Cyberangriffe im Unternehmen abwehren.

Die Digitalisierung gilt als wesentlicher Treiber für Innovationen, Wettbewerbsfähigkeit und Wachstum auf Unternehmens- wie auf gesamtwirtschaftlicher Ebene. Mit ihr werden Chancen für die Erschließung neuer Wertschöpfungspotenziale sowie die Steigerung der Wettbewerbsfähigkeit in breiten Teilen der Wirtschaft verbunden. Dass es zukünftig kaum möglich sein wird, neue Wertschöpfungspotenziale zu erschließen oder die bestehenden deutschen Wettbewerbsvorteile zu behaupten, wenn nicht adäquate Fähigkeiten im Bereich digitaler Technologien (weiter-)entwickelt werden, unterstreicht der „KfW-Digitalisierungsbericht Mittelstand 2022“.

Die aktuelle Studie attestiert Deutschland kontinuierlich rege Digitalisierungsaktivitäten. Der Anteil mittelständischer Unternehmen mit abgeschlossenen Digitalisierungsvorhaben liegt seit Jahren zwischen 30 und 40 Prozent. Gleichzeitig haben im Mittelstand die Ausgaben für Digitalisierungsprojekte deutlich zugenommen. Steigerungen der durchschnittlich investierten Mittel zeigen sich in jeder Unternehmensgrößenklasse, der größte Schub gehe vor allem von größeren Mittelständlern und Vorreiterunternehmen aus.

Auf dem Weg der Digitalisierung trifft die deutsche Volkswirtschaft jedoch auf eine rasant wachsende Zahl an Cyberangriffen. Laut einer aktuellen Umfrage des IT-Branchenverbandes Bitkom wurden im vergangenen Jahr 84 Prozent aller befragten Unternehmen in Deutschland Opfer eines Cyberangriffs. Der Verband beziffert die volkswirtschaftlichen Schäden auf insgesamt 203 Milliarden Euro, eine von Jahr zu Jahr steigende Zahl. Gemäß Allianz Risk Barometer 2022 werden Cybergefahren von Unternehmen weltweit als das größte Geschäftsrisiko eingestuft, noch vor Betriebsunterbrechungen und Naturkatastrophen. Digitalisierungsprozesse und die diesbezüglich immer intensivere Vernetzung der Wirtschaft gehen einher mit größeren Angriffsoberflächen. Wenn Unternehmen ihr Geschäftsmodell digitalisieren, bieten sie auch verstärkt Ansatzpunkte für Cyberkriminelle.

Und das nicht erst seit der Pandemie: Wie aus einer Sonderauswertung des KfW-Mittelstandspanels hervorgeht, sind in den Jahren 2018 bis 2020 bereits drei von zehn mittelständischen Unternehmen in Deutschland von Attacken aus dem Netz betroffen gewesen. Nach einer erfolgreichen Cyberattacke erhöht die Mehrheit der Unternehmen den Einsatz für einen besseren Schutz. Mehr als die Hälfte der in den vergangenen zwölf Monaten Betroffenen hat nach Angaben der TÜV Cybersecurity-Studie 2023 zusätzliche Maßnahmen für die IT-Sicherheit ergriffen, weitere 15 Prozent planen dies.

Grundsätzlich ist kein Unternehmen Cyberbedrohungen machtlos ausgeliefert. Der Löwenanteil der Angriffe lasse sich bereits durch das Einspielen von wichtigen Updates und Sicherheitspatches sowie ein entsprechendes Bewusstsein der Mitarbeiterinnen und Mitarbeitern verhindern, zitiert die Studie „Cybersicherheit in Familienunternehmen“ der Wirtschaftsberatung PWC den Leiter des Fraunhofer Instituts für Sichere Informationstechnologie, Michael Waidner.

