Hiscox Cyber Readiness Report 2019 zeigt hohen Aufklärungsbedarf
Erneut macht ein erfolgreicher Hacker-Angriff Schlagzeilen. Bis zu 14 Millionen Kundendaten sollen durch einen Angriff auf das IT-System des Elektronik-Händlers Conrad betroffen sein. Doch, wenn wie in diesem Fall die Sicherheitslücke geschlossen wurde, beginnt die Arbeit für IT- und Rechtsexperten erst richtig. Kunden müssen informiert und der volle Umfang des Schadens festgestellt werden. Dass es sich dabei nicht um einen Einzelfall handelt zeigt der Cyber Readiness Report von Hiscox.
Der Aufklärungsbedarf in Deutschland ist nach wie vor hoch: Auch nach steigenden Schadenzahlen und medienwirksamen Hacker-Angriffen waren viele Unternehmen bisher nicht überzeugt, dass Cyber-Risiken für sie relevant sind. Dies verdeutlicht unter anderem die stetig hohe Anzahl an schlecht vorbereiteten “Cyber-Anfängern”, die die Studie jährlich ermittelt. (Cyber-Anfänger in Deutschland laut Report 2019: 70%; 2018: 77%) Nun legen die Ergebnisse nahe, dass Unternehmen das Ausmaß des Risikos erkennen. Die Daten basieren auf einer Umfrage unter 5.392 Unternehmen aus Deutschland, den USA, Großbritannien, Frankreich, Spanien, Belgien und den Niederlanden. Im Auftrag des Spezialversicherers Hiscox befragte das Marktforschungsinstitut Forrester Consulting Unternehmensvertreter zu ihren Erfahrungen sowie ihrem Umgang mit Cyber-Attacken.
Anzahl der Cyber-Attacken und Schadenhöhen steigen drastisch
Die Ergebnisse der Studie verdeutlichen, dass die Frequenz von Cyber-Einschlägen weiter steigt und die Folgen der Angriffe für die Unternehmen immer teurer werden. 61% der befragten deutschen Firmen waren in den vergangenen 12 Monaten von mindestens einer Cyber-Attacke betroffen (Report 2018: 48%). Mit einem Anteil von 30% erlebten zudem mehr Unternehmen vier oder sogar mehr Angriffe, während laut dem Report 2018 noch 20% so häufig attackiert wurden. Eine Erklärung für den Anstieg könnte die 2018 in Kraft getretene Europäische Datenschutz-Grundverordnung sein, da seitdem 84% aller befragten europäischen Firmen im Panel verstärkt in Maßnahmen zur Detektion und Meldung von Cyber-Vorfällen investiert haben. Die durchschnittlichen Kosten aus allen erlittenen Cyber-Zwischenfällen pro Unternehmen stiegen international von 229.000 US-Dollar (Report 2018) auf 369.000 US-Dollar, was einem Zuwachs von 61% entspricht. Aufgrund einzelner besonders hoher Schadenfälle vermeldeten betroffene deutsche Unternehmen eine durchschnittliche Schadenhöhe von besonders hohen 906.000 US-Dollar.
Vernetzte Supply Chain als Einfallstor
Die steigenden Angriffszahlen bekommen vor allem kleine und mittlere Unternehmen verstärkt zu spüren. In allen untersuchten Ländern wurden 47% der kleinen und 63% der mittelgroßen Betriebe Opfer von Cyber-Attacken (Report 2018: kleine Betriebe: 33%; mittlere Betriebe: 36%). Durch die zunehmende Vernetzung der Unternehmen finden Cyber-Kriminelle zudem mehr potenzielle Einfallstore, um in fremde Systeme zu gelangen. Besonders die digitalisierte Lieferkette wurde 65% aller betroffenen Unternehmen zum Verhängnis und die Angreifer nutzten Verbindungen zu Zulieferern, um Zugriff zu erlangen.
