Studie: Viele Unternehmen steigern Sicherheitsausgaben erst nach einem Schadensfall

Die Wirtschaft wird immer vernetzter und dadurch auch anfälliger für Hackerattacken. Bei mehr als der Hälfte der für eine Studie befragten Unternehmen wurde im vergangenen Jahr zumindest eine Cyberattacke registriert. Bevor jedoch Verbesserungsmaßnahmen im Unternehmen eingeleitet werden, muss zuvor oft erst ein signifikanter Schaden durch eine Cyberattacke entstehen. [...]

Erst wenn ein echter Schaden entstanden ist, sehen es drei Viertel der Befragten als wahrscheinlich an, dass auch die Ausgaben für Cyber Security steigen, wie aus der Global Information Security Survey 2018 der Prüfungs- und Beratungsorganisation EY hervorgeht. An der Umfrage beteiligten sich weltweit mehr als 1.400 Unternehmen. Eine Cyberattacke ohne zugefügten Schaden würde demnach bei 63 Prozent der Unternehmen voraussichtlich nicht zu höheren Sicherheitsausgaben führen.

Immerhin würden aber die Ausgaben für die Abwehr von Attacken über das Internet bei der Mehrzahl der Unternehmen steigen. Nahezu die Hälfte der IT-Verantwortlichen hält Budgetsteigerungen um ein Viertel oder sogar deutlich mehr für nötig.

„Cyberangriffe auf Unternehmen sind längst keine Seltenheit mehr – sie sind an der Tagesordnung“, so Gottfried Tonweber, Director IT Advisory und Leiter Cyber Security Services bei EY Österreich. „Selbst die Unternehmen, die noch keinen Angriff registriert haben, könnten betroffen sein, ohne etwas davon mitzubekommen. Unternehmen, die erst reagieren, wenn das Kind in den Brunnen gefallen ist, handeln fahrlässig: Der Schadensfall kann schnell verheerende Auswirkungen haben.“ Die globale EY-Umfrage hat ergeben, dass das durchschnittliche Schadensausmaß eines Data Breachs rund 3,6 Millionen US-Dollar beträgt.

„Kundendaten und Geschäftsgeheimnisse können in die falschen Hände geraten und einen nachhaltigen Vertrauensverlust nach sich ziehen. Server können lahmgelegt werden und zu kostspieligen Produktionsausfällen führen. Öffentlichkeitswirksame Attacken wie Petya oder Wannacry haben bei vielen Unternehmen zwar das Bewusstsein für die Gefahren geweckt, allerdings besteht in fast jeder Organisation noch ein großer Aufholbedarf. Beispielsweise wurde erst unlängst bekannt, dass 1.464 Mitarbeiter des öffentlichen Dienstes in Australien ‚password123‘ als ihr Passwort haben“, ergänzt Drazen Lukac, Partner IT Advisory bei EY Österreich.

Mangel an Know-how und Budgetmittel schränkt Cybersicherheit ein

So ist Geld zwar ein entscheidender Faktor im Kampf gegen Cyberangriffe, aber nicht unbedingt der wichtigste: 30 Prozent der Befragten geben an, dass das benötigte Know-how im Umgang mit Cyber-Bedrohungen im Unternehmen nicht vorhanden ist. In Österreich zeigt sich speziell die Personalausstattung verbesserungswürdig. Hierbei gibt die Mehrheit der Unternehmen an, dass sie noch nicht ausreichend personelle Kapazitäten für Informationssicherheit vorgesehen haben.

„Viele Firmen sind derzeit auf der Suche nach einer Digitalisierungsstrategie. Das ist gleichzeitig die Chance, Cyber Security von Anfang an mitzudenken und sie zu einem integralen Bestandteil der Geschäftsprozesse zu machen“, so Tonweber. „Unternehmen sind gut beraten, Cyber Security als mitentscheidend für den Geschäftserfolg anzusehen und zur Chefsache zu machen.“

Gerade kleinere Unternehmen haben oft nicht die Mittel oder Strukturen, um Angriffe sofort zu erkennen. In Österreich sieht sich weniger als die Hälfte der Unternehmen in der Lage, einen umfassenden Cyber-Angriff zu erkennen. „Gerade Unternehmen, die nicht ausreichend Know-how für interne Lösungen haben, sollten externe Unterstützung in Betracht ziehen. Nur so können sie sich angemessen vor Attacken schützen“, so Lukac.

Kunden- und Finanzinformationen sind besonders sensible Daten

Die größten Sicherheitsrisiken hängen aus Sicht der Befragten direkt mit dem operativen Geschäft zusammen: Kundeninformationen, Finanzinformationen und Strategiepläne sind aus Sicht der IT-Verantwortlichen die sensibelsten Daten, die Kriminelle abgreifen können. Sicherheitslücke Nummer Eins sind aus Sicht der Befragten die eigenen Mitarbeiter: Ein Drittel nennt unaufmerksame beziehungsweise unvorsichtige Mitarbeiter als Einfallstor für Cyberkriminelle, nur ein Viertel macht veraltete Sicherheitsprogramme dafür verantwortlich.

„Mitarbeiter müssen kontinuierlich geschult und über Datensicherheit aufgeklärt werden“, rät Tonweber. „Menschen sind nach wie vor die größte Schwachstelle in puncto Sicherheit. Sie fallen auf Phishing-Attacken herein oder surfen auf unsicheren Webseiten. Obwohl das Risiko durch gefälschte E-Mails in den Medien nicht mehr so präsent ist, zeigen Daten aus dem ersten Halbjahr 2018, dass täglich 6,4 Mrd. Fake-Mails im Umlauf sind. Solche Risiken können Firmen beispielsweise durch Trainingsprogramme minimieren.“

„Neue und bestehende Compliance Vorgaben hinsichtlich Cyber Security wie die EU-DSGVO und NIS Richtlinie haben speziell in Österreich zu einem größeren Bewusstsein für Cyber Security auf Vorstandsebene geführt. Die neueste Richtlinie über den Schutz vertraulicher Geschäftsinformationen und des Know-hows ist ein weiterer Grund, warum man hinsichtlich Informationssicherheit diesen Weg fortsetzen sollte“, ergänzt Lukac.