Die wahren Kosten von Cyber-Kriminalität

Drastisch gestiegene Unternehmenskosten aufgrund von mangelhaftem Endpoint-Schutz vor komplexen Cyber-Bedrohungen belegt die Studie „White Hat, Black Hat und das Aufkommen von Gray Hat”, die von Osterman Research im Auftrag von Malwarebytes durchgeführt wurde.

Malwarebytes veröffentlichte im August 2018 die Studie „White Hat, Black Hat und das Aufkommen von Gray Hat; Die tatsächlichen Kosten von Cyber-Kriminalität”, die von Osterman Research durchgeführt wurde. Innerhalb der Studie wurden 900 führende IT-Entscheidungsträger und IT-Sicherheitsexperten in Australien, Deutschland, den USA, Großbritannien und Singapur zu den Auswirkungen der Cyberkriminalität auf ihre Geschäftsergebnisse befragt. Darüber hinaus wurden alle Aspekte der IT-Sicherheitskosten, von generellem Budget, Kosten zur Behebung von IT-Angriffen bis hin zu Aufwendungen von Mitarbeiter-Einstellung, -Rekrutierung und -Bindung untersucht.

Zu den zentralen Erkenntnissen der Studie zählen:

► Cyber-Bedrohungen und die Behebung von Cyber-Attacken werden von deutschen Unternehmen sehr ernst genommen – auch wenn sie im internationalen Vergleich nur wenige Großangriffe verzeichnen:

• Während beispielsweise Unternehmen in den USA eine hohe Anzahl sehr schwerwiegender Sicherheitsereignisse in Form von Ransomware oder vorsätzlichen internen Daten-Verstößen (1,8 Vorfälle pro Unternehmen pro Jahr) verzeichneten, sieht die Lage in Deutschland anders aus: Nur 44 Prozent der deutschen Unternehmen waren in den letzten 12 Monaten von einem großen Sicherheitsvorfall betroffen. Sogar 56 Prozent der deutschen Unternehmen haben in den letzten 12 Monaten keinen einzigen Sicherheitsvorfall gemeldet, der niedrigste Wert unter allen befragten Ländern.
• Im internationalen Vergleich nehmen deutsche Unternehmen Sicherheitsbedrohungen sehr ernst: Bei acht Arten von Sicherheitsbedrohungen, die von den Befragten nach Relevanz eingestuft werden sollten, lag der Anteil der deutschen Organisationen, die sie als “sehr ernst” behandeln, mit 49,5 Prozent deutlich höher als bei allen anderen Ländern.
• Deutsche Unternehmen gaben 2017 11,7 Prozent ihres jährlichen Sicherheitsbudgets für die Behebung aktiver Bedrohungen aus. Im Vergleich zum weltweiten Durchschnitt von 12,5 Prozent ist dies zwar ein niedrigerer Wert, er macht dabei aber immer noch einen signifikanten Anteil an den gesamten Sicherheitsbudgets aus. In den USA wurden im Schnitt 429.000 US-Dollar für die Behebung ausgegeben – der absolute Spitzenwert.
• Phishing war weltweit gesehen die häufigste Ursache für größere Vorfälle (44 Prozent), wobei Ransomware (26 Prozent) und Speer-Phishing (20 Prozent) unter den ersten fünf Plätzen waren. Während konkrete Angriffsformen mittlerweile bekannt sind, wird Malware zunehmend komplexer und ausgefeilter.

Bild 1: Registrierte “Großereignisse” im Bereich Cybersicherheit in 2017. Nur 44 Prozent der deutschen Unternehmen waren in den letzten 12 Monaten von einem großen Sicherheitsvorfall betroffen. (Quelle: Malwarebytes)

► Trotz seltener Großereignisse im Bereich Cyber-Kriminalität – Sicherheitsbudgets mit deutlicher Steigerung im Jahr 2018:

