Was früher einmal ein Problem von Dax-Konzernen war, trifft inzwischen auch Mittelständler und sogar Firmen mit nur einem Dutzend Mitarbeitern. Laut einer Studie des Digitalverbandes Bitkom gibt es in Deutschland kaum noch Unternehmen, die von Cyberattacken verschont bleiben.
Wie die Untersuchung zeigt, waren in den Jahren 2020 und 2021 fast neun von zehn Unternehmen von Datenklau, Spionage oder Sabotage betroffen. Vor allem Fälle, in denen Informations- und Produktionssysteme von Erpressern lahmgelegt werden, haben den Angaben zufolge stark zugenommen.
Schadenssumme verdoppelt
Insgesamt war die Schadenssumme mit etwa 220 Milliarden Euro pro Jahr laut Bericht zuletzt mehr als doppelt so hoch wie in den Jahren 2018 und 2019. Damals hatten die Schäden pro Jahr bei durchschnittlich 103 Milliarden Euro gelegen.
Wie die für die Studie befragten Führungskräfte berichteten, gab es in 59 Prozent der Unternehmen, in denen Homeoffice grundsätzlich möglich ist, seit Beginn der Corona-Pandemie IT-Sicherheitsvorfälle. «Mitarbeiterinnen und Mitarbeiter einfach zum Arbeiten nach Hause zu schicken, genügt nicht», sagt Bitkom-Präsident Achim Berg. Ihre Geräte müssten gesichert, Kommunikationskanäle zum Unternehmen geschützt und die Belegschaft müsse für Gefahren durch Cyberkriminalität sensibilisiert werden.
Laut Umfrage sehen 9 Prozent der Unternehmen ihre geschäftliche Existenz durch Cyberattacken bedroht. Wie der Branchenverband weiter berichtet, haben 24 Prozent der Firmen ihre Investitionen in IT-Sicherheit als Reaktion auf die verschärfte Bedrohungslage deutlich erhöht. 39 Prozent der Unternehmen gaben etwas mehr Geld dafür aus.
Neben Mitarbeitern, die absichtlich oder unbeabsichtigt Schäden verursachen, stecken nach Einschätzung der Firmen in 40 Prozent der Fälle Hobby-Hacker hinter den Attacken. Der Anteil der Angriffe, die dem Bereich der organisierten Kriminalität zuzurechnen sind, stieg zugleich weiter an. Er liegt laut Studie bereits bei 29 Prozent.
Verschiedene Angriffsmethoden
Zur beliebtesten Angriffsmethode hat sich nach Angaben der Firmen die Infizierung von IT-Systemen mit Schadsoftware entwickelt. 31 Prozent der befragten Unternehmen wurden Opfer solcher Attacken. 27 Prozent der Firmen berichteten von sogenannten DDoS-Attacken. Bei diesen gezielten Angriffen wird ein Server so überlastet, dass er nicht mehr erreichbar ist.
Stark zugenommen hat laut Umfrage auch das Spoofing, also die Vortäuschung einer falschen Identität, um an Passwörter, Interna oder andere sensible Daten zu gelangen. Das Opfer erhält beispielsweise eine Anfrage per Mail von einem vermeintlich vertrauenswürdigen Account, etwa eines Vorgesetzten oder Kunden. Jedes fünfte Unternehmen berichtete in diesem Jahr von solchen Vorfällen. Bei der Befragung im Jahr 2019 waren davon nur acht Prozent der Firmen betroffen gewesen.
Wo die Attacken herkommen
In den Fällen, wo die Betroffenen nach eigener Einschätzung feststellen konnten, woher ein Angriff kam, nannten 43 Prozent Deutschland, 37 Prozent Osteuropa, 23 Prozent Russland, 30 Prozent China und 16 Prozent die USA. In anderen EU-Staaten lokalisierten die Unternehmen die Angreifer nur in 3 Prozent der Fälle.
Er habe bei einigen Staaten in Osteuropa, in Russland, China und auch im Iran nicht das Gefühl, dass dort von staatlicher Seite gegen diese Kriminellen vorgegangen werde, sagt Berg. Im Verfassungsschutzbericht für das Jahr 2020 heißt es: «Wegen der engen Verflechtung von Staat, Wirtschaft und Wissenschaft in China ist es im Einzelfall kaum möglich, zwischen staatlich betriebener Wirtschaftsspionage und Ausspähung durch konkurrierende Unternehmen zu unterscheiden.»
Die Studie mache deutlich, wie wichtig eine widerstandsfähige Wirtschaft für den Standort Deutschland sei, sagt der Vizepräsident des Bundesamtes für Verfassungsschutz, Sinan Selen. Den Bedrohungen durch Spionage und Sabotage könnten Behörden und Wirtschaft nur durch eine intensive Zusammenarbeit begegnen. Die Angriffsfläche sei durch die vorübergehende Verlagerung vieler Arbeitsplätze nach Hause als Folge der Corona-Pandemie sprunghaft gewachsen, sagt Selen. Er warnt: «Homeoffice darf hier nicht zum Risiko werden.»