Warum eine fachlich überschätzte IT-Abteilung der IT-Sicherheit schadet

Eine aktuelle G DATA-Umfrage zeigt: Unternehmen wiegen sich in falscher Sicherheit. [...]

Vier von fünf Befragten bescheinigen ihrer IT-Abteilung große Kompetenzen – wie die aktuelle Studie „Cybersicherheit in Zahlen“ von G DATA CyberDefense, Statista und brand eins belegt. Die Zuschreibung hervorragender Fähigkeiten der IT-Verantwortlichen zeigt das Vertrauen in ihre Arbeit, gleichzeitig offenbart sich dadurch aber auch ein enormes Risiko für die IT-Sicherheit in Unternehmen. Wenn Entscheider die Firma nicht als potenzielles Ziel für Angriffe und keinen Handlungsbedarf für zusätzliche Investitionen in IT-Sicherheitsmaßnahmen sehen, steigt das Risiko einer Cyberattacke.

Fast 80 Prozent der befragten Arbeitnehmer in Deutschland attestieren ihrer IT-Abteilung oder den IT-Verantwortlichen in ihrer Firma große bis sehr große Kompetenzen. Dies zeigt die exklusive Umfrage „Cybersicherheit in Zahlen“ von G DATA CyberDefense, Statista und brand eins. Was auf den ersten Blick positiv erscheint, birgt jedoch eine große Gefahr für die IT-Sicherheit im Unternehmen: Eine gut aufgestellte IT-Abteilung mit erstklassigen IT-Fachkräften bedeutet nicht gleichzeitig, dass die IT-Verantwortlichen auch den Bereich IT-Sicherheit hinreichend abdecken können. Eine zu hohe Arbeitsbelastung und Fachkräftemangel sind wesentliche Gründe dafür. Die Aufgaben von IT-Abteilungen in Unternehmen sind vielfältig und reichen von der Installation der Hardware, über die Einrichtung relevanter Software, dem Einspielen von Updates bis zur Sicherung von Backups. Die Umsetzung von IT-Sicherheitsmaßnahmen fällt ebenfalls in den Bereich der IT. Ist das Fachgebiet IT-Sicherheit jedoch nicht mit qualifizierten IT-Experten intern oder extern besetzt, kann eine gut aufgestellte IT-Abteilung einen Cyberangriff nicht verhindern.

„Unternehmen müssen sich die Frage stellen, ob sie mit einer ausgezeichneten IT-Abteilung auch den Bereich IT-Sicherheit genügend abdecken können“, sagt Tim Berghoff, Security Evangelist bei G DATA CyberDefense. „IT-Security ist mittlerweile ein eigenständiger Bereich, der neben dem notwendigen Know-how auch viel Zeit in Anspruch nimmt. IT-Sicherheit lässt sich nicht nebenbei bewältigen. Diese Zeiten sind vorbei.“

Kompetenzwahrnehmung abhängig von eigenen Fähigkeiten und Abteilung

Hinzu kommt: Die Wahrnehmung der Kompetenzen der IT-Abteilung in Unternehmen unterscheidet sich bei den befragten Arbeitnehmer deutlich von den eigenen Fähigkeiten und der Abteilungszugehörigkeit. Bei Personen, die selbst eine große IT-Sicherheitskompetenz haben oder aus der Geschäftsleitung stammen, sind es knapp 90 Prozent, die der IT-Abteilung großes Können zuschreiben. Genau hier liegt das Problem: Sehen die Verantwortlichen keine Notwendigkeit mehr, Geld in die IT-Abteilung zu investieren, um mehr IT-Sicherheitsmaßnahmen umzusetzen oder den Sicherheitsstatus zu überprüfen, stellt dies eine große Gefahr dar – insbesondere für KMU. Verantwortliche betrachten ihr Unternehmen nicht als Angriffsziel, da die IT-Abteilung gut aufgestellt ist. Doch Cyberkriminelle greifen auch kleinere Firmen an, die beispielsweise Teil einer Lieferkette sind, um große Unternehmen zu attackieren. Jedes Unternehmen sollte daher prüfen, ob die IT-Verantwortlichen in der Lage sind, den Bereich Cybersecurity abzudecken oder ob hier Unterstützung eines externen IT-Dienstleisters notwendig ist.