Cybercrime kostet deutsche Unternehmen 55 Milliarden Euro jährlich

Die deutsche Wirtschaft wähnt sich beim Thema IT in einer falschen Sicherheit. Jährlich entstehen den Unternehmen hierzulande ein Schaden von 55 Milliarden Euro. Dabei wurden 53 Prozent der Unternehme in den vergangenen beiden Jahren Opfer einer Cyberattacke, so eine aktuelle Studie des BITKOM. Der Vergleich zur gleichen Untersuchung von vor zwei Jahren zeigt jedoch nur einen moderaten Anstieg der Übergriffe und der Schäden.

Die Folgen können weitreichend sein. Bei 17 Prozent der Unternehmen seien in den vergangenen zwei Jahren sensible digitale Daten wie Mails (41 Prozent) oder Finanzdaten (36 Prozent) gestohlen worden. Bei 17 Prozent der Fälle wurden Kundendaten entwendet, in 11 Prozent Patente oder Informationen aus Forschung und Entwicklung, weitere 10 Prozent betreffen den Verlust von Mitarbeiterdaten.

Häufig stoßen Unternehmen durch Zufall darauf, dass virtuell eingebrochen wurde (Bild: Bitkom).

Auch wenn Daten das neue Öl sind zielen die Angriffe nicht immer nur auf Informationen. Das verbreitetste Cybercrime ist nach wie der Diebstahl von Notebooks oder Smartphones, was 30 Prozent der Befragten melden. Ob die Diebe hinter den Geräten oder den darauf gespeicherten Informationen her waren, ist meist nicht bekannt.

Etwa jedes fünfte Unternehmen wird Opfer von Social Engineering, wobei Mitarbeiter auf verschiedene Arten manipuliert werden, um an Informationen zu kommen. Jedes achte Unternehmen (12 Prozent) ist Opfer von digitaler Sabotage geworden, durch die zum Beispiel die Produktion gestört wurde. 8 Prozent berichten vom Ausspähen der digitalen Kommunikation wie E-Mails, 7 Prozent vom Abhören von Telefonaten oder Besprechungen. Analoge Angriffe kommen demgegenüber eher selten vor. So wurden 17 Prozent der Unternehmen Opfer eines klassischen Diebstahls von Dokumenten wie Papieren, Mustern oder Bauteilen, in lediglich 4 Prozent der Unternehmen wurden Produktionssysteme oder Betriebsabläufe auf analogem Weg sabotiert und lahmgelegt.

Vor allem aktuelle oder ehemalige Mitarbeiter eines Unternehmens werden als Täter aktiv. 62 Prozent der Unternehmen, die in den vergangenen zwei Jahren Opfer von Spionage, Sabotage oder Datendiebstahl wurden, haben die Täter in diesem Personenkreis identifiziert. 41 Prozent der betroffenen Unternehmen machen Wettbewerber, Kunden, Lieferanten oder Dienstleister für die Angriffe verantwortlich, 21 Prozent Hobby-Hacker und 7 Prozent Personen aus der organisierten Kriminalität. Ausländische Nachrichtendienste wurden in 3 Prozent der Unternehmen als Täter identifiziert. 7 Prozent der Unternehmen geben an, dass die Täter unbekannt waren. 37 Prozent der Opfer verorten die Täter in Deutschland. 23 Prozent der Unternehmen geben, von Tätern aus Osteuropa angegriffen worden zu sein, 20 Prozent aus China und 18 Prozent aus Russland, 15 Prozent sind es aus den USA. Aus dem europäischen Ausland stammen etwa 12 Prozent aller Angriffe.

„Unternehmen müssen viel mehr für ihre digitale Sicherheit tun. Die Studie zeigt, dass die Gefahr für Unternehmen aller Branchen und jeder Größe real ist. Jeder kann Opfer von Spionage, Sabotage oder Datendiebstahl werden“, so Bitkom-Präsident Achim Berg bei der Vorstellung der Studie in Berlin. „Die Studie unterstreicht, dass wir in Zeiten von Digitalisierung und Industrie 4.0 unser besonderes Augenmerk auf die Abwehr von Spionageangriffen auf die deutsche Wirtschaft richten müssen. Im Sinne eines ganzheitlichen und nachhaltigen Wirtschaftsschutzes gehören dazu nicht allein IT-bezogene Maßnahmen, sondern risikominimierende Pläne in den Bereichen Organisation, Personal und Sensibilisierung.“

Ransomware ist einer Schadenssumme von 1,3 Milliarden Euro ein eher kleiner Kostenfaktor (Bild: Bitkom).

Berg betont auch, wie wichtig eine Zusammenarbeit mit den Behörden ist. Denn 31 Prozent der betroffenen Unternehmen wenden sich auch die Behörden, wie die Studie zeigt. Damit umfassende Abwehrstrategien auf nationaler Ebene entwickelt werden könnten, seien diese Informationen aber wichtig, so Hans-Georg Maaßen, Präsident des Bundesamtes für Verfassungsschutz.

Immerhin 46 Prozent der Unternehmen haben eine interne Untersuchung eingeleitet, externe Spezialisten wurden von 34 Prozent hinzugezogen. Nur 3 Prozent der Betroffenen hatten keinerlei weitere Schritte veranlasst, vor zwei Jahren waren es noch 10 Prozent.

Erster Ansprechpartner bei den Behörden für die Unternehmen ist die Polizei, an die sich 84 Prozent jener Unternehmen wenden, die überhaupt staatliche Stellen einschalten. Die Staatsanwaltschaft informieren 57 Prozent. An die Datenschutz-Aufsicht oder an das Bundesamt für Sicherheit in der Informationstechnik wenden sich jeweils 15 Prozent, an den Verfassungsschutz 3 Prozent.

Vor allem die Furcht vor Imageschäden halte viele Unternehmen ab, sich an die Behörden zu wenden. Hinzu kommen Befürchtungen negativer Konsequenzen oder die Resignation, weil die Täter ohnehin nicht gefasst würden oder sich der Aufwand nicht lohne.

Fast alle Unternehmen setzen technischen Basisschutz wie etwa Passwörter auf allen Geräten, Firewalls und Virenscanner ein und fertigen regelmäßig Backups ihrer Daten an. Anspruchsvollere Maßnahmen sind dagegen selten. Etwa ein Fünftel setzt auf Intrusion Detection Systeme oder Penetrationstests.

99 Prozent der Unternehmen legen beispielsweise Zugriffsrechte für bestimmte Informationen fest oder kennzeichnen Betriebsgeheimnisse (85 Prozent). Lediglich 43 Prozent setzen auf Sicherheits-Zertifizierungen und nur etwa ein Viertel auf regelmäßige Sicherheits-Audits durch externe Spezialisten.

Nur 58 Prozent der Unternehmen führen Background-Checks bei Bewerbern für sensible Positionen durch, nur jedes zweite hat einen Sicherheitsverantwortlichen benannt oder schult Mitarbeiter entsprechend.

Für die repräsentative Umfrage wurden durch Bitkom Research Verantwortliche in 1.069 Unternehmen mit 10 oder mehr Mitarbeitern befragt.