• Malwarebytes fand innerhalb der Studie heraus, dass deutsche Unternehmen im Jahr 2017 durchschnittlich nur 0,4 “Großereignisse” pro Unternehmen im Bereich Cyber-Kriminalität erlebt haben (Ereignisse, die zu erheblichen Beeinträchtigungen des unternehmerischen Handelns führen). Das ist ein deutlich niedrigerer Wert als in den anderen untersuchten Ländern. Die USA verzeichnete bis zu 1,8 Ereignisse pro Unternehmen in 2017.
• Die Kosten zur Behebung eines “großen” Sicherheitsereignisses beliefen sich in Deutschland im Jahr 2017 auf etwas mehr als 338.000 Euro. Das ist deutlich über dem weltweiten Durchschnitt von fast 250.000 Euro.
• Das jährliche Sicherheitsbudget in deutschen Unternehmen lag 2017 bei durchschnittlich 178 Euro pro Mitarbeiter und wird 2018 wohl um bis zu 18 Prozent steigen. Ein Unternehmen mit 2.500 Mitarbeitern wird 2018 damit allein für den Punkt IT-Sicherheit 523.770 € ausgeben.

Bild 2: 2017 Sicherheitsbudget für Unternehmen über 2.500 Mitarbeiter (Quelle: Malwarebytes)

► Sogenannte “Gray Hats” und „Black Hats“ sind in Deutschland nicht weit verbreitet – Sicherheitsexperten in deutschen Unternehmen im globalen Vergleich unterbezahlt

• Das durchschnittliche Jahresgehalt für einen angehenden Sicherheitsexperten in Deutschland beträgt 40.737 Euro und stellt damit die zweitniedrigste Vergütung unter den befragten Unternehmen dar. Das höchste Jahresgehalt eines deutschen Sicherheitsexperten liegt mit 93.105 Euro zwar deutlich höher, ist aber immer noch das niedrigste unter den Ländern, in denen die Umfrage durchgeführt wurde.
• Einen Trend hin zum gegebenenfalls lukrativeren illegalen Hacking-Geschäft lässt sich aufgrund der Gehaltsstrukturen in Deutschland nicht ausmachen: Malwarebytes fand in der aktuellen Studie heraus, dass die sogenannte „Black Hat“-Aktivität in Deutschland die geringste unter allen untersuchten Ländern war.
• Auch „Grey Hats“ – Sicherheitsexperten und Cyberkriminelle quasi in Personalunion – sind in Deutschland im Gegensatz zu anderen untersuchten Ländern sehr unüblich.
• In den USA beispielsweise sieht die Lage drastisch aus: Über die Hälfte aller befragten US-Sicherheitsexperten (50,5 Prozent) kennt aktuell oder hat jemanden aus der „Black Hat“-Szene gekannt. Das ist die höchste Quote aller untersuchten Länder. Der weltweite Durchschnitt lag bei 41 Prozent.

„Der derzeitige Fachkräftemangel in Verbindung mit einem stetigen Strom von Angriffen auf veraltete Endpoint-Schutzeinrichtungen treibt die Kosten für Unternehmen aktuell weiter in die Höhe“, so Marcin Kleczynski, Gründer und CEO von Malwarebytes. „Hinzu kommt, dass ‚bösartige Insider‘ innerhalb des eigenen Unternehmens immer häufiger Produktivitäts-, Umsatz-, IP- und Reputationsschäden verursachen. Wir müssen die Notwendigkeit eines angemessenen Sicherheitsbudgets auf Vorstandsebene stärker herausstellen. Das bedeutet auch, die Aktualisierung des Endpunkt-Schutzes sowie die Einstellung und Belohnung der besten und intelligentesten Sicherheitsexperten, die Endgeräteschutz-, Erkennungs- und Abhilfelösungen zu verwalten.”

Die Studie „White Hat, Black Hat und das Aufkommen von Gray Hat; Die tatsächlichen Kosten von Cyber-Kriminalität” deckt den aktuellen Status der Kosten auf, die für Cyberkriminalität und die Motivationen von Cyber-Sicherheitsfachleuten aufgewendet werden, die auf die „dunkle Seite“ als „Black Hats“ wechseln. Den vollständigen globalen Bericht inklusive der detaillierten Ergebnissen und Analysen finden Sie unter diesem Link.

www.malwarebytes.com