So gehen KMU mit Cyberattacken um

Nicht zuletzt aufgrund des in der Corona-Pandemie neu angetriebenen Digitalisierungsschubs ist die Anzahl von Cyberattacken gegen Unternehmen in den vergangenen Jahren angestiegen. Über eine Million der rund 3,5 Millionen kleinen und mittelständischen Unternehmen (KMU) in Deutschland hat in den letzten Jahren bereits Cyberangriffe gegen das eigene Unternehmen erfahren müssen, so eine aktuelle Studie des Forschungs- und Beratungsinstituts Sirius Campus im Auftrag von HDI. Versicherungs- und IT-Entscheider von mehr als 500 KMU in Deutschland wurden dafür repräsentativ befragt.

Vor allem unter den Mittelständlern mit 50 bis 250 Mitarbeitern berichtet demnach mehr als jedes zweite Unternehmen, schon mindestens einmal von einer Cyberattacke betroffen gewesen zu sein. Aber auch rund ein Drittel der Kleinstunternehmen mit bis zu neun Mitarbeitern und knapp zwei Fünftel der Kleinunternehmen mit zehn bis 49 Mitarbeitern sind in den letzten Jahren bereits Opfer von Cyberangriffen geworden.

Schäden kosten im Schnitt 95.000 Euro

Fast drei Viertel der erfolgreichen Angriffe verursachen erhebliche Schäden und kosten KMU im Schnitt 95.000 Euro. Bei Freiberuflern liegt der Schadendurchschnitt laut Studie sogar bei 120.000 Euro und größere Mittelständler beklagen Schäden von bis zu 500.000 Euro.

Schwachstelle Mensch

Die Angriffsmethoden werden laut HDI-Studie zwar immer ausgefeilter, dennoch zielen sie schwerpunktmäßig weiterhin klar auf die Schwachstelle Mensch. So gibt ein Fünftel der Unternehmen an, bereits durch Vortäuschen falscher Identitäten, Spam- oder Phishing-Mails attackiert worden zu sein. Fast genauso viele wurden über verseuchte Anhänge in E-Mails an Mitarbeiter und Schadsoftware angegriffen.

Diebstahl von Kundendaten, Betriebsunterbrechung, Reputationsschäden

Rund ein Viertel der betroffenen Unternehmen musste laut Untersuchung mit Betriebsunterbrechungen infolge der Cyberangriffe klarkommen. So konnte ein Unternehmen aufgrund der kompromittierten Systeme beispielsweise seine Kunden vorübergehend nicht beliefern, ein anderes nicht mehr auf E-Mails und Firmennetzwerk zugreifen, sodass Buchführung und Kundenservice lahmgelegt waren. Nicht umsonst werden Betriebsunterbrechungen deshalb von mehr als zwei Fünfteln der befragten Unternehmen als besonders relevant eingestuft. Als noch relevanter im Zusammenhang mit Cyberattacken wird nur der Diebstahl von Kundendaten angesehen, von dem fast jedes vierte befragte Unternehmen bereits betroffen war.

Betriebsunterbrechungen treiben der Studie zufolge die Schadenhöhe enorm in die Höhe: Bei mehr als der Hälfte der betroffenen Unternehmen war der Betrieb für mindestens zwei Tage eingeschränkt. Rund 15% mussten sogar mit vier bis sieben Tagen Betriebsstörungen klarkommen. Allein das Entfernen von Schadsoftware und das Einspielen von Updates sei in komplexen IT-Systemen von heute nicht in ein paar Stunden erledigt, auch nicht in kleineren Unternehmen. Ein Studienteilnehmer beschreibt die Situation folgendermaßen: „Eine als legal propagierte Software stellte sich als Schadsoftware heraus und war extrem schwierig zu entfernen. Sämtliche Softwaretools zur Behebung waren unwirksam. Die Beseitigung war nur im abgesicherten Modus des Betriebssystems und durch manuelles Entfernen jeder einzelnen Datei möglich.“

In der Relevanzliste hinter dem Diebstahl von Kundendaten und der eben beschriebenen Betriebsunterbrechung folgen laut HDI-Studie noch die Auswirkungen auf den Ruf des Unternehmens: Über ein Fünftel der attackierten Unternehmen beklagen Image- und Reputationsschäden infolge der Cyberangriffe. Zudem sahen sich einige auch mit Schadensersatzforderungen von Kunden sowie mit Industriespionage und dem Verlust geheimer Unterlagen konfrontiert.

Cyberangriffe werden häufig nur zufällig entdeckt

Besonders beunruhigend: Der Cyberstudie zufolge werden die Angriffe in KMU häufig nur zufällig entdeckt. Rund ein Drittel der betroffenen Klein- und Kleinstunternehmen gibt an, dass die erlittenen Cyberattacken nur durch Zufall entdeckt wurden. Mittelständler entdeckten Cyberangriffe hingegen zum großen Teil durch systematisches Screening. Dieses gehört der HDI-Studie zufolge neben der Überprüfung veröffentlichter Schwachstellen zu den erfolgversprechendsten Methoden, Cyberattacken möglichst frühzeitig zu bemerken und Gegenmaßnahmen einleiten zu können. Kleinere Unternehmen haben hier oft erheblichen Nachholbedarf. Besonders schlecht für Unternehmen ist es nämlich, wenn Cyberangriffe erst durch die Schäden bemerkt werden, die sie anrichten.

Schadenbeseitigung meist mithilfe interner Kräfte

Bei der Schadenbeseitigung kamen laut den Umfrageergebnissen meist ein unternehmenseigenes Team oder der interne Verantwortliche für Informationssicherheit der Unternehmen zum Einsatz. Rund die Hälfte der attackierten Unternehmen setzen bei der Schadenbeseitigung auf interne Kräfte. Knapp zwei Fünftel der Befragten überließen die Aufgabe ihrem IT-Dienstleister. Außerdem gab ein knappes Drittel an, IT-Spezialisten der Cyberversicherung zu Rate gezogen zu haben.

Bei vielen standen nach einer erlittenen Cyberattacke die Härtung der eigenen Systeme mit neuer Soft- und Hardware sowie zusätzliche Präventionsmaßnahmen im Fokus. Dass Cyberangriffe zu Schäden führten, hatte der HDI-Studie zufolge dann auch häufig auch Auswirkungen auf die Zusammenarbeit mit IT-Dienstleistern: Für rund ein Fünftel der IT-Dienstleister bedeutete es das Aus beim attackierten Unternehmen.

Nur ein Viertel der Unternehmen war im Vorfeld versichert

Zudem entschied sich über ein Viertel der betroffenen Unternehmen für den Abschluss einer Cyberversicherung als Konsequenz aus dem erlittenen Cyberangriff. Denn nur bei einem Viertel der Schadenfälle war der Schaden bereits im Voraus umfassend durch eine Cyberversicherung abgesichert. Ein knappes Drittel der Befragten verfügte dagegen über keinerlei Versicherungsschutz für den erlittenen Schaden. Christian Kussmann, Bereichsvorstand Firmen und Freie Berufe der HDI Versicherung AG, erläutert diesbezüglich abschließend: „Integrierte Präventions- und Versicherungsangebote für den Schutz gegen Cyberattacken bieten gerade für KMU einen komfortablen Rundum-Service. Denn neben dem finanziellen Ausgleich von Schäden stehen dabei auch wirksame Präventionsmaßnahmen und Mitarbeiterschulungen im Fokus, die Schadenwahrscheinlichkeit und Schadenhöhe erheblich senken können.“ (ad)

Weitere Informationen gibt es hier.