Der Begriff Cyberkriminalität, der vor wenigen Jahren noch völlig unbekannt war, hat in ungeahntem Tempo an Bedeutung gewonnen. Die Angreifer entwickeln ihre Technologien weiter und finden neue Wege, um Systeme zu infiltrieren, während die Sicherheitsstandards der betroffenen Unternehmen stagnieren.
Laut einer Studie der KPMG AG, in der ca. 1.000 deutsche Unternehmen verschiedener Branchen befragt wurden, hatten 39% aller Unternehmen bereits einen Cyberangriff zu verzeichnen. Dabei konnte allerdings in 85% der Fälle kein Täter identifiziert werden. Dies legt die Vermutung nahe, dass die Zahl der gänzlich unentdeckten Angriffe noch deutlich höher liegt.
Die Studie unterscheidet zwischen kleinen Unternehmen mit einem Umsatz von weniger als 250 Millionen Euro und großen Unternehmen mit einem Umsatz von mehr als 3 Milliarden Euro. Sie zeigt, dass sich kleine Unternehmen seltener als gefährdet sehen (47% der Befragten) als größere Unternehmen (58%). Dies wird durch die Annahme gerechtfertigt, dass Unternehmen mit geringerem Umsatz ein weniger attraktives Ziel für Cyberkriminelle sind. In der Praxis wird allerdings jedes dritte kleine Unternehmen Opfer einer Attacke. Zwar liegt damit die Anzahl der verzeichneten Angriffe prozentual unter der Anzahl der Angriffe auf große Unternehmen (35% zu 45%), jedoch ist die Dunkelziffer bei kleinen Unternehmen mutmaßlich deutlich höher, da sie, im Gegensatz zu umsatzstärkeren Betrieben, nicht die Möglichkeiten zur Detektion und Aufklärung von Angriffen besitzen. Analog zu herkömmlichen Einbrüchen hinterlassen digitale Angriffe Spuren in Netzwerken und Computersystemen, die von der IT-Forensik ausgewertet werden können, um Rückschlüsse auf die Angriffspfade und letztendlich auf die Täter zu ziehen. In mehr als jedem zweiten Großunternehmen ist die IT-Forensik fester Bestandteil des Sicherheitsmanagements, mittlere bis kleine Unternehmen investieren deutlich seltener in diesen Bereich.
Mailserver als Angriffsziel
In 61% der Fälle waren die Mailserver das vorrangige Angriffsziel. Mit Methoden wie dem Versenden von Phishing-Mails lässt sich ein Unternehmen von dieser Stelle aus schnell und mit geringem Aufwand infiltrieren. Dabei sind kleine Unternehmen (67%) wie große Unternehmen (53%) gleichermaßen gefährdet. Das zweithäufigste Angriffsziel sind Fileserver (insgesamt 25% der Angriffe), dicht gefolgt von Client-PCs bei kleinen, und Laptops bei großen Betrieben. Diese Unterscheidung lässt sich darauf zurückführen, dass größere Unternehmen ihren Mitarbeitern eher ein eigenes, mobiles Gerät zu Verfügung stellen, während die Mitarbeiter kleinerer Unternehmen vorwiegend an Client-PCs beziehungsweise Workstations arbeiten.
Der Mitarbeiter als Schwachstelle
Begünstigt werden diese Angriffe primär durch Unachtsamkeit einzelner Mitarbeiter, oft resultierend aus unzureichenden Schulungen und mangelndem Risikoverständnis. Über die Hälfte der befragten Betriebe (55%) plant zukünftig intensiver in die Bereiche Aufdeckung, Aufklärung und Reaktion zu investieren. Die zentralen Präventionsmaßnahmen sind Sensibilisierungsprogramme und Schulungen der Mitarbeiter, Verschlüsselung von Daten sowie die regelmäßige Identifizierung des Schutzbedarfs von Daten und Systemen.
Da die Unachtsamkeit der einzelnen Mitarbeiter die häufigste Ursache für Lücken im Sicherheitssystem ist, kann das Interesse an Sensibilisierung und Schulungen nicht hoch genug sein. Entscheidend ist, dass sich Unternehmen jeder Größe nicht fälschlicherweise in Sicherheit wiegen und den Angreifern die Arbeit somit ungewollt erleichtern.