Unternehmen von Cyber-Kriminalität betroffen

46 Prozent der deutschen Unternehmen haben in den vergangenen zwei Jahren Cyber-Kriminalität, Wirtschaftsspionage oder sonstige IT-Sicherheitsvorfälle registriert. Unter den Angriffsarten liegt Phishing (73 Prozent) mit Abstand vorne. Es folgen nach Häufigkeit: Social Engineering (46 Prozent), Krypto-Trojaner (38 Prozent), Schadsoftware (35 Prozent), DDOS-Attacken (19 Prozent). 

Die Gefahr, in den nächsten 12 Monaten Opfer einer Cyber-Attacke zu werden, schätzen 57 Prozent als hoch oder sehr hoch ein, nur 18 Prozent gehen von keiner akuten Bedrohung aus. Das sind die zentralen Ergebnisse einer Umfrage der Personalberatung Rochus Mummert in Zusammenarbeit mit der Cyber Akademie Berlin zum aktuellen Stand der IT-Sicherheit. 

Bedrohungslage nimmt zu

Social Engineering, Phishing, DDOS-Attacken oder Krypto-Trojaner: Cyber-Kriminalität ist in der deutschen Wirtschaft schon fast alltäglich – und wird weiter zunehmen. Damit rechnet jedenfalls die Mehrheit der Befragten der Studie von Rochus Mummert und der Cyber Akademie.

„Die meisten Unternehmen haben verstanden, wie akut die Bedrohung ist und wo die größten potenziellen Schwachstellen liegen“, sagt Dr. Linus Gemmeke, Partner bei Rochus Mummert und Initiator der Umfrage. „Aber nicht alle setzen die angebrachten Maßnahmen konsequent genug um. Oft kommt es gar nicht so sehr auf mehr Investitionen an, sondern vielmehr auf die Schaffung anderer Strukturen und neuer Positionen.“

Immer mehr Unternehmen schaffen CISO-Position

Die Digitalisierung ist in den meisten deutschen Unternehmen Chefsache. Bei 38 Prozent der Befragten wird die digitale Transformation am stärksten vom Vorstand oder der Geschäftsführung getrieben, 22 Prozent haben einen eigenen Digitalverantwortlichen. Die IT-Abteilung dagegen gilt nur in 15 Prozent der Fälle als Treiber, noch geringer fällt der Wert für die Führungskräfte (14 Prozent) oder die Mitarbeiter allgemein (3 Prozent) aus.

Und wer definiert die IT-Sicherheitsstrategie? Bei 36 Prozent der befragten Unternehmen ist der Chief Information Security Officer (CISO) dafür verantwortlich, gefolgt vom CIO (27 Prozent) und dem mittleren/unteren Management (19 Prozent). In den Händen des CEOs liegt die Sicherheitsstrategie nur in Ausnahmefällen. „Zweifelsohne ist die IT-Sicherheitsstrategie am besten bei einem CISO aufgehoben. Unsere Umfrage zeigt, dass dies immer mehr Unternehmen in Deutschland erkennen. Noch allerdings gibt es diese Position bei rund zwei Dritteln nicht“, sagt Dr. Linus Gemmeke.

Großer Nachholbedarf bei gelebter IT-Sicherheit

Als größte Schwachstelle für die IT-Sicherheit werden die eigenen Mitarbeiter gesehen: 60 Prozent der Studien-Teilnehmer schätzen mögliches Fehlverhalten als hohes bis sehr hohes Risiko ein. Zum Vergleich: Mängel in der IT-Infrastruktur oder beim Passwortschutz halten nur 19 Prozent bzw. 34 Prozent für ein hohes Risiko.

So gelten auch folgende Faktoren als größte Hürden für einen wirksameren Schutz bei der IT-Sicherheit: „Unaufmerksame Mitarbeiter“, sagen 71 Prozent der Befragten, „zu geringe Aufmerksamkeit durch das Führungspersonal“ (57 Prozent) und „Fachkräftemangel in IT-Branche“ (52 Prozent). Dagegen sind „zu wenig finanzielle Mittel“ oder „gesetzliche Vorgaben“ etwa beim Datenschutz nur bei der Minderheit der Unternehmen ein Problem.

Gleichzeitig sind Schulungen von Mitarbeitern zu IT-Sicherheit auch 2019 noch kein Standard. Zwar haben fast alle Unternehmen eine IT-Sicherheitsrichtlinie (80 Prozent) oder planen und implementieren sie gerade (15 Prozent). Auch informiert die Mehrheit der Unternehmen die Mitarbeiter, etwa per E-Mail oder Flyer (85 Prozent). Dabei bleibt es jedoch in den meisten Fällen. Lediglich 50 Prozent der Unternehmen setzen auf Schulungen, wenn es einen konkreten Vorfall gegeben hat. Anlassunabhängige, regelmäßige Schulungen gibt es nur bei 37 Prozent der befragten Unternehmen.

Auch die Fachkompetenz des Führungspersonals beim Thema IT-Sicherheit wird häufig als ausbaufähig angesehen: 38 Prozent der Studienteilnehmer benoten sie zwar mit „gut“ oder „sehr gut“, aber genauso viele (39 Prozent) der Befragten attestieren den Führungskräften gerade einmal durchschnittliche, 23 Prozent sogar unterdurchschnittliche oder mangelhafte Kenntnisse.

„Bei den IT-Kompetenzen des Führungspersonals generell gibt es noch deutliches Verbesserungspotenzial“, sagt Dr. Linus Gemmeke. Insofern erscheint es auch nicht verwunderlich, dass die Befragten Führungskräfte in der Mehrheit nicht als Treiber der Digitalisierung ausmachen. „In den meisten Fällen können sie nicht die Position eines CISOs ersetzen“, so Gemmeke. „Unsere Umfrage zeigt, dass das IT-Sicherheitsbewusstsein noch nicht hinreichend ausgeprägt und das Wissen der Führungskräfte über Bedrohungen zu gering ist“, sagt Florian Lindemann, Leiter der Cyber Akademie und Co-Autor der Studie. „Dabei können herausragende Kompetenzen in diesem Bereich ein klarer Wettbewerbs- und Standortvorteil sein.“

Zur Umfrage

Für die Umfrage haben Rochus Mummert und die Cyber Akademie Berlin im Januar und Februar 2019 insgesamt 93 Entscheider in deutschen Unternehmen aus allen Branchen und im öffentlichen Sektor befragt. 50 Prozent der Studienteilnehmer arbeiten in Unternehmen mit mehr als 1000 Beschäftigten, 30 Prozent in Unternehmen mit 51 bis 1000 Beschäftigten und 20 Prozent in kleineren Unternehmen.  

www.rochusmummert.com