Cyber-Angriffe: „Gerade kleine Unternehmen sind oft ein leichteres Ziel“

Versicherungsbote: Gibt es Unternehmen, die besonders beliebt sind bei Cyber-Kriminellen – die also häufiger angegriffen werden als andere Unternehmen? Gibt es Branchen, die besonders betroffen sind?

Gisa Kimmerle: Um das zu beurteilen, müssen wir zunächst einen Blick auf die allgemeine Entwicklung werfen, in unserem Fall speziell für Deutschland: Die Häufigkeit von Cyberangriffen ist hierzulande zweistellig gestiegen, von 46 Prozent im Vorjahr auf jetzt 58 Prozent. Die Gesamtzahl der Angriffe kletterte ebenfalls im Median von 6 auf 10 pro Unternehmen. Deutschland weist damit international die zweithöchste Inzidenzrate auf, lediglich in Irland gab es mehr Angriffe.

Und natürlich werden einzelne, besonders attraktive Wirtschaftsbereiche häufiger zur Zielscheibe von Cyberkriminellen. Drei spezielle Branchen waren in den vergangenen drei Jahren weltweit am stärksten betroffen: die Industrie, die Logistik und der Energiesektor. Im Vergleich zum Vorjahr sind die durchschnittlichen Kosten, die durch Cyberangriffe verursacht wurden, im Bereich Logistik am stärksten gestiegen (um 28 Prozent). Diese Bedrohungslage ist bei den Firmen längst angekommen, Cyberangriffe werden in Deutschland erneut als größtes Geschäftsrisiko angesehen, noch vor drängenden Herausforderungen wie dem Fachkräftemangel.

Was lässt sich über die Höhe der Schäden sagen? Gab es Unternehmen, die in existenzieller Weise geschädigt wurden?

Im Median sind die Kosten etwas gesunken, von etwa 19.000 Euro im Vorjahr auf jetzt 14.800 Euro. Eine von acht Firmen hatte Kosten von mehr als 250.000 Euro durch Cyberangriffe zu verkraften. Und tatsächlich können diese Kosten eine große Bedrohung sein. Jedes fünfte angegriffene Unternehmen (21 Prozent) gab an, dass die Auswirkungen so gravierend waren, dass die wirtschaftliche Existenz bedroht war.

Genau aus diesem Grund ist es gerade für kleinere und mittelständische Firmen essenziell, eine gute Cyber-Versicherung abzuschließen und sich gegen existenzbedrohende Risiken, wie z.B. das eines längeren Betriebsausfalls, abzusichern. Besonders wichtig sind darin enthaltene Assistance-Leistungen, da insbesondere KMU im Notfall oft nicht schnell genug an das nötige Personal oder Dienstleister kommen. Ein kompetenter Partner und die richtige Absicherung können im Schadenfall entscheidend sein, gerade wenn eine Firma über keine ausreichenden finanziellen Rücklagen verfügt.

Haben sich Strategien verändert, mit denen Cyberkriminelle agieren? Gibt es neue Formen von Cyber-Betrug?

Die Cyber-Bedrohungslage entwickelt sich dynamisch, und selbst das beste Sicherheitskonzept kann morgen bereits obsolet sein. Der kriminellen Kreativität sind im Prinzip keine Grenzen gesetzt, und parallel professionalisieren sich die Angreifer wie in den vergangenen Jahren immer weiter. Was die Strategie der Hacker anbelangt: die Kompromittierung von Geschäfts-E-Mails ist die beliebteste Methode der Hacker (35 Prozent), gefolgt vom Hack über einen Unternehmens- oder Cloudserver (31 bzw. 29 Prozent). 43 Prozent der Unternehmen erlitten finanziellen Schaden aufgrund von Zahlungsumleitungsbetrug, wobei Kriminelle etwa über gefälschte E-Mail-Domains angeblich geänderte Bankdaten von Dienstleistern verschicken und sich so Zahlungen erschleichen.

Warum sind selbst kleine Unternehmen trotz ihrer Größe nicht von Cyberangriffen ausgenommen?

Tatsächlich ist der Anteil an kleinen Unternehmen (bis 49 Mitarbeitende), die angegriffen wurden, um die Hälfe gestiegen und liegt inzwischen bei 38 Prozent. Die Firmen werden vor allem Opfer von ungezielten Angriffswellen, die zum Ziel haben, möglichst viele Unternehmen gleichzeitig zu schädigen. Bei dieser Form des Angriffs wird gleich ein Bündel unterschiedlicher Schadsoftware verschickt, um so eine Vielzahl von IT-Systemen durchdringen zu können. Bei einer hohen Anzahl von Angriffszielen ist die Trefferquote zwar vergleichsweise gering, in der Masse aber durchaus ergiebig. Wenn eine E-Mail millionenfach versendet wird, genügt bereits eine Öffnungsrate von einer aus 1.000 Mails mit Schadsoftware. Fehlt es dann an effektiven Präventionsmaßnahmen und Abwehrmechanismen, ist es für Hacker-Gruppierungen ein Leichtes, in unterschiedliche IT-Systeme einzudringen und kritische Daten zu entwenden.

Gerade kleine Unternehmen verfügen über geringere finanzielle Mittel für die Absicherung der IT-Infrastruktur und sind somit oft ein leichteres Ziel. Diesen Nachteil haben viele Firmen bereits erkannt und investieren deutlich mehr in Sicherheitsmaßnahmen. Die durchschnittlichen Ausgaben für Cybersicherheit stiegen innerhalb von drei Jahren um 39 Prozent auf 155.000 Euro. Bei Unternehmen mit weniger als zehn Mitarbeitern haben sie sich innerhalb von zwei Jahren vervierfacht. Deutsche Unternehmen geben im internationalen Vergleich mit 179.437 Euro am meisten für IT-Sicherheit aus.