre sagten noch rund 20 Prozent, dass sie vier Tage und länger für die Wiederherstellung ihrer IT brauchten. GDV-Hauptgeschäftsführer Jörg Asmussen macht die mangelnde Vorbereitung vieler Firmen für die Entwicklung mitverantwortlich: „Ein Drittel hat niemanden, der explizit für die IT-Sicherheit verantwortlich ist. Die Hälfte hat keinerlei Plan für den Umgang mit einer Cyberattacke. Daher reagieren diese Unternehmen auf einen Angriff zu langsam und erleiden unnötig schwere wirtschaftliche Folgen“, sagt Asmussen.
Firmen riskieren dauerhaften Datenverlust
Viele Mittelständler riskieren zudem, dass wichtige Daten von Kundinnen und Kunden dauerhaft verloren gehen. Jedes fünfte mittelständische Unternehmen verzichtet darauf, mindestens einmal wöchentliche Backups zu erstellen oder bewahrt diese nicht sicher auf. Und nur 60 Prozent überprüfen, ob die Daten aus Sicherungskopien tatsächlich wieder hergestellt werden können. „Sicherungskopien sind gerade bei Ransomware-Attacken das wirksamste Gegenmittel und sollten daher so aktuell und so sicher wie möglich sein“, sagt Asmussen.
Von den befragten Firmen sagte mehr als jede vierte (27 Prozent), bereits einmal Opfer einer Cyberattacke geworden zu sein. Und die Gefahr wird noch immer unterschätzt. Die breite Mehrheit (70 Prozent) schätzt die Gefahr für das eigene Unternehmen als gering ein, 79 Prozent meinen, bereits genug für ihre IT-Sicherheit zu tun.
Dass es da aber noch Lücken gibt, zeigt ein Katalog von zehn Maßnahmen, den der GDV mit Sicherheitsexperten erarbeitet hat. Und die viele Unternehmen eben nicht erfüllen. Neben Lücken bei der Datensicherung verzichtet zum Beispiel jedes zweite Unternehmen (51 Prozent) auf ein Notfallkonzept und/oder auf einen externen Dienstleister, der im Fall einer Cyberattacke schnell eingreifen kann. Und 70 Prozent bietet Mitarbeiterinnen und Mitarbeitern keine IT-Sicherheits- und Datenschutz-Schulungen an. Knapp 80 Prozent der Unternehmen haben Lücken im Basisschutz, berichtet der GDV.
Repräsentativ befragt hat forsa 300 Entscheiderinnen und Entscheider aus kleinen und mittleren Unternehmen (max. 250 Mitarbeiter und max. 50 Mio. Euro Jahresumsatz). Die Umfrage fand im April 2021 statt.