„Nun sind wir bei der Dreifacherpressung angekommen“

Rund ein Drittel der Unternehmen zahlt Lösegeld aus Ransomware-Angriffen. Die Dunkelziffer ist weitaus höher. Die ITWELT.at sprach mit Georg Beham, Partner und Cybersecurity und Privacy Leader bei PwC Österreich. [...]

Welchen Stellenwert nehmen die Themen IT-Security und Datenschutz in heimischen Unternehmen ein – und hier besonders auf Geschäftsleitungs- bzw. Vorstandsebene? Sind Änderungen festzumachen bezogen auf frühere Umfragen?

Der Stellenwert von IT-Sicherheit und Datenschutz in heimischen Unternehmen, insbesondere auf Geschäftsleitungs- bzw. Vorstandsebene, hat in den letzten Jahren erheblich zugenommen. Unternehmen sind sich zunehmend bewusst geworden, dass sie ihre IT-Infrastruktur und Daten vor Bedrohungen schützen müssen, um finanzielle Verluste, Reputationsrisiken und rechtliche Konsequenzen zu vermeiden. Auch Aufsichtsräte möchten über die Cyberrisiken vom Vorstand informiert werden. Dies führt zu einer positiven Dynamik und der Umsetzung wichtiger Resilienz-Maßnahmen.

Was sind konkret die größten Bedrohungen aus der Sicht der befragten Personen? Decken sich die subjektive Wahrnehmung mit objektiven Studien im Bereich Security und Datenschutz?

50 Prozent der befragten österreichischen Führungskräfte in unserer neuesten Studie “Digital Trust Insights 2024” befürchten in den nächsten 12 Monaten katastrophale Cyberattacken, verursacht von GenAI. Ich persönlich sehe aber keinen Black Swan auf uns zukommen. Die Cyberangriffe werden durch GenAI schneller, häufiger und von besserer Qualität. Die Abwehrmaßnahmen ändern sich aber nicht.

Gibt es Erfahrungen im Bereich Ransomware? Wenn Ja, wird mehrheitlich gezahlt?

Voriges Jahr war bei Ransomware zu erkennen, dass neben der Verschlüsselung auch die Daten geleakt werden, und somit ein doppelter Druck auf die Unternehmen aufgebaut wurde. Nun sind wir bei der Dreifacherpressung angekommen: Bei diesen Ransomware-Angriffen kombiniert der Akteur Datenverschlüsselung, Drohungen der Datenveröffentlichung und Lösegeldforderungen an betroffene Dritte wie Kunden oder Partner. Diese Taktik erhöht den Druck auf die Opfer, um Lösegeldzahlungen
wahrscheinlicher zu machen, und verdeutlicht die wachsende Aggressivität solcher Cyberangriffe. Es gibt verschiedenste Erhebungen, die zeigen, dass um die 30 Prozent der Unternehmen Lösegeld zahlen. Da sich jene, die zahlen, oftmals nicht dazu äußern, gehe ich aber von einer weitaus höheren Dunkelziffer aus.

Was planen Unternehmen, um dem steigenden Risiko entgegenzutreten? Gibt es mehr Budget? Werden die IT-Security-Mannschaften verstärkt?

Laut den Umfrageergebnissen planen 60 Prozent der heimischen Unternehmen, ihr Budget für Cybersecurity zu erhöhen. Dies zeigt, dass Unternehmen die Bedeutung von IT-Sicherheit erkennen und bereit sind, finanzielle Ressourcen dafür bereitzustellen. Auch planen Unternehmen, ihre Cybersecurity zu verstärken. Um den Fachkräftemangel zu kompensieren, planen viele vorhandene Mitarbeiter weiterzubilden und so den steigenden Anforderungen an IT-Sicherheit gerecht zu werden oder setzen auf externe Serviceanbieter.

Welche technischen Maßnahmen werden gesetzt, um den Schutz zu erhöhen?

In Österreich ist die Netzwerksicherheit laut unseren Befragten mit 64 Prozent die wichtigste Maßnahme. Hier ist insbesondere aber die Netzwerksegmentierung hervorzuheben. Ich persönlich sehe beim Thema OT Security den größten Aufholbedarf. Die Studie zeigt leider, dass dieses Risiko immer noch nicht ausreichend beachtet wird und nur 27 Prozent ihr Cyber-Budget entsprechend allokieren.

Welche Rolle spielt das Thema NIS2?

NIS2 spielt eine große Rolle bei den Unternehmen – da hier gerade das Management persönlich in die Verantwortung und auch Haftung genommen wird. Zusätzlich ist Cybersecurity ein unbekanntes, schwer einschätzbares Risiko für Geschäftsführer und Vorstände, dem sie in der Vergangenheit wenig Aufmerksamkeit geschenkt haben. Die Kombination eines unkalkulierbaren Risikos gemeinsam mit einhergehender Haftung führt zu Handlungsbedarf. Das Wissen zu NIS2 ist jedoch bei sehr vielen Betroffenen noch nicht genügend angekommen.

Welche Rolle spielt aus Sicht der befragten Unternehmen KI – sowohl auf Angreifer- als auch auf Verteidigungsseite?

Aufgrund der rasanten Verbreitung von generativer KI sind Führungskräfte zunehmend um ihre Cybersicherheit besorgt: 50 Prozent hierzulande erwarten, dass GenAI in diesem Jahr zu verheerenden Cyberangriffen führen wird. Sechs von zehn beabsichtigen, GenAI auf ethische und verantwortungsvolle Weise zu nutzen, um so auch mögliche Angriffe abzuwehren.

Drei Viertel der Führungskräfte äußern neben der Sorge vor Angriffen aber auch Begeisterung für das Potenzial: 73 Prozent erwarten, dass generative KI ihrem Unternehmen in den nächsten drei Jahren dabei helfen wird, neue Geschäftsfelder zu entwickeln. Ähnlich viele gehen davon aus, dass der individuelle Einsatz generativer KI-Technologien durch die Mitarbeitenden ihre Produktivität spürbar steigern wird und, dass KI-gesteuerte Prozesse innerhalb eines Unternehmens die allgemeine Produktivität steigern werden. Die Cyberverantwortlichen müssen sich mit den KI-Initiativen ihrer Unternehmen vertraut machen und die Risiken absichern. Zumindest sollte eine klare Regelung zur Verwendung von Cloud basierter KI vorgegeben sein.

Inwieweit sind Unternehmen vom Fachkräftemangel im Bereich IT-Security uns Datenschutz betroffen? Was wird dagegen unternommen?

Der Fachkräftemangel im Bereich IT-Security und Datenschutz betrifft Unternehmen stark und führt zu verschiedenen Reaktionen und Maßnahmen. Unternehmen setzen auf interne Qualifikationsförderung, den Einsatz von Managed Security Services und Umschulungen. Natürlich ist es auch wichtig, Talente im Unternehmen zu halten. Trotzdem bleibt der Fachkräftemangel eine anhaltende Herausforderung für Unternehmen – nicht nur im Bereich der Cybersicherheit.