Die Fälle von Cyberüberwachung und -kriminalität nehmen zu – das Risikobewusstsein deutscher Unternehmen aber nicht: Dies ist das Ergebnis einer Befragung der Prüfungs- und Beratungsgesellschaft Ernst & Young. Sie hatte im Mai und im Juni dieses Jahres Geschäftsführer sowie Führungskräfte aus IT-Sicherheit und Datenschutz von 450 deutschen Unternehmen zum Thema „Datenklau in Unternehmen“ befragt. Durchgeführt hat die Befragung das unabhängige Marktforschungsinstitut Valid Research Bielefeld.
Gefahrenbewusstsein nur leicht gestiegen
Wie Ernst & Young feststellt, machen sich trotz veränderter Informationslage – etwa nach der groß angelegten und erfolgreichen Attacke auf das IT-Netz des Deutschen Bundestags – weiterhin nur eine Minderheit der Manager Sorgen bezüglich des eigenen Unternehmens mit Blick auf Spionage und Cyberangriffe: Nur jeder dritte Befragte bewertet das Risiko für das eigene Unternehmen als eher hoch oder als sehr hoch. Gegenüber 2013 ist das Gefahrenbewusstsein damit nur geringfügig gestiegen.
Allerdings erwarten die Unternehmen durchaus eine Verschärfung des Problems. Acht von zehn Managern (81 Prozent) gehen von einer wachsenden Bedrohung aus dem Netz aus – das sind laut Ernst & Young etwas mehr als noch vor zwei Jahren (76 Prozent). Dabei geht die größte Gefahr aus Sicht der Manager von China aus: 46 Prozent nennen das Land als Region mit dem höchsten Risikopotenzial, dahinter folgen Russland (33 Prozent) und die USA (31 Prozent).
Gestiegen ist die Zahl der entdeckten Attacken
Wie Ernst & Young weiter mitteilt, hatten 14 Prozent der deutschen Unternehmen in den vergangenen drei Jahren konkrete Hinweise auf Spionageattacken, also doppelt so viele wie noch vor zwei Jahren. Großunternehmen mit mehr als einer Milliarde Euro Umsatz geraten besonders häufig ins Visier von Datendieben: Von ihnen hat sogar jedes fünfte bereits konkrete Attacken festgestellt. Sieben Prozent der deutschen Unternehmen haben sogar mehrfach Hinweise auf Spionage beziehungsweise Datenklau entdeckt. Die Dunkelziffer dürfte weit höher sein: In jedem fünften Unternehmen (21 Prozent) flogen die kriminellen Handlungen nur durch Zufall auf.
Firewall, Antivirenschutz und Passwörter sind Standard
Am weitesten verbreitet im IT-Bereich ist an Sicherheitsvorkehrungen die Firewall, Antivirensoftware sowie der Passwortschutz auf allen Geräten, nämlich mehr als 80 Prozent der befragten Unternehmen. Umfassendere Schutzvorkehrungen wie das Intrusion-Prevention-System werden verstärkt, weiterhin aber vergleichsweise selten genutzt. Entsprechendes gilt für die Zertifizierung nach BSI-Standard. Eine neue Entwicklung ist die Einrichtung eines Security-Operation-Centers.
Im Bereich Objektsicherheit wurden die Sicherheitsvorkehrungen dagegen eher zurückgefahren. Leicht zurück gingen etwa die Zugangskontrollen zum Firmenareal oder die besondere Sicherung von Serverbereichen. Zugenommen haben die regelmäßigen Untersuchungen auf Wanzen.
Sicherheitsvorkehrungen im Bereich Personal
Nach wie vor großgeschrieben werden Geheimhaltungsverpflichtungen in Arbeitsverträgen. Hoch im Kurs steht auch die Sensibilisierung der Mitarbeiter für die Gefahr von Spionage inklusive personalfördernden Maßnahmen zur Steigerung der Verbundenheit zu den Mitarbeitern. Whistle-Blowing-Systeme sind hingegen nur bei den wenigsten Unternehmen zu finden.
Prozesstechnische Vorkehrungen und Maßnahmen gegen Cyberangriffe
Abhörsichere Kommunikation gibt es laut Ernst & Young-Befragung in weniger als jedem fünften Unternehmen. Standard sind demgegenüber klare Regeln für den Umgang mit sensiblen Informationen und der Verpflichtung der Geschäftspartner zur Geheimhaltung.
Zur Abwehr von Cyberangriffen setzen die Unternehmen vor allem auf eine verstärkte Netzwerkanalyse sowie eine verbesserte Aufklärung und Aufbereitung konkreter Sicherheitsvorfälle. Umfassendere Maßnahmen, wie die vollumfängliche Aufklärung von Cybervorfällen und Krisensimulationen von Angriffsszenarien, sind nur von jedem fünften Unternehmen beabsichtigt.
Fazit:
Für Unternehmen besteht durchaus Grund zur Besorgnis. Die gängigen Sicherheitsmechanismen wie Firewalls und Antivirenschutz sind umgehbar. Sich auf eher konventionelle Sicherheitsvorkehrungen zu beschränken ist risikoreich. Dies liegt nicht zuletzt an der Aggressivität und Professionalität der Angreifer. Ging es den Hackern in den Anfangszeiten des Internets noch eher um die Befriedigung ihrer Abenteuerlust ohne den Gedanken an einen finanziellen Gewinn, sind heute professionelle Hacker am Werk, die mit krimineller Energie auch kleinere Unternehmen in den Blick nehmen.
