Cyber-Risiken sind immer noch und immer wieder ein leidliches Thema für die Betroffenen, auch im Handwerk. Die aktuelle Cybersicherheits-Umfrage 2018 der Allianz für Cybersicherheit zeigt, wie verwundbar die Betriebe in Deutschland noch sind. Die Digitalisierung wird dies aller Voraussicht nach verstärken – auch die Befragten gehen zu 88% davon aus, dass durch Digitalisierung zusätzliche Risiken entstehen, die die Betriebe abdecken müssen. Die Umfrage wird durchgeführt um „die Gefährdungslage und Betroffenheit deutscher Institutionen durch Cyber-Angriffe sowie den Umsetzungsstand entsprechender Schutzmaßnahmen“ sichtbar zu machen. Dazu zeigt sie Betrieben auf, wo diese sich noch verbessern können oder müssen und welchen Stand die Konkurrenz schon hat.
Cybersicherheit als Chance
Nur 29% der Befragten sehen Cybersicherheit als eine Chance oder einen Wettbewerbsvorteil für ihr Unternehmen. Das ist ein geringer Prozentsatz, der signalisiert, dass auch große Sicherheit für eigene Daten und Kundendaten noch nicht als Vorteil in den Unternehmen verstanden werden. Cybersicherheit kann mit einfachen Maßnahmen die Risiken bei Cyberverbrechen deutlich senken – je effektiver der Schutz sein soll, desto mehr muss man aber auch investieren. Durch diese „Man ist nie ganz sicher“ und „Uns wird schon nichts passieren, wir passen auf“-Haltung öffnet man dem Schaden Tür und Tor. Wenn es dann aber erstmal in der Zeitung zu lesen ist, wie Betrieb X mit seinen Daten umgeht und man die Kundschaft scharenweise anschreiben muss, bitte keine vertraulichen Informationen an gefälschte Mailkontakte weiterzugeben, da sonst das Bankkonto leergeräumt wird…ja, dann hat die Konkurrenz wohl doch einen Vorteil.
Mit solchen Cyber-Risiken ist nicht zu spaßen, und sie kommen nicht so selten vor, wie sich viele Betriebe das wünschen. Abgesehen davon ist Cybersicherheit auch immer mehr ein Bedürfnis der Kunden. Viele wollen nicht „gläsern“ sein, wollen ihre Daten sicher wissen – und damit ergibt sich dann auch die Möglichkeit, mit dieser Sicherheit zu werben und den Unterschied zu machen.
Die nackten Zahlen
Gut jedes Vierte (26 %) der mittelständischen und kleinen Unternehmen war allein im Jahr 2018 Opfer eines Cyber-Sicherheits-Vorfalls. Bei größeren Unternehmen waren es sogar 43 %.
Die Erfolgsrate der Angreifer lag dabei bei 50 %. Diese Zahlen sind aber mit Vorsicht zu genießen, denn: Erfolgreich durchgeführte Angriffe können auch über einen längeren Zeitraum unentdeckt bleiben. Ob der Arbeits-PC plötzlich Teil eines internationalen Bot-Netzes wird, lässt sich teils schwer feststellen, da schädliche Programme gut getarnt sind oder auch nur sporadisch ausgeführt werden.
Welches sind die größten Cyber-Risiken?
Auch im Jahr 2018 war es wieder so, dass Schadsoftware (Malware) die Mehrheit der Cyber-Risiken ausmachte. DDoS-Attacken, die Server regelrecht mit Anfragen überfluten und so in die Knie zwingen, lagen auf dem zweiten Platz, vor gezieltem Hacking auf Platz 3 mit 12 %.
Abbildung 1: Cyber-Risiken 2018[1]
Dabei war es fast immer der Fall, dass die Schadsoftware als Link oder E-Mail-Anhang versendet wurde. Sowohl technische Maßnahmen als auch die Aufmerksamkeit der Mitarbeiter sind dann gefragt!
Ist dies nicht erfolgreich, kann es zu Betriebsstörungen oder sogar Betriebsausfällen kommen, die im schlimmsten Fall das Unternehmen eine große Summe Geld und Ansehen kosten.
