Studie: Immer mehr E-Mails landen beim falschen Empfänger

Irrtümliche Verbreitung vertraulicher Informationen häufiger als erwartet

39 Prozent der Befragten gaben an, schon einmal geheime, eigentlich nicht für sie bestimmte Informationen per E-Mail erhalten zu haben. 26 Prozent der Studienteilnehmer hatten diese Informationen von einer externen Quelle bekommen. 15 Prozent aller Befragten gaben darüber hinaus zu, bereits selbst einmal vertrauliche Informationen versehentlich an eine falsche Person oder Firma geschickt zu haben. Alarmierend ist daran speziell die Tatsache, dass dieser Anteil bei einer ähnlichen Untersuchung im Jahr 2002 noch bei drei Prozent lag und sich somit in den letzen beiden Jahren verfünffacht hat. Laut Surfcontrol-Studie ist der EMail-Verkehr mittlerweile ein absolut gängiges Medium zur Weiterleitung vertraulicher Informationen aus dem eigenen Unternehmen oder von Kunden. 91 Prozent der befragten Angestellten gaben an, dass sie regelmäßig vertrauliche Informationen auf diesem Weg verschicken bzw. erhalten.

"Der Anteil derjenigen Firmenangestellten, die schon einmal irrtümlich vertrauliche Informationen gesendet oder empfangen haben, ist noch höher, als wir erwartet haben", resümiert Gernot Huber, Marketing Manager bei Surfcontrol Europe. Der Verlust geheimer Daten sei somit zweifelsfrei zu einer alltäglichen Bedrohung für Unternehmen geworden. Arbeitgeber begäben sich auf gefährliches Glatteis, wenn sie keine geeigneten Verhaltensregeln einführen und diese mit der richtigen Content-Security-Technologie zur Abwehr solcher Risiken kombinieren, warnt Huber.

Die Studie zeigt auch klare Unterschiede zwischen den verschiedenen Abteilungen in den Unternehmen. Während 45 Prozent der IT-Fachleute bereits geheime, nicht für sie bestimmte Informationen erhielten, sind es bei den Mitarbeitern aus dem Personalwesen nur 23 Prozent.

Hohes Gefahrenpotenzial: Instant Messaging und Peer-to-Peer-Netzwerke

Mit der alleinigen Absicherung von Risiken, welche durch die EMail-Nutzung der Beschäftigten entstehen, ist es für die Unternehmen allerdings nicht getan. Während immerhin 70 Prozent der Befragten angaben, dass in ihrem Unternehmen Richtlinien für den EMail-Versand vertraulicher Informationen existieren, haben frühere Umfragen von Surfcontrol ergeben, dass nur 48 Prozent der Unternehmen ähnliche Regeln für die Nutzung von Instant Messaging (IM) vorgeben (Instant Message-Studie SurfControl, Dezember 2003). Gerade einmal 42 Prozent der Befragten wussten zudem über entsprechende Richtlinien für Peer-to-Peer-Netzwerke (P2P) in ihren Unternehmen Bescheid (P2P-Studie SurfControl, März 2004).

Die potenziellen Risiken im Zusammenhang mit IM und P2P unterscheiden sich allerdings kaum von denjenigen, die für den Umgang mit E-Mails gelten. Content-Security-Maßnahmen sollten deshalb immer auch diese alternativen Kommunikationskanäle berücksichtigen.

Schulung der Mitarbeiter: Keiner fühlt sich zuständig

Eine weitere Erkenntnis der Surfcontrol-Studie besteht darin, dass sich in vielen Unternehmen offenbar niemand für die Schulung und Information der Mitarbeiter zum Schutz vertraulicher Daten zuständig fühlt. So waren 46 Prozent der interviewten Personalverantwortlichen der Ansicht, ihre Kollegen aus der IT-Abteilung seien dafür zuständig, die Belegschaft über entsprechende Gefahren zu unterrichten. Lediglich 38 Prozent der IT-Verantwortlichen sehen die Zuständigkeit dafür aber in der eigenen Abteilung.

Im Gegenzug zeigte sich, dass 24 Prozent der Befragten aus dem IT-Bereich der Auffassung waren, für die Schulung des Personals im Umgang mit vertraulichen E-Mails sei die Personalabteilung verantwortlich. Dieser Sichtweise stimmt aber nur ein Viertel der Personalverantwortlichen zu. Generell steckt die entsprechende Schulung der Mitarbeiter hinsichtlich solcher Sicherheitsrisiken ganz offensichtlich noch in den Kinderschuhen: Ganze zehn Prozent der Befragten gaben an, sie seien in ihrem Unternehmen gründlich und umfassend über die Verbreitung vertraulicher Daten informiert worden. Dagegen hatten 41 Prozent der Personalverantwortlichen und 47 Prozent der IT-Mitarbeiter nach eigenen Angaben keinerlei Schulung erhalten oder waren bestenfalls mit Basisinformationen vertraut gemacht worden.

Im Auftrag des Content Security-Spezialisten wurden dazu mehr als 400 IT- und Personalverantwortliche in Großbritannien befragt. Aufgrund der ähnlichen Märkte sind die Zahlen auch für das deutschsprachige Europa vergleichbar.