“Der Anstieg von Schadenfällen und -summen verwundert uns nicht. Natürlich lässt sich die dramatische Steigerung teilweise damit erklären, dass Unternehmen sensibilisiert wurden, nachdem die DSGVO in Kraft trat. Heute werden mehr entdeckte Schadenfälle auch gemeldet. Gleichzeitig ist das Niveau von Schutz- und Präventionsmaßnahmen in vielen Unternehmen nach wie vor bedenklich. Diesen Vorteil können Cyber-Kriminelle leicht für sich nutzen. Entscheider müssen realisieren, dass Cyber-Kriminalität ein reales Geschäftsrisiko der digitalisierten Welt ist, und nicht nur eine Modeerscheinung”, erläutert Robert Dietrich, Managing Director Germany der Hiscox SA.
Cyber-Selbstbewusstsein der Unternehmen sinkt
Während sich die Cyber-Abwehrbereitschaft der Unternehmen wenig weiterentwickelt hat, wächst zumindest das Bewusstsein für den mangelnden Schutz: Seit 2017 sinken die Zustimmungswerte in Bezug darauf, wie selbstbewusst Unternehmen ihrer Cyber-Strategie gegenüberstehen. So gaben beispielsweise im Report 2019 nur noch 59% der international Befragten an, dass ihre Geschäftsleitung eine klare Vorstellung davon hat, wie Cyber-Sicherheit gemanagt werden muss. Im Report 2018 stimmten dieser Aussage noch 61% zu und 2017 sogar 75%. Diese Entwicklung spricht dafür, dass sich der Kenntnisstand der Unternehmen rund um Cyber-Risiken gebessert hat und sie ihre Abwehrkompetenzen im Vergleich zu den Vorjahren nicht mehr überschätzen.
Zu wenig Cyber-Know-how auf Unternehmensseite
Gemessen an den Kriterien Strategie, Ressourcen, Technologie und Prozesse zählt nach wie vor die überwiegende Mehrheit (70%) der befragten deutschen Unternehmen zu den sogenannten Cyber-Anfängern. Auf den Fall eines Cyber-Angriffs sind sie nur unzureichend vorbereitet. 19% gelten als Fortgeschrittene und nur 11% als Cyber-Experten (Report 2018: 77% Anfänger; 14% Fortgeschrittene; 10% Experten).
Erste Verbesserungen im Umgang mit digitalen Risiken
Obwohl die überwiegende Mehrheit der Befragten keine Cyber-Experten sind, zeigen sich dennoch Verbesserungen im Umgang mit digitalen Gefahren. Immer mehr Unternehmen in Deutschland verfügen über einen Mitarbeiter, der dezidiert für Cyber-Risiken zuständig ist (Report 2019: 85%; 2018: 69%). Außerdem reagieren mehr Firmen mit konkreten Gegenmaßnahmen, wenn sie Opfer eines Cyber-Angriffs wurden. Nur noch 32% der betroffenen deutschen Unternehmen gaben an, dass sich nach einer Attacke nichts geändert hat (Report 2018: 45%). Zur Absicherung ihrer Risiken haben international bereits 41% der Studienteilnehmer eine Cyber-Versicherung abgeschlossen (Report 2018: 33%), 30% planen einen Abschluss innerhalb der nächsten 12 Monate (Report 2018: 25%).
“In der vernetzten Business-Welt werden digitale Gefahren schnell zum Geschäftshemmnis. Um Cyber-Risiken kalkulierbar machen zu können, muss jedes Unternehmen die individuellen Schwachstellen kennen. Was sind die wertvollsten Daten? Was würde im schlimmsten Fall passieren, wenn diese Daten verloren oder verschlüsselt sind? Kein Risiko sollte davon abhalten, neue digitale Lebens-, Arbeitsräume und Geschäftsbeziehungen angstfrei zu nutzen. Denn zukunftsfähige Versicherungslösungen werden Teil des IT-Sicherheitskonzepts in Unternehmen”, kommentiert Robert Dietrich.
Der Hiscox Cyber Readiness Report 2019 und weitere Informationen zur Studie sind unter www.hiscox.de/cyber-readiness-report-2019 verfügbar.
Verantwortlich für den Inhalt:
HISCOX, Deutschland, Arnulfstraße 31, D-80363 München, Tel: 089/5458010, Fax: 089/54580111, www.hiscox.de