Durchschnittliche Phishing-Schäden seit 2015 nahezu vervierfacht

Proofpoint und das Ponemon Institute haben die Ergebnisse einer neuen Studie über die Kosten von Phishing veröffentlicht. [...]

Der Bericht zeigt, dass sich die Kosten von Phishing-Angriffen in den letzten sechs Jahren fast vervierfacht haben, wobei große US-Unternehmen im Durchschnitt 14,8 Millionen US-Dollar (oder 1.500 US-Dollar pro Mitarbeiter) pro Jahr verloren haben.

Laut der Studie, für die fast 600 IT- und IT-Sicherheitsexperten befragt wurden, gehören BEC- (Business Email Compromise, im Deutschen auch CEO-Betrug) und Ransomware-Angriffe zu den teuersten Bedrohungen für Unternehmen. Doch die Kosten für Unternehmen gehen weit über die an die Angreifer gezahlten Lösegelder hinaus.

Das eigentliche Phishing, also der Diebstahl von Anmeldedaten eines Mitarbeiters unter anderem für den PC oder Microsoft-365- und Google-Konten, dient in der Regel zur Vorbereitung eines digitalen Angriffs, auch bei BEC und Ransomware. Die Kriminellen nutzen dafür sowohl Social Engineering als auch technische Tricks, um persönliche Identitätsdaten und Zugangsdaten für (Finanz)-Konten zu stehlen. Die Anti-Phishing Working Group (APWG) schätzt, dass sich die Zahl der Phishing-Angriffe allein im Jahr 2020 verdoppelt hat.

Die wichtigsten Erkenntnisse der Studie

• Der Produktivitätsverlust, beispielsweise durch gesperrte Computer, keinen Zugriff auf Daten oder die Wiederherstellung von Systemen, ist eine der kostspieligsten Folgen von Phishing.
• In einem durchschnittlich großen US-Unternehmen mit 9.567 Mitarbeitern bedeutet dies 63.343 vergeudete Stunden pro Jahr. Das sind rund sieben Stunden verschwendete Arbeitszeit pro Mitarbeiter, mehr als eine Verdopplung im Vergleich zu 2015.
• Business Email Compromise kostet eine große Organisation durchschnittlich jährlich fast sechs Millionen US-Dollar. Davon entfallen auf illegale Zahlungen an BEC-Angreifer jährlich 1,17 Millionen US-Dollar und damit nur rund 20 Prozent der tatsächlichen Aufwendungen für diese Angriffsform.
• Ransomware kostet große Unternehmen jährlich 5,66 Millionen US-Dollar. Davon entfallen 790.000 Dollar auf die gezahlten Lösegelder selbst. Das heißt, lediglich ein Siebtel sind die eigentliche Lösegeldsumme, und die anderen rund 84 Prozent sind Folgekosten.
• Die Kosten für die Behebung von Malware-Infektionen haben sich seit 2015 mehr als verdoppelt. Die durchschnittlichen Gesamtkosten für die Behebung von Malware-Angriffen belaufen sich auf gut 800.000 US-Dollar im Jahr 2021, ein Anstieg von rund 460.000 US-Dollar seit 2015 von damals knapp 340.000 US-Dollar.
• Die Kosten für die Kompromittierung von Zugangsdaten sind seit 2015 drastisch gestiegen. Infolgedessen müssen Unternehmen mehr Geld ausgeben, um auf diese Angriffe zu reagieren. Die durchschnittlichen Kosten für die Eindämmung von Phishing-Angriffen auf Zugangsdaten stiegen etwa 380.000 US-Dollar im Jahr 2015 auf nahezu 700.000 US-Dollar im Jahr 2021.
• Security-Awareness-Trainings reduzierten die Kosten für Phishing im Durchschnitt um mehr als 50 Prozent.