Hohes Risiko: Ernst & Young stellt Studie über Datenklau vor

Der Studie zufolge, für die Geschäftsführer sowie Führungskräfte aus IT-Sicherheit und Datenschutz von 450 deutschen Unternehmen befragt wurden, haben 14 Prozent der deutschen Unternehmen in den vergangenen drei Jahren konkrete Hinweise auf Spionageattacken entdeckt – das seien immerhin doppelt so viele wie noch vor zwei Jahren.Großunternehmen mit mehr als einer Milliarde Euro Umsatz geraten demnach besonders häufig ins Visier von Datendieben: Von ihnen habe sogar jedes fünfte bereits konkrete Attacken festgestellt. Sieben Prozent der deutschen Unternehmen haben sogar mehrfach Hinweise auf Spionage beziehungsweise Datenklau entdeckt.Umso verwunderlicher: Lediglich ein Drittel der deutschen Unternehmen sieht ein eher hohes oder hohes Risiko, Opfer eines Cyberangriffs zu werden – das sind so viele wie im Jahr 2013. Dabei hätte man in den Unternehmen durchaus Grund zur Besorgnis. Öffentlichkeitswirksame Warnsignale gab es jedenfalls reichlich – spätestens seit eine groß angelegte und erfolgreiche Attacke auf das IT-Netz des Deutschen Bundestags bekannt geworden ist.„Die anhaltende Sorglosigkeit vieler Unternehmen überrascht“, sagt Bodo Meseke, Leiter Forensic Technology & Discovery Services bei Ernst & Young. „Sie denken, sie seien ausreichend geschützt oder würden nicht Ziel von Datenklau und Cyberangriffen werden. Dabei zeigen die immer neuen Enthüllungen, dass jeder Ziel solcher Attacken werden kann und dass die gängigen Schutzmechanismen umgangen werden können.“

Unternehmen setzen auf einfache Sicherheitsvorkehrungen

Dennoch hat sich am Sicherheitsgefühl der Unternehmen nichts geändert. Wie schon in der Befragung von vor zwei Jahren halten 82 Prozent der Manager die präventiven Maßnahmen gegen Datenklau in ihrem Unternehmen für ausreichend. Die Sicherheitsvorkehrungen sind in der Regel eher konventionell: Jeweils mehr als 80 Prozent der befragten Unternehmen setzen zur Vorbeugung von Spionageakten weiter nur auf Firewalls, Antivirensoftware und gute Passwörter.Umfassendere Schutzvorkehrungen sind in den Unternehmen hingegen Mangelware: Ein Intrusion-Detection- bzw. Prevention-System, das Hinweise auf die Aktivitäten von Eindringlingen geben kann, leisten sich inzwischen 30 Prozent der Unternehmen und damit immerhin doppelt so viele wie noch 2013. Dennoch aber, so die Autoren der Studie, finden solche Systeme im Vergleich immer noch selten Anwendung.„Das ist fahrlässig. Passwörter und Antivirensoftware können von Hackern heute mitunter minutenschnell umgangen werden. Ein Sicherheitssystem, das lediglich auf diese herkömmlichen Schutzmaßnahmen setzt, öffnet Hackern bereitwillig die Tore. Wer sensible Firmen- oder Kundendaten auf seinen Servern hat, sollte unbedingt strengere Sicherheitsvorkehrungen einführen“, warnt Meseke.

Fast 60 Prozent der Großunternehmen fürchten Cyberangriff

Die Großunternehmen mit mehr als einer Milliarde Euro Umsatz sind sich des Risikos aus dem Netz am ehesten bewusst. 59 Prozent schätzen der Studie zufolge das Risiko, Opfer eines Cyberangriffs zu werden, als eher hoch oder sehr hoch ein. Bei den Umsatzklassen zwischen 50 Millionen bis eine Milliarde Euro und bis 50 Millionen Euro seien lediglich 34 beziehungsweise 29 Prozent so risikobewusst.

Die Unternehmen sind unterschiedlich stark vom Datenklau betroffen – je nach Größe und Branche. So werden Unternehmen der Energie- und der Finanzbranche am häufigsten Opfer von Spionage und Datenklau: In der Energiebranche geben 17 Prozent an, es habe in den vergangenen drei Jahren konkrete Hinweise auf eine Attacke gegeben, bei vier Prozent sogar mehrfach. In der Finanzbranche geben 16 Prozent an, in den vergangenen drei Jahren mit Spionage und Datenklau zu tun gehabt zu haben – hier waren sogar alle von ihnen mehrfach betroffen. In der Industrie wurden 15 Prozent der Unternehmen bereits zum Opfer, sechs Prozent mehrfach.In der Umsatzklasse ab einer Milliarde Euro hat in den vergangenen drei Jahren jedes fünfte Unternehmen einen Angriff auf die eigenen Daten erlebt, 18 Prozent mehrfach. In der darunterliegenden Umsatzklasse ab 50 Millionen Euro können immerhin 16 Prozent von entsprechenden Erfahrungen berichten. Lediglich zehn Prozent der Unternehmen mit bis zu 50 Millionen Euro Umsatz haben Hinweise auf Spionage oder Datenklau entdeckt.

Hohe Dunkelziffer

Die Dunkelziffer dürfte aber deutlich höher sein, gerade bei den kleineren Unternehmen, die oft nicht die entsprechenden Mittel oder das Know-how haben, um solche Attacken zu entdecken. So sind 53 Prozent der entdeckten kriminellen Handlungen durch ein internes Kontrollsystem aufgeflogen. In 21 Prozent der Fälle half nur der Zufall und bei 19 Prozent waren es interne Routineprüfungen. Dort, wo das Kontrollsystem nicht ausreichte oder der Zufall nicht mithalf, sind viele Angriffe also unentdeckt geblieben. „Gerade große und namhafte Unternehmen sind massiv gefährdet – es dürfte kaum einen deutschen Top-Konzern geben, der nicht schon Opfer einer Cyberattacke wurde", so Meseke. "Viele Unternehmen merken es nur nicht, weil die Sicherheitssysteme den Angriff nicht entdecken. Oft fällt der Schaden erst dann auf, wenn es schon zu spät ist – wenn sensible Daten also an anderer beziehungsweise falscher Stelle wieder auftauchen. In einer immer enger vernetzten Welt ist völlige Sicherheit ohnehin nicht mehr zu gewährleisten. Umso wichtiger ist es, Datendieben den Zugriff auf wichtige Informationen so schwer wie möglich und damit unattraktiv zu machen."

In drei von vier Fällen (74 Prozent) handelte es sich bei den in der Studie erwähnten Attacken um Hackerangriffe auf die EDV-Systeme, in 21 Prozent wurden IT-Systeme vorsätzlich lahmgelegt. Deutlich seltener wurden Kunden- oder Arbeitnehmerdaten abgegriffen (elf Prozent), Mitarbeiter abgeworben oder Datenklau durch eigene Mitarbeiter begangen (jeweils zehn Prozent). In den meisten Fällen (48 Prozent) ließ sich der Täter nicht zuordnen – er blieb unerkannt. In 18 Prozent der Fälle konnten sogenannte Hacktivisten – also Hackergruppen wie Anonymous – als Täter identifiziert werden, in 15 Prozent ein konkurrierendes ausländisches Unternehmen.

www.ey.com/DE/