Security first! Digitale Sorglosigkeit auf dem Rückzug

Ging man in deutschen Chefetagen mit dem Thema Cybersicherheit bisher eher lässig um, so scheint sich das Problembewusstsein langsam zu verändern. Dennoch gibt es noch reichlich Handlungsbedarf - vor allem im Mittelstand. Das meinen die von Sopra Steria Consulting befragten IT-Verantwortlichen.

Anbieter zum Thema

DÜPERTHAL Sicherheitstechnik GmbH & Co. KG

Mettler-Toledo GmbH

BRAND GMBH + CO KG

Sopra Steria SE

Der Verschlüsselungstrojaner Wanna-Cry machte seinem Namen alle Ehre, trieb er doch den davon Betroffen die Tränen in die Augen. Mehr als 200.000 Computer in mehr als 150 Ländern wurde ein der ersten Angriffswelle im infiziert und verschlüsselt. In Großbritannien brachen weite Teile des öffentlich Gesundheitswesen zusammen, da der "Bösewicht" unter anderem den Zugriff auf wichtige Patientendaten unterband.

Die ebenfalls von der Virenattacke betroffene Deutsche Bahn kam glimpflicher davon. Bei ihr wurde nur die Anzeigetafeln auf den Bahnsteigen außer Gefecht gesetzt.. Lästig, aber nicht lebensgefährlich. Und wie es scheint, ist die Wanna-Cry-Krise noch nicht vorbei. Wie der IT-Nachrichtendienst golem.de meldet, musste erst in der vergangen Woche der japanische Automobilhersteller Honda die Produktion in einem seiner Werke in Japan einstellen, weil die eigenen Netzwerke mit dem digitalen Schädling infiziert waren.

Die 10 häufigsten Ursachen von Datenschutzverletzungen

Bildergalerie mit 26 Bildern

Abwehr von Cyberattacken wird zunehmend professioneller

Dabei war ein lässiger Umgang mit dem Thema "Digital Security" eher typisch für deutsche Chefetagen. Doch so langsam scheint da ein Bewusstseinswandel einzutreten. "Die Unternehmen in Deutschland professionalisieren ihre Abwehr von Cyberattacken", konstatiert das Beratungsunternehmen Sopra Steria Consulting. Sechs von zehn Firmen haben eine fundierte IT-Sicherheitsstrategie, bei Großunternehmen sind es acht von zehn, die übrigen arbeiten an der Umsetzung.

Besonders deutlich ist ein Umdenken an der Unternehmensspitze Chefetagen zu erkennen. 38 Prozent sehen 2017 eine Verharmlosung der Gefahr von Cyberangriffen durch Vorstände und Geschäftsführer. 2015 bemängelte noch jeder zweite IT-Verantwortliche, dass die Risiken unterschätzt werden. Diese Ergebnisse stammen aus der Studie „Potenzialanalyse Digital Security“ von Sopra Steria Consulting. Für die Studie wurden im April 2017 insgesamt 205 IT-Entscheider aus Unternehmen ab 500 Mitarbeitern befragt.

Trotzdem bliebt das Thema digitale Sicherheit eine zentrale Aufgabe in den Unternehmen. Jeder vierte IT-Entscheider wünscht sich weniger Risikobereitschaft bei der Geschäftsleitung. Ebenso viele fordern dort ein stärkeres Bewusstsein, dass praktisch jedes Unternehmen das Ziel von Cyberkriminellen werden kann.

„IT-Sicherheitsvorfälle durch den Diebstahl digitaler Identitäten teilweise in millionenfacher Anzahl zeigen, dass Cyberangriffe auf Unternehmen komplexer und professioneller werden“, kommentiert Urs M. Krämer, CEO von Sopra Steria Consulting. „Informationssicherheit ist Pflichtdisziplin einer digitalen Wirtschaft. Ein sorgloser Umgang mit Cyberrisiken, wie er gerade in den Führungsetagen lange Zeit herrschte und immer noch zu finden ist, kann sich kein Unternehmen mehr erlauben.“

Cyber-Attacke: Trojaner

Nächste Cyber-Attacke legt Unternehmen lahm

Der Mittelstand hat noch viel zu tun

Den größten Nachholbedarf bei der Formulierung tragfähiger IT-Sicherheitskonzepte haben die mittelständischen Unternehmen in Deutschland: Rund jeder zweite IT-Entscheider aus einem Unternehmen mit einer Größe zwischen 1.000 und 5.000 Mitarbeitern meldet, an einer ausgefeilten IT-Sicherheitsstrategie noch zu arbeiten. Großunternehmen mit mehr als 5.000 Mitarbeitern sowie kleine Betriebe sind hier bereits weiter. Die Masse setzt auf die aktuelle Bedrohungslage angepasste Konzepte bereits um.