Maßnahmen gegen Cyber-Risiken
Um bestmöglich zu gewährleisten, dass niemand ihre Daten stiehlt, ist es am sinnvollsten, eine gute Vorsorge gegen Cyber-Risiken zu treffen. Ist Ihr Unternehmen erstmal infiziert und Daten – auch Kundendaten – gelangen in falsche Hände, kann dies das Unternehmen dauerhaft schädigen. Wir empfehlen daher folgende Maßnahmen:
- Eine sehr effektive, aber mit einer Verbreitung von gut 40% nicht allzu beliebte Gegenmaßnahme ist die Zwei-Faktor-Authentifizierung. Das bedeutet, dass beim Anmelden ein Passwort nicht mehr ausreicht, sondern man zusätzlich z. B. einen Code eingeben muss, den man per Mail oder Nachricht aufs Smartphone bekommt. Erst wenn diese beiden Faktoren Ihre Identität bestätigen, erhalten Sie Zugang zum angeforderten System.
- Aktuelle Software zu benutzen, bzw. die genutzte Software auch schnell und regelmäßig zu patchen, ist ebenfalls wichtig. So wird es Cyberkriminellen erschwert, bekannt gewordene Sicherheitslücken auszunutzen.
- Der größte Unterschied zwischen großen und kleinen Unternehmen war beim Mobile Device Management zu sehen: 72 % der großen Unternehmen sorgen zentral für die Sicherheit ihrer mobilen Endgeräte, während es bei kleinen Unternehmen nur 39 % sind.
Darüber hinaus ist es auch sinnvoll, ein Managementsystem für Infomartionssicherheit einzuführen. Was erstmal kompliziert klingt, ist oft mit wenig Aufwand aufgebaut, da es in kleinen Unternehmen keiner großen Anstrengung bedarf. Auch eine Richtlinie zur Umsetzung der Informationssicherheit kann sich als kleine, aber sehr wirksame Maßnahme herausstellen. Denn oft ist es so, dass Mitarbeiter einen IT-bezogenen Fehler machen, weil es für sie nicht intuitiv ist und sie es einfach nicht wissen. Mit Hilfe einer Richtlinie kann man simple Umgangsweisen an die Mitarbeiter herantragen und ihnen näherbringen. Die Umsetzung wird meist sehr schnell automatisch passieren, auch ohne dass die Richtlinie Wort für Wort befolgt wird.
Wie merkt man, dass ein Problem gibt?
Während einige Brüche der System-Firewall sehr schnell deutlich sichtbar werden (z. B. eine Bildschirmsperre) sind andere besser versteckt und haben andere Ziele.
Um die betriebsinternen Aktivitäten zu verfolgen, gibt es Protokolle und Log-Daten, die man einsehen kann. Sie haben die Wahl, diese periodisch, also z. B. einmal im Monat oder nur nach einem Verdacht einzusehen und auf Ausreißer hin zu untersuchen.
Diese Methode lässt sich auch ganz einfach in ein schon aufgebautes Managementsystem integrieren.
Für den Fall der Fälle sollte es auch zumindest ein rudimentäres Notfallmanagement geben. Damit wird sichergestellt, dass sobald ein Problem auftritt, die Mitarbeiter nicht dazu beitragen, dieses noch zu vergrößern und auch ggf. erste Gegenmaßnahmen ergreifen.
Fazit
Die deutschen Betriebe bewegen sich in die richtige Richtung im Thema Cybersicherheit, aber haben trotzdem noch einen langen Weg vor sich. Vor allem kleine und mittelgroße Unternehmen bieten noch eine zu leichte und große Angriffsfläche für Cyberkriminelle, um einfach an Daten zu kommen und diese dann zu verkaufen oder dem Unternehmen wirtschaftlichen Schaden zuzufügen. Am einfachsten und effektivsten ist für KMU die Vorsorge. Das bedeutet, Mitarbeiter zu schulen oder auch einfach das Gespräch zu suchen, um den Umgang z. B. mit mobilen Endgeräten sicher zu gestalten. Wenn Sie dazu eine Hilfestellung möchten, schauen Sie doch kurz in unseren Download-Bereich!
[1] https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/ACS/cyber-sicherheits-umfrage_2018.pdf?__blob=publicationFile&v=9 S. 12.
