Cyberattacken: Schadenpraxis in deutschen KMU

Die Zahl der Cyberangriffe in Deutschland steigt. Der aktuelle Hiscox Cyber Readiness Report zeigt einen zweistelligen Anstieg von 46 Prozent im Jahr 2022 auf nun 58 Prozent, womit erstmals über die Hälfte der Befragten betroffen ist. Bei großen Unternehmen mit über 1.000 Beschäftigten gehören sie inzwischen fast zur Tagesordnung, ganze 70 Prozent melden mindestens einen Angriff im Verlauf des Jahres. Doch diese Zahl bedeutet keine Entwarnung für kleine Unternehmen: In der Praxis ist jedes Unternehmen unabhängig von der Größe gefährdet.

Beim Vorgehen der Hacker zeigt sich international ein klarer Trend, den deutsche Firmen ebenfalls registrieren. Wie im Vereinigten Königreich und in den USA war auch hierzulande die Kompromittierung von Geschäfts-E-Mails der häufigste Einstiegspunkt (36 Prozent). Das Ziel dieser Taktik ist klar: Über die Manipulation von Rechnungen oder Zahlungsaufforderungen zweigen Kriminelle unbemerkt teils enorme Summen aus den Unternehmen ab.

Diese finanziellen Verluste infolge von sogenanntem Zahlungsumleitungsbetrug sind mit knapp der Hälfte (43 Prozent) aller Angriffe die am häufigsten genannte Auswirkung. Im Vergleich zum Vorjahr hat sich der Anteil um ganze 16 Prozentpunkte erhöht.

Einen kleinen Lichtblick sehen die Expertinnen und Experten in der Entwicklung der durchschnittlichen Gesamtkosten, die Cyberattacken jedes Jahr verursachen. Diese sind in Deutschland das zweite Jahr in Folge gesunken, auf aktuell 14.766 Euro im Median. Dennoch gibt ein Fünftel der attackierten Unternehmen an, dass die Auswirkungen des Angriffs potenziell existenzbedrohend waren.

Konstant hohe Bedrohungslage

Cyberangriffe beherrschen das Risikoradar deutscher Unternehmen, sie werden hierzulande erneut als größtes Geschäftsrisiko angesehen. Ganze 43 Prozent der Befragten teilen diese Einschätzung, noch vor aktuell drängenden Entwicklungen wie dem Fachkräftemangel (41 Prozent) oder der gesamtwirtschaftlichen Lage (39 Prozent).

Neben dem wachsenden Angriffsrisiko gibt es weitere Gründe für die Risikoeinschätzung: Einem Drittel der Befragten (31 Prozent) bereitet die Zunahme an Remote Work in diesem Zusammenhang Sorgen, und für immerhin 26 Prozent trägt die steigende Nutzung privater Devices von Mitarbeitenden für berufliche Zwecke zur Verschärfung der Lage bei.

Diese Besorgnis wirkt sich spürbar auf die Stimmung in der deutschen Wirtschaft aus: Über alle Unternehmensgrößen hinweg sehen sich maximal 6 Prozent der Befragten als Cyber-Experten, etwa ein Drittel sogar als völlige Cyber-Anfänger. Selbst bei großen Konzernen mit über 1.000 Beschäftigten teilen 27 Prozent diese Einschätzung.

Wie gehen deutsche Unternehmen damit um?

Risikobewusstsein und realistische Selbsteinschätzung sind wichtige Schritte – doch wie reagieren die Betroffenen nach einer erfolgreichen Attacke? Aus dem Report geht hervor, dass dem Plus an Angriffen auch ein Plus an Sicherheitsvorkehrungen folgt. So antwortet der größte Teil der Betroffenen (38 Prozent) mit höheren Anforderungen an die Cybersicherheit und Auditprozesse, und 37 Prozent bessern an ihren Notfallstrukturen wie sogenannten „Incident Response Plans“ nach.

Auch das Potenzial von maßgeschneiderten Cyber-Versicherungskonzepten wird stärker wahrgenommen, über ein Drittel (35 Prozent) der Entscheiderinnen und Entscheider reagiert mit dem Abschluss oder der Aufstockung entsprechender Policen. Im Vergleich zum Jahr 2021 (16 Prozent) hat sich dieser Wert mehr als verdoppelt.

