Reale Gefahr

Marc Bachmann: Mit der Studie wollte Bitkom herausfinden, wie viele deutsche Unternehmen in den vergangenen zwei Jahren Opfer dieser Delikte geworden sind. Dafür wurden 1.074 Unternehmen ab zehn Mitarbeitern befragt. Mit 51 Prozent waren mehr als die Hälfte definitiv von solchen Angriffen betroffen. Weitere 28 Prozent sagen, dass ihr Unternehmen vermutlich betroffen war. Diese Zahl deutet nur ansatzweise die Dunkelziffer an, die mit ziemlicher Sicherheit sehr hoch ist. Den Schaden solcher Angriffe auf Unternehmen schätzen wir auf rund 51 Milliarden Euro pro Jahr.

Der am stärksten gefährdete Wirtschaftszweig ist die deutsche Automobilindustrie mit etwa sieben von zehn betroffenen Unternehmen. Eine Erklärung hierfür könnte sein, dass die deutschen Fahrzeugbauer und ihre Zulieferer zu den innovativsten Unternehmen weltweit gehören. Direkt darauf folgen die Chemie- und Pharma-Branche sowie das Finanz- und Versicherungswesen.

Grundsätzlich sind Unternehmen aller Größenordnungen von Cybercrime betroffen und sollten handeln. Am häufigsten treffen digitale Angriffe mit 60 Prozent aber den Mittelstand.

Im Mittelstand bieten viele Unternehmen sehr innovative Produkte an und haben in ihrem Marktsegment international eine starke Stellung. Häufig sind sie als Zulieferer fest in den Lieferketten von Großkonzernen verankert. Sie verfügen aber nicht über die gleichen Mittel zur Abwehr entsprechender Angriffe. Somit können sie als Einfallstor dienen, um an die Geschäftsgeheimnisse der Großkonzerne zu gelangen. Darum ist es gerade für Mittelständler ratsam, neben der allgemeinen Sicherheit auch für die IT-Sicherheit Geld in die Hand zu nehmen und in eine entsprechend sichere IT-Infrastruktur zu investieren.

Zweifelsohne ist die Sensibilität für IT-Sicherheit gestiegen, was auch die Studie belegt. Jedes befragte Unternehmen gibt an, im Bereich technische IT-Sicherheit zu handeln, zum Beispiel mit Firewalls oder Virenscannern. Trotzdem sind noch effektivere Maßnahmen notwendig. Nur jeder Zweite verfügt über ein konkretes Notfallmanagement. Es weiß also nur die Hälfte, wie sie im Schadensfall das Ausmaß eindämmen und operativ ohne Einschränkungen weiterarbeiten kann.

Das kommt ganz stark auf die Rahmenbedingungen an, denen sich der Betreiber unterwerfen muss. Von den betroffenen Kritis-Unternehmen identifiziert jedes ünfte organisierte Banden als Täter. Das sind mehr als doppelt so viele wie bei den anderen befragten Unternehmen. Neun Prozent der Betreiber kritischer Infrastrukturen nennen als Täter außerdem ausländische Geheimdienste, in anderen Branchen sind es gerade einmal zwei Prozent. Somit hat die Befragung deutlich gezeigt, dass sich die Bedrohungsszenarien für Kritis-Unternehmen verändern und Cybercrime immer präsenter wird.

Wichtig ist ein genau definiertes Notfallmanagement, das im Ernstfall Schlimmeres verhindern kann. Die Maßnahmen reichen vom Erstellen einer Kontaktliste mit den wichtigsten Ansprechpartnern bis hin zu mehrtägigen Übungen, bei denen verschiedene Szenarien durchgespielt werden. Außerdem sollte die personelle Sicherheit innerhalb der Unternehmen ernst genommen werden. In der Praxis zählen dazu zum Beispiel Schulungen, aber auch Sicherheitsüberprüfungen von Mitarbeitern oder Bewerbern. Dazu gehören die Regelung von Zugriffsrechten der Mitarbeiter auf Daten sowie der physischen Zugangsrechte für sensible Bereiche eines Unternehmens.

Schließlich sollte man bedenken, dass die meisten Täter von Cyberattacken aktuelle oder ehemalige Mitarbeiter der Unternehmen sind. Ein weiterer Aspekt sind Sicherheitszertifizierungen. In der Praxis sind sie ein geeignetes Mittel, um höhere Sicherheitsstandards im gesamten Unternehmen zu etablieren. Außerdem ermöglichen sie gerade diesen Unternehmen, das Vertrauen der Bürger in ihre Sicherheit zu stärken.

Mit dem Gesetz sollen Unternehmen genau dazu verpflichtet werden. Dennoch haben wir, und auch andere Verbände, schon frühzeitig Bedenken geäußert, wenn es darum geht, sich offen bei den Behörden zu melden, schließlich befürchten viele Unternehmen Reputationsschäden. Dies ist bisher übrigens ein Grund, warum sich nur jedes fünfte Unternehmen nach einem Angriff an staatliche Ermittlungsbehörden wendet. Um solche Vorbehalte zu verringern, sind nach aktuellem Gesetzesentwurf grundsätzlich anonymisierte beziehungsweise pseudonymisierte Meldungen möglich.

Wenn den Unternehmen klar wird, warum sie sich melden sollten, erhöht das ihrerseits auch die Bereitschaft, dies tatsächlich zu tun. Es ist wichtig, dass die Behörden von möglichst vielen Fällen erfahren, um sich ein Bild von der jeweiligen Bedrohungslage machen zu können. Solche Erkenntnisse fließen dann in die Ermittlungs- und Präventionsarbeit ein. Diesen Mehrwert der Meldepflicht sollte die staatliche Seite stärker hervorheben. Die Behörden müssen aber auch mehr tun, um das Vertrauen der Unternehmen zu gewinnen und als kompetenter Ansprechpartner zu gelten. Eine Maßnahme ist der schon erwähnte anonymisierte Meldeweg, der so ein Vertrauen schafft.

Die derzeitigen Bemühungen sind der richtige Weg hin zu mehr IT-Sicherheit in Deutschland. Besonders wichtig finde ich die partnerschaftliche Kooperation von Behörden und Wirtschaft, die wir als IT-Dachverband natürlich gerne unterstützen.

Die erhöhte Sensibilisierung muss noch aktiver umgesetzt werden, was natürlich ein längerer Prozess ist. Alle Beteiligten sollten verstehen, dass IT-Sicherheit uns vor immer neue Aufgaben stellt. Kontinuierliche Verbesserungen in den Bereichen der IT- und Unternehmenssicherheit stärken den Wirtschaftsstandort Deutschland nachhaltig.

Annabelle Schott-Lung