Großer Irrtum: "IT-Sicherheit? Dafür sorgt doch unsere Technologie!"

Für fast die Hälfte aller Unternehmen ist IT-Security eine rein technologische Herausforderung. Schulungen der Beschäftigten halten sie für überflüssig. Im Falle eines Falles liegt ja bereits Lösegeld für Hacker in der Schublade. Der Channel muss noch viel aufklären. Ein Geschäft, in das einige Systemhäuser bereits eingestiegen sind und Partner mitverdienen lassen.

Die Neuauflage von "Cybersicherheit in Zahlen" von G Data ist da. Es ist ein Handbuch der Aufklärung und Schrecken zugleich. Denn hier messen die Cybersicherheits-Experten des Bochumer Herstellers G Data akribisch den Puls der Angriffsrisiken aus dem Internet und der digitalen Kommunikation. Wo haben Unternehmen für mehr Sicherheit in ihren Netzwerken gesorgt? Was sind die erfolgreichsten Waffen der Hacker und wo setzen sie an? Wer auf der dunklen Seite des Internets steht, wird die Zahlen genauso interessiert lesen wie jene, die sich vor der Cyberangriffsindustrie schützen müssen. Hacker nehmen ja immer auch gerne die Berichte aus den Labs der Security-Branche zur Kenntnis. Des Hackers liebste Abendlektüre und stetige Quelle der Inspiration: Der Leitfaden für Sicherheitsupdates von Microsoft.

Über diesen Satz von brandeins-Chefredakteurin Susanne Riesch im Vorwort von "Cybersicherheit in Zahlen" kann ein Hacker herzlich lachen. "Sicherheit ist ein immerwährender Prozess, der neben klugen Systemen, klaren Strukturen, definierten Prozessen und kompetenten Experten die Wachsamkeit und Umsicht jeder und jedes Einzelnen erfordert." Es ist nämlich so, dass viele Unternehmen glauben, jene Wachsamkeit und Umsicht, die Riesch fordert, würden doch modernste, bisweilen sogar KI-basierte Security-Lösungen sicherstellen, für die man schließlich viel Geld gezahlt hat. Leider ein Irrglaube, wie Hacker und Frau Riesch all zugut wissen.

"Machen wir uns nichts vor: Sicherheit lässt sich nicht verordnen und nicht delegieren," scheibt die Journalistin. Was fehlt also, neben technologischer Abwehr, zu einer umfassenden Kultur des Bewusstseins für Cyberrisiken?

Niemand anderes als der Erfinder von Anti-Virus wüsste es besser: Andreas Lüning, Mitgründer und Vorstand der G Data CyberDefense aus Bochum. "Wer seine Angestellten nicht über aktuelle Cybergefahren aufklärt und schult, begeht einen großen Fehler", sagt er und macht, wieder einmal und erneut, auf einen weit verbreiteten Missstand aufmerksam: "Führungskräfte in Unternehmen müssen verantwortlich handeln und alle Mitarbeitenden bei der IT-Sicherheit einbeziehen. Auch Sachbearbeiterinnen oder Sachbearbeiter in der Buchhaltung oder im Personalbereich sind für Phishing-Attacken ein attraktives Ziel."

Was der G Data-Report zeigt: Schulungen oder Trainings zur IT-Sicherheit sind wichtig, und werden auch bei der Hälfte der Unternehmen praktiziert. Das heißt aber auch, dass rund 46 Prozent sie nicht durchführen. Ob aus Unwissenheit darauf verzichtet wird, die Schwachstelle Mensch in einem IT-Sicherheitskonzept zu berücksichtigen oder ob sich Inhaber und Vorstände schlicht das Geld für Trainings sparen wollen (man hat ja schon so viel in Systeme investiert)?

Am Geld kann es in der aktuell wenig sprudelnden Konjunktur durchaus mangeln. Nicht jedes Unternehmen will oder kann die empfohlenen 20 Prozent des IT-Budgets in IT-Security-Lösungen samt Trainings für Mitarbeiter investieren.

Dabei müssen Schulungen nicht teuer sein. MSSPs und auf Security spezialisierte Systemhäuser haben fertige Konzepte und technische Plattformen für solche Trainings entwickelt. Penetrationstools, die die Systeme der Kunden auf Schwachstellen überprüfen, gehören zum Standard-Rüstzeug jeder Security-Dienstleistung. Immer mehr Systemhäuser haben auch Software im Einsatz, die auf die Schwachstelle Mensch vor dem PC zielen.

Systemhauspartner mit Lösungen für den Channel

"Fox Obacht" von der von Franz Obermayer geleiteten Systemhausgruppe Fox Group ist ein solches Tool. Auch Tobias Erdmann vom gleichnamigen Systemhaus Erdmann hat sich auf Awareness-Trainings spezialisiert und sogar die neue Firma Security & Awareness Experten mit Geschäftsführerin und studierte Psychologin Hanna Dollinger gegründet. Es gibt rund 3 Mio. Unternehmen in Deutschland, fast 1,4 Mio. davon sensibilisieren ihre Mitarbeiter noch nicht für Cybergefahren. Hier ist noch viel Aufklärungsarbeit zu leisten, die IT-Dienstleister in Aufträge verwandeln können. Beide, Fox Group und Security & Awareness Experten, bieten ihre Lösungen anderen Systemhäusern und MSPs an.

Lösegeld würden 58 Prozent zahlen

G Data wird übrigens auf seinem Tech Day am Donnerstag dieser Woche die Neuauflage von "Cybersicherheit in Zahlen, 2023/2024" den Partnern präsentieren. Eine neben vielen anderen interessanten Statistiken zeigt, dass das Vertrauen in nur technische Lösungen für IT-Security gar nicht so absolut ist. Denn 58 Prozent aller Unternehmen in DACH mit mehr als 50 Mitarbeitern wären bereit, im Falle eines Ransomware-Angriffs Lösegeld an Hacker zu zahlen, um ihre verschlüsselten Daten zu entschlüsseln. Warum?

Weil mehr als ein Viertel glaubt, damit schneller Daten wiederherstellen zu können als mit einer Backup-Recovery. 14 Prozent bleibt gar nichts anderes übrig, weil sie erst gar keine Schutzmaßnahmen getroffen haben.