Eine Entwicklung, die Hoffnung macht, meint Hiscox Deutschlands Head of Cyber, Gisa Kimmerle: „Die Zahlen zeigen einen aus unserer Sicht zentralen Lerneffekt in den Unternehmen: Ohne kontinuierliche Investitionen im Cyber-Bereich kann man mit der Risikoentwicklung nicht Schritt halten. Dabei ist die Vorsorge für den Ernstfall in Form von Versicherungen genauso entscheidend wie die gesamte Prävention."

Denn diese Konzepte decken nicht nur den finanziellen Schaden ab, sondern auch eine ganze Reihe an unverzichtbaren Assistance-Leistungen wie IT-Forensik und Krisen-PR, die die Auswirkungen einer Attacke in der heißen Phase eindämmen können, vertieft Kimmerle. Damit dieser Bedarf die nötige Aufmerksamkeit und Ressourcen erhalte, müsse Cyber-Security im C-Level behandelt werden. Der Report zeige, dass die steigende Awareness in diesen Gremien für 43 Prozent der Befragten ein positiver Treiber für ihre Cyber Readiness sei, nur übertroffen von leistungsfähigeren Sicherheitsprozessen mit 45 Prozent.

Warum sich Lösegeldzahlungen nicht lohnen

Während Angriffstaktiken wie Zahlungsumleitungsbetrug die betroffenen Unternehmen vor vollendete Tatsachen stellen, lassen Ransomware-Attacken den Verantwortlichen vermeintlich die Wahl: Die sensiblen Daten enden im Darknet, oder gegen eine bestimmte Summe wieder zurück auf den Servern des Unternehmens.

Diese Art von Angriffen hat zuletzt erneut leicht zugenommen, in Deutschland sahen sich nun 22 Prozent der betroffenen Unternehmen mit einer Lösegeldforderung konfrontiert, im Vergleich zu 21 Prozent im Jahr 2022. Dabei war Phishing wieder der Haupteinstiegspunkt für Ransomware in knapp drei Vierteln aller Fälle (74 Prozent), gefolgt vom Diebstahl von Zugangsdaten bei etwa der Hälfte (51 Prozent). Auffällig bei diesen Punkten ist, dass beide Schwachstellen durch eine bessere Schulung der eigenen Mitarbeitenden gehandhabt werden könnte.

Insgesamt zahlten deutsche Unternehmen in etwas mehr Fällen als im vergangenen Jahr das geforderte Lösegeld, von 46 Prozent auf nun 55 Prozent. Sie liegen damit aber immer noch unter dem internationalen Durchschnitt, in dem in 63 Prozent der Fälle die Forderung der Hacker beglichen werden.

Der Report belegt aber einmal mehr, warum die Zahlung in der Realität selten ein schneller und unkomplizierter Ausweg ist: Die Wiederherstellung von Daten nach einer Lösegeldzahlung erfolgt bei deutschen Unternehmen nur in 37 Prozent der Fälle. Knapp ein Viertel (24 Prozent) erlitt eine weitere Attacke, und bei über einem Drittel (34 Prozent) wurden die Daten dennoch geleakt.

Den vollständigen Report erhalten Sie hier.

Über die Studie

Der siebte internationale Hiscox Cyber Readiness Report, der jährlich von Forrester erstellt wird, liefert ein aktuelles Bild der Cyber-Bereitschaft von Organisationen und bietet eine Blaupause für Best Practices im Kampf gegen eine sich ständig weiterentwickelnde Bedrohung.

Er basiert auf einer Umfrage unter insgesamt 5.005 Führungskräften, Abteilungsleitern, IT-Managern und anderen wichtigen Fachleuten. Es handelt sich dabei um eine repräsentative Auswahl von Unternehmen verschiedenster Größen und Branchen aus acht Ländern (Belgien, Frankreich, Deutschland, die Niederlande, Spanien, Großbritannien, Irland und die USA), was diesen Report zu einem der umfassendsten und meistbeachteten seiner Art macht.