Optimierung beim Cyberschutz kann Schadenhöhe minimieren

Das Potenzial für Verbesserungsmaßnahmen im Cyberschutz ist hoch, wie eine Studie der HDI Versicherung   zeigt. Das Forschungs- und Beratungsinstitut Sirius Campus   befragte dafür Ende letzten Jahres Freiberufler sowie IT- und Versicherungs-Entscheider von mehr als 500 kleinen und mittelständischen Unternehmen (KMU). Folgende Maßnahmen werden empfohlen:

Schutz durch technische Maßnahmen

Technische Maßnahmen sind die gängigsten Vorkehrungen, mit denen sich Unternehmen gegen Bedrohungen aus dem Cyber-Raum schützen. Firewalls, Spam-Schutz und automatische Datensicherungen durch Backups werden laut HDI Studie am häufigsten verwendet. So gaben 83 Prozent der Befragten an, dass sie Firewalls installiert hätten, 81 Prozent nannten Spam-Schutz und 80 Prozent automatisierte Backups. Seltener eingesetzt werden zum Beispiel Multi-Faktor Authentifizierungen (55 Prozent) oder verschlüsselte Zugänge zum Unternehmensnetzwerk zum Beispiel über VPN (66 Prozent).

Technische Maßnahmen bieten einen guten Basisschutz und sind häufig mit einem überschaubaren Aufwand umzusetzen. Allerdings zeigen laut HDI Untersuchungen und auch Schadenbilder von erfolgreichen Cyberangriffen, dass technische Lösungen allein nicht ausreichen. Ebenso wichtig sind organisatorische Maßnahmen und Mitarbeiterschulungen.

Schutz durch organisatorische Maßnahmen

Organisatorische Präventionsmaßnahmen umfassen zum Beispiel verbindliche Passwort-Standards oder Schwachstellen-Scans der IT sowie die Vorbereitung von Notfallmaßnahmen für einen Cyberangriff. Am weitesten verbreitet (bei 72 Prozent der KMU) sind verbindliche Standards für den Umgang mit Passwörtern. Kritischer sieht es dagegen in Sachen Notfallmanagement aus. So sind die Zuständigkeiten bei einem Cyberangriff lediglich bei jedem zweiten Unternehmen (55 Prozent) eindeutig festgelegt.

Angriffe, die auf die Schwachstelle "Mensch" zielen, sind in der Praxis am erfolgversprechendsten - für den Angreifer. "Im Rahmen der Studie wurden von betroffenen Unternehmen Angriffsmethoden wie Phishing-Mails oder Social Engineering mit Abstand am häufigsten genannt. Denn Mitarbeiter, die E-Mail-Anhänge von Unbekannten öffnen oder auf zweifelhafte Links klicken, können Kriminellen unkontrollierte Zugänge in die IT-Systeme öffnen", erklärt HDI Vorstand Malte Dittmann . Doch laut HDI Studie setzen nur knapp die Hälfte (48 Prozent) der befragten Unternehmen mindestens einmal jährlich Mitarbeiterschulungen zur Cybersicherheit ein. Ein Viertel (25 Prozent) der KMU testen ihre IT-Sicherheit durch simulierte E-Mailangriffe.

Schutz durch kombinierte Präventionsmaßnahmen

Die Cyberstudie zeige deutlich: Erst eine Kombination aus technischen Vorkehrungen und organisatorischen Regeln mit Maßnahmen zur Mitarbeitersensibilisierung verspricht einen möglichst wirksamen Schutz.

So waren 31 Prozent aller befragten Unternehmen in der letzten Zeit von erfolgreichen Cyberangriffen betroffen. Von denjenigen, die mehr als zehn der untersuchten Präventionsmaßnahmen einsetzen, waren es lediglich 18 Prozent. Noch signifikanter war der Unterschied bei der durchschnittlichen Schadenhöhe: Sie lag bei den 23 Prozent der befragten Unternehmen, die mehr als zehn Maßnahmen einsetzten bei 54.000 Euro - im Vergleich zu durchschnittlich 95.000 Euro bei der Betrachtung aller betroffenen KMU. Das ist nahezu eine Halbierung der Schadenhöhe.



Versicherungen bieten ein Audit für die externe Bewertung von Cyber-Risiken an. Dabei werden mögliche Schwachstellen der IT-Infrastruktur festgestellt und potenzielle Gegenmaßnahmen aufgezeigt. Diese Zusatzleistung zur Cyberversicherung wünscht sich bereits die Hälfte aller Befragten.