Auf eine Cyberversicherung, die im Angriffsfall den durch Betriebsunterbrechung und Systemwiederherstellung entstandenen Schaden reguliert, solle man sich dagegen nicht verlassen, auch wenn sich Versicherungen im Jahresbudget einplanen lassen. Dazu komme, dass sich Assekuranzen nur dann auf Verträge einlassen, wenn Unternehmen alle Möglichkeiten ausschöpfen, sich vor Cyberangriffen zu schützen. Dazu zählen das Managementsystem zur Informationssicherheit des Unternehmens genauso wie konkrete Sicherheitsmaßnahmen, zum Beispiel Offline-Datensicherungen oder Cloud-Back-up-Lösungen, der Schutz sensibler Daten, Firewall-Strukturen sowie die Absicherung der Fernzugriffsmöglichkeiten auf IT- Systeme und Cloud-Dienste.

Neben dem häufig schwierigen Zugang zu entsprechenden Versicherungsangeboten für kleine und mittlere Unternehmen sind vielen Kleinbetrieben ihre Schutzziele gar nicht bewusst, heißt es beim Deutschen Mittelstands-Bund (DMB) e.V.: „Sie haben bislang nicht durchgespielt, wie ihr Worst-Case-Szenario aussehen könnte und gegen welches Restrisiko sie sich idealerweise versichern sollten. Daher fällt es ihnen schwer, eine geeignete Police aus dem großen Angebot zu selektieren. Erschwerend hinzu kommen schwammige Formulierungen in den Versicherungsbedingungen. Häufig wird eine Notfallhilfe bei einer Cyberattacke in Aussicht gestellt, aber wo sie ansetzt und wie weit sie geht, bleibt unklar“.

Vielen Familienunternehmen mit ihrem erhöhten Reputationsrisiko ist es besonders wichtig, in Cybersicherheit zu investieren, zumal der Familienverbund den Kriminellen zusätzliche Möglichkeiten eröffnet, um ins Unternehmen einzudringen oder aber die Familienmitglieder selbst gefährdet, wie die Studie von PwC weiter ausführt. Etwa wenn diese im privaten Umfeld die gleichen Passwörter verwenden wie im Unternehmen oder innerhalb der Familie sensible Daten über Chat-Gruppen ausgetauscht werden. Ein besonderes Risiko besteht zudem, wenn Aufenthaltsort und Reisepläne von Familienmitgliedern bekannt werden.

Auch für so genannte Social-Engineering-Angriffe gelten Familienunternehmen als besonders anfällig. Hierbei werden Mitarbeiterinnen und Mitarbeiter bzw. Familienmitglieder als vermeintlich schwächste Glieder in der Sicherheitskette ausgenutzt und manipuliert. Beim sogenannten „Cheftrick“ zum Beispiel geben sich Hacker als ein Vorstands- oder Familienmitglied aus und veranlassen eine dringende Überweisung durch einen Mitarbeiterinnen und Mitarbeitern oder ein anderes Familienmitglied.

Weiterentwicklungen im Bereich Künstliche Intelligenz / Deep-Fake erleichtern solche Angriffe zusätzlich, da sich zum Beispiel die Stimme einer bestimmten Person leicht fälschen lässt. Häufig schrecken Unternehmerfamilien davor zurück, der firmeneigenen IT-Abteilung einen Zugriff auf intime Informationen aus dem Familienkreis zu gewähren und wählen für den Betrieb ihrer digitalen Kommunikations- und Kollaborationsplattformen andere, weniger geschützte Anbieter - nicht ohne Risiko.

Nicht zuletzt haben die Unternehmen hohe Erwartungen an den Gesetzgeber – eine deutliche Mehrheit wünscht sich strengere Vorgaben für Cybersecurity in der Wirtschaft. Laut TÜV Cybersecurity-Studie 2023 sprechen sich zwei Drittel der Befragten für konkrete Normen und Standards im Bereich Cybersecurity aus. Sie würden IT-Sicherheitsverantwortlichen helfen, das Bewusstsein für das Thema in der Geschäftsleitung zu schärfen und höhere Sicherheitsstandards in ihren Unternehmen umzusetzen.