Trügerische Sicherheit: Deutsche Firmen geben zu wenig für IT-Security aus

14 Prozent und damit satte 5 Prozent mehr als im Vorjahr geben Unternehmen von ihrem IT-Budget für IT-Security aus. Das ist immer noch zu wenig. Denn der Schaden für die deutsche Wirtschaft durch Diebstahl von IT-Ausrüstung und Daten sowie digitale und analoge Industriespionage und Sabotage steigt im dritten Jahr infolge - auf über 200 Mrd. Euro, so der Bitkom.

Man muss schon sehr genau hinschauen, um einige positive Zahlen zur Lage der Cybersicherheit in Deutschland präsentieren zu können. Wohlgemerkt Zahlen und leider keine stabilen Trends, die etwa Entwarnung geben könnten. Der Bitkom hatte unlängst rund 1.000 Unternehmen in Deutschland zur IT-Sicherheitslage befragt. Wenigstens einige Zahlen haben sich gegenüber dem Vorjahr verbessert. Von einer nachhaltig positiven Entwicklung, die man aufgrund der gemeldeten Innovationen aus der IT-Security-Branche vielleicht zu hoffen hätte wagen können, kann indes nicht die Rede sein.

Rund drei Viertel aller Unternehmen waren laut Bitkom in den vergangenen zwölf Monaten von analogen und digitalen Angriffen betroffen, weitere 8 Prozent vermuten dies, ohne entsprechende Angriffe zweifelsfrei nachweisen zu können. Gegenüber dem Vorjahr mit 84 bzw. 9 Prozent ging die Zahl der Angriffe damit leicht zurück.

Bei den Angriffsmethoden unterscheidet die Bitkom-Umfrage zwischen analogen und digitalen Methoden. So ist festzustellen, dass sich auch die Kriminalität wie ihre Opfer in einer digitalen Transformation befindet. Denn analoge Angriffe sind auf dem Rückzug, wie die befragten Unternehmen berichten: Diebstahl von IT- oder Telekommunikationsgeräten (67 Prozent, minus 2 Prozent), der Klau von sensiblen physischen Dokumenten oder Mustern (35 Prozent, minus 7 Prozent), das Abhören von Besprechungen oder Telefonaten vor Ort, etwa mit Wanzen (17 Prozent, minus 11 Prozent) und physische Sabotage (17 Prozent, minus 5 Prozent). Wer will, kann darin etwas Positives sehen. Zum Beispiel, dass die Bösewichte, wie sie James Bond bekämpft, so nicht mehr existieren.

Auch kriminelle Geschäftsmodelle machen digitale Transformation durch

Die aber sind immer noch aktiv - und wie! Denn digitale Methoden machen längst den Großteil der Bedrohungen aus, so sind laut Bitkom Cyberattacken für fast drei Viertel (72 Prozent) des gesamten Schadens verantwortlich, der der deutschen Wirtschaft durch Datendiebstahl, Sabotage und Industriespionage entsteht. Das entspricht rund 148 Mrd. Euro und ist ein deutlicher Anstieg zum Vorjahr, als nur 63 Prozent und damit rund 128 Milliarden Euro Cyberangriffen zugerechnet werden konnten. Der Gesamtschaden aus analogen und digitalen Betrügereien: 206 Mrd. Euro und damit das dritte Jahr in Folge über dem Schwellenwert von 200 Mrd.

An erster Stelle steht Phishing mit 31 Prozent (2022: 25 Prozent) an der Spitze, dahinter folgen Angriffe auf Passwörter (29 Prozent, 2022: 25 Prozent) sowie die Infizierung mit Schadsoftware (28 Prozent, 2022: 25 Prozent). Deutlich angestiegen sind laut Bitkom Schäden durch Ransomware, von denen rund ein Viertel (23 Prozent) der Unternehmen berichten. Vor einem Jahr waren es nur 12 Prozent.

Rückläufig sind dagegen Schäden durch Distributed Denial of Service (DDoS) Attacken, die nur noch in 12 Prozent der Unternehmen Schäden verursacht haben, vor einem Jahr waren es mit 21 Prozent noch fast doppelt so viele. Immerhin ein Lichtblick, der aber schnell Glanz verliert.

Diebstahl von Kundendaten nimmt zu

"Der Trend zu Angriffen im digitalen Raum wird sich fortsetzen. Die deutschen Unternehmen müssen ihre IT-Sicherheit mindestens auf jenes Niveau bringen, das für die physische Sicherheit vor Ort längst Standard ist," rät Bitkom-Präsident Ralf Wintergerst.

Vor allem auf Diebstahl von Kundendaten haben es Cyberkriminelle abgesehen. 56 Prozent der vom Bitkom befragten Unternehmen waren bereits von solchen Vorfällen betroffen, zwei Jahre zuvor waren es erst 31 Prozent. Neben Bußgeldern drohen betroffenen Unternehmen Schadensersatzklagen, Verlust der Reputation und des Vertrauens bei Kunden und Mitarbeitern.

IT-Budgets für Cybersicherheit zu niedrig

Angesichts der Cyberbedrohungen haben die Unternehmen laut Bitkom ihre Investitionen in die IT-Sicherheit hochgefahren. Im Durchschnitt gehen derzeit 14 Prozent des IT-Budgets eines Unternehmens in die IT-Sicherheit, nach 9 Prozent im Vorjahr. Was aber insgesamt immer noch zu wenig sei.

Denn lediglich ein Drittel der Unternehmen (30 Prozent) kommt auf einen Anteil von 20 Prozent oder mehr am IT-Budget und erfülle damit die Empfehlung des Bitkom und des Bundesamts für Sicherheit in der Informationstechnologie (BSI). 42 Prozent wenden 10 bis unter 20 Prozent auf, 16 Prozent 5 bis unter 10 Prozent und jedes 20. Unternehmen sogar weniger als 5 Prozent. Mehr Geld gleich höhere Resilienz gegen Cyberangriff? Es scheint so, dass viele Unternehmer und Geschäftsführer an diese Logik nicht glauben wollen. Denn dass ihr Unternehmen für die in Zahl steigende organisierte Cyberkriminalität und ihre zunehmende Professionalisierung sowie Ausdehnung ihrer Aktivitäten nicht interessant sein würde, ist eine trügerische Hoffnung.