Eine aktuelle Bestandsaufnahme zeigt große Unterschiede zwischen Eigen- und Fremdwahrnehmung in der deutschen Wirtschaft. Denn kleine und mittlere Unternehmen überschätzen offenbar ihre eigene IT-Sicherheit und unterschätzen die Risiken eines Cyberangriffs.

Das zeigt eine repräsentative Forsa-Umfrage im Auftrag des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV). „80 Prozent der befragten Entscheider halten ihr Unternehmen für ausreichend geschützt“, sagt GDV-Hauptgeschäftsführer Jörg Asmussen.

Damit scheinen sie aber zum großen Teil falsch zu liegen. Denn dieselbe Umfrage offenbart deutliche Lücken in der IT-Sicherheit: „Manche Unternehmen lassen auch einfachste Passwörter wie ‚1234‘ zu, andere kümmern sich nicht um Updates für ihre Software, wieder andere sichern ihre Daten nur selten oder nicht richtig“, bemängelt Asmussen. „Unter dem Strich erfüllen gerade einmal 22 Prozent der Unternehmen grundlegende technische Sicherheitsmaßnahmen komplett“, so Asmussen.

Womit die eingangs erwähnte Lücke zwischen Eigen- und Fremdwahrnehmung umrissen wäre.

Ebenfalls nicht sonderlich stark ausgeprägt sind die organisatorischen Maßnahmen für den Ernstfall. So ist jeder zweite Mittelständler auf einen erfolgreichen Hacker-Angriff nicht vorbereitet. Nur ein Drittel sensibilisiert und schult die Belegschaft für den Umgang mit IT-Risiken.

Beim GDV hält man die Sorglosigkeit für einen großen Fehler. „Die meisten Unternehmen halten sich für deutlich besser gegen Cyberattacken geschützt, als sie tatsächlich sind“, so Asmussen. Diese hohe Selbstzufriedenheit führe auch dazu, das Risiko eines erfolgreichen Angriffs zu unterschätzen: „Nur noch 29 Prozent der befragten Entscheider halten das Risiko eines erfolgreichen Hackerangriffs auf ihr Unternehmen für hoch. Das sind fünf Prozentpunkte weniger als im Vorjahr“, sagt Asmussen.

Angesichts der enormen Gefahren müsse man die IT-Sicherheit in allen Unternehmen zur Chefsache machen, heißt es weiter vom Verband. Die Versicherungswirtschaft könne zwar mit Cyberversicherungen das Restrisiko eines erfolgreichen Angriffs absichern. Doch das setze ein gewisses Maß an IT-Sicherheit voraus.