„Wanna-Cry war ein Weckruf, der das in der Studie erkennbare Umdenken noch einmal verstärken wird“, sagt Studienleiter Dr. Gerald Spiegel, IT-Sicherheitsexperte bei Sopra Steria Consulting. „Das Internet der Dinge verschärft die Situation durch die Vielzahl vernetzter Geräte zusätzlich. Ein rein technischer Ansatz greift zu kurz. Es braucht einen Mix aus ineinandergreifenden Vorkehrungen, bestehend aus einer vom Vorstand getriebenen Strategie, automatisierten Verfahren für Prävention und Kontrolle und intelligenten Security-Lösungen, die Sicherheitslecks selbständig aufspüren, sowie einer kontinuierlichen Sensibilisierung aller Mitarbeiter.“

Im operativen Geschäft klappt's mit der IT-Sicherheit recht gut

Im operativen Geschäft funktioniert die Sache mit der digitalen Sicherheit bereits ganz gut. Dort ist das Risikobewusstsein stärker ausgeprägt als auf der Führungsebene: Bei digitalen Projekten zur Verbesserung von Agilität und Innovation werden in der Regel konsequente Sicherheitsmaßnahmen mitgedacht.

Beispiel Vernetzung: Knapp 70 Prozent der befragten Unternehmen sind über digitale Plattformen oder Softwarelösungen mit Lieferanten oder Dienstleistern vernetzt, 57 Prozent auch mit ihren Kunden. Fast alle Unternehmen verfolgen dafür gezielte IT-Sicherheitsmaßnahmen: So schützen sie sich durch vertraglich vereinbarte Mindestsicherheitsmaßnahmen vor Datenmissbrauch, Datenabfluss und Cyberattacken (69 Prozent). Bereits in der Befragung 2015 war das die am häufigsten angewendete Maßnahme (75 Prozent) gewesen.

Beispiel mobiles Arbeiten: Auch bei der Nutzung mobiler Endgeräte können Unternehmensdaten in die falschen Hände geraten. Darüber hinaus produzieren die Sensoren mobiler Geräte (Kamera, Mikrofon, GPS) Daten, die als sensibel eingestuft werden müssen. Das damit verbundene Gefahrenpotenzial ist den meisten Unternehmen bewusst: 95 Prozent führen IT-Sicherheitsmaßnahmen für mobile Endgeräte durch (2015: 90 Prozent). Vor allem Mobile Device Management (65 Prozent), regelmäßige Sicherheitsüberprüfungen (65 Prozent) oder Richtlinien für Mobile Security (54 Prozent) dienen zum Schutz der mobilen Geräte.

Ohne Klärung der Sicherheitsaspekte keine neuen IT-Projekte

Zur Einführung neuer Technologien durch die Digitalisierung der Wirtschaft beziehen die IT-Verantwortlichen in deutschen Unternehmen ebenfalls Position: IT- und Sicherheitsrisiken müssten vorab geklärt sein, sind (wie schon 2015) zwei von drei IT-Chefs überzeugt. Rund ein Drittel der IT-Entscheider (32 Prozent) plädiert für Einführung neue Technologien, selbst wenn noch nicht alle IT-Risiken bekannt sind. In 38 Prozent der Unternehmen dürfen IT-Projekte erst aufgesetzt werden, wenn ein adäquates Sicherheitskonzept der IT vorliegt.

Jede zweite Firma (49 Prozent) verlangt das spätestens vor dem Produktivgang einer Anwendung oder eines neuen IT-Systems. Nur in zwei Prozent der Unternehmen ist ein IT-Sicherheitskonzept nicht zwingend vorgeschrieben. Im Vergleich zur letzten Befragung aus dem Jahr 2015 ist aber auch hier das Sicherheitsbewusstsein gewachsen. Damals hatte es in 10 Prozent der Unternehmen keinerlei definiertes Sicherheitskonzept gegeben.

KRITIS und DSGVO: IT-Sicherheit wird zur gesetzlichen Pflicht

Einen relevanten Anteil am Umdenken in deutschen Unternehmen hat der Gesetzgeber mit der Verabschiedung des IT-Sicherheitsgesetzes im Juli 2015. Es fordert von Betreibern Kritischer Infrastrukturen (KRITIS) ein Mindestmaß an IT-Sicherheit, zu der unter anderem die Meldung von Sicherheitsvorfällen gehört. Dazu kommt ab 25. Mai 2018 die verbindliche Umsetzung der europäischen Datenschutz-Grundverordnung (DSGVO), die in praktisch allen Unternehmen dazu führen wird, die Konzepte für Daten- und IT-Sicherheit zu überarbeiten.

Seitens der IT-Verantwortlichen steht man diesen Vorschriften zur IT-Sicherheit durchaus positiv gegenüber: Sieben von zehn befragten IT-Entscheidern beurteilen den Umfang der staatlichen Regulierung als angemessen. Nur zwölf Prozent (2015: 21 Prozent) sehen hier Lücken und bewerten das geforderte Maß an Sicherheit als zu gering. Am meisten Vorbehalte haben jedoch mittelständischen Unternehmen, was den Umfang der Vorschriften und die geforderten Sicherheitsmaßnahmen betrifft. In Großunternehmen sieht man diese Thematik deutlich entspannter.

Managementkompass Cyber Security gibt Handlungsempfehlungen

Parallel zur Potenzialanalyse hat Sopra Steria Consulting den „Managementkompass Cyber Security 2017“ veröffentlicht. Analysen, Thinktank-Beiträge und Praxisbeispiele zeigen, welche technischen, organisatorischen und mitarbeiterbezogenen Herausforderungen die aktuellen Spielarten des Cybercrime für Unternehmen mit sich bringen und gibt Handlungsempfehlungen für Maßnahmen zur Prävention, Erkennung und Reaktion.

Dieser Artikel erschien zuerst auf unserem Schwesterportal Industry-of-Things.de

(ID:44765077)