Ein großer Teil des Mittelstands in Deutschland unterschätzt Cyber-Risiken. Das ist das Ergebnis der Studie „Cyber Security im Mittelstand“, für die das Beratungsunternehmen Deloitte Private insgesamt 353 Gesellschafter und Führungskräfte großer mittelständischer Unternehmen befragt hat.
Dabei stünden längst nicht mehr nur Großunternehmen im Fadenkreuz von Hackern und Cyberkriminellen, heißt es von Deloitte. Gerade für Mittelständler könnten Cyber-Angriffe besonders schnell existenzbedrohend werden.
Mit 53 Prozent kreuzte nur etwas mehr als die Hälfte der befragten Manager an, dass Cyber-Risiken eine hohe oder sehr hohe Bedeutung für die Unternehmenssteuerung hätten. Dagegen gaben 42 Prozent die Priorität der Cyber Security als mittel bis sehr niedrig an.
„Der starke weltweite Anstieg von Cyber-Kriminalität im Zusammenhang mit Covid-19 und die daraus entstandenen Schäden zeigen aktuell wieder, wie wichtig ein hohes Bewusstsein für Cyber-Risiken in Unternehmen ist“, sagt Lutz Meyer, Partner und Leiter von Deloitte Private. Gerade deutsche Mittelständler stellten mit innovativen Geschäftsmodellen und der hohen Zahl an Patentanmeldungen lukrative Ziele für Angreifer dar, so Meyer weiter.
[corona_telegram]
Hackerangriffe werden oft erst spät erkannt
Nach Einschätzung des Beratungsunternehmens macht es das Vorgehen von Kriminellen – die oft lange bevor sie ihren eigentlichen Angriff starten die IT-Infrastruktur eines Unternehmens kapern – schwer, Cyber-Attacken rechtzeitig zu entdecken. Im Fall eines Hackerangriffs sehen Mittelständler entsprechend mangelnde Reaktionsgeschwindigkeit als größte Herausforderung an (57 Prozent), dicht gefolgt von der Identifikation eines Angriffs (50 Prozent). So geben 53 Prozent der Befragten an, dass sie durchschnittlich bis zu sieben Tage benötigten, um einen Angriff auf die eigenen Systeme zu erkennen. Genügend Zeit für Hacker, um etwa Schadsoftware zu installieren. In einem solchen Angriff sehen 67 Prozent das größte Schadenspotenzial.
Wie sie Cyber-Risiken finanziell bewerten können, wissen viele Unternehmen aber nicht. Lediglich 12 Prozent sind laut Studie dazu in der Lage. Mit 43 Prozent haben zudem weniger als die Hälfte der befragten Unternehmen einen Cyber-Notfallplan, der die wichtigsten Maßnahmen zur Sicherung von Handlungsfähigkeit und Liquidität im Falle eines Angriffs regelt.
Seite 2: Mitarbeitern fehlt oft Sicherheitsbewusstsein
Beim Vorbeugen von Cyber-Attacken sehen Unternehmen eine entscheidende Rolle bei ihren Beschäftigten. Das könne allerdings auch zum Problem werden. So sehen 61 Prozent der Befragten fehlendes Sicherheitsbewusstsein der Mitarbeiter als größte Herausforderung bei der Abwehr von Cyber-Risiken an. Mit 51 Prozent halten Manager im Mittelstand ungeschulte Mitarbeiter für die Hauptgefahrenquelle (51 Prozent), weit vor der Nutzung mobiler Endgeräte (37 Prozent) oder Social-Media-Aktivitäten (26 Prozent).
Dass die Mitarbeiter über sicherheitsrelevante Cyber-Themen ausreichend informiert sind, glauben die wenigsten der befragten Manager und Gesellschafter. Sie schätzen das Wissen ihrer Beschäftigten durchweg als mittel bis niedrig ein, etwa im Bereich Passwortsicherheit (62 Prozent) oder Identitätsmanagement (72 Prozent). „Den deutschen Mittelstand kennzeichnet neben seiner Innovationskraft auch eine tradierte Belegschaft, die oft noch nicht ausreichend für Cyber-Risiken sensibilisiert ist“, so Deloitte-Manager Meyer. Abhilfe könnten spezielle Schulungen schaffen.
Nur 28 Prozent setzen auf Cyber-Versicherung
Ein weiterer wichtiger Punkt sei es, realistische Budgets für das Segment zu schaffen. Die Abwehrmaßnahmen, die die befragten Unternehmen im Bereich Cyber Security ergreifen, gingen selten über die klassischen Rahmenwerke für IT-Sicherheit wie Virenscanner oder Firewalls hinaus, heißt es von Deloitte. Eine Versicherung gegen die Folgen von Cyber-Attacken haben nur 28 Prozent der Befragten abgeschlossen.
So geben Prozent der Mittelständler weniger als 50.000 Euro pro Jahr für Cyber-Sicherheit aus, davon sogar 43 Prozent weniger als 10.000 Euro. Aus Sicht des Beratungsunternehmens ist das nicht genug: Gemessen an der Empfehlung, dass etwa 0,5 bis 2 Promille des Umsatzes dafür aufgewendet werden sollte, erfüllten 89 Prozent der befragten Unternehmen – mit einem Umsatzmittelwert von 387 Millionen Euro – diese Maßgabe nicht.
„Im Vergleich zu Großunternehmen sind die finanziellen Kapazitäten im Mittelstand deutlich begrenzter und die Konkurrenz um Budgets noch ausgeprägter“, sagt Cyber-Experte Meyer. Beispiele, in denen die Systeme einzelner Mittelständler lahmgelegt wurden und die Unternehmen letztlich vom Netz gehen mussten, würden jedoch immer wieder zeigen, dass realistische Investitionen in Cyber Security lebensnotwendig sein könnten. „Denn in der Regel übersteigen die Schäden eines Angriffs die primären Ausgaben um ein Vielfaches“, warnt Meyer.