Cyberrisiko für Unternehmen: Viele geben sich gelassen

29.11.2024 – Nur rund ein Drittel der Unternehmen – befragt wurden solche mit mindestens 20 Mitarbeitern – hält laut einer EY-Umfrage die Gefahr, Opfer eines Cyberangriffs zu werden, für sehr oder eher hoch. Im Versicherungssektor orten überdurchschnittlich viele ein solches Risiko, zugleich sehen sich hier aber auch überdurchschnittlich viele gut gegen Informationsabflüsse gerüstet. Gegen digitale Risiken versichert ist nach eigenen Angaben etwa die Hälfte der Unternehmen.

Quelle: Gerd Altmann auf Pixabay

Das Cyberrisiko wird angesichts starker Vernetzung und zunehmender Digitalisierung gemeinhin als ein besonders vordringliches betrachtet.

In einer neuen EY-Umfrage schätzen allerdings nur 11 Prozent das Risiko, „Opfer von Cyberangriffen/Datendiebstahl“ zu werden, als „sehr hoch“ ein; weitere 24 Prozent halten es für „eher hoch“. Vor zwei Jahren antworteten 4 bzw. 25 Prozent (VersicherungsJournal 31.8.2022) entsprechend – eine nur geringfügige Änderung also.

51 Prozent (2022: 59) stufen das Risiko laut den nun veröffentlichten Ergebnissen als „eher niedrig“ ein, 13 Prozent (2022: 12) als „sehr niedrig“ oder nicht vorhanden.

Die Daten stammen aus einer Befragung, die die Triple M Matzka Insights GmbH für EY von Mitte Mai bis Mitte Juni unter 201 Geschäftsführern und Führungskräften aus den Bereichen IT-Sicherheit und Datenschutz in österreichischen Unternehmen mit mindestens 20 Beschäftigten durchgeführt hat.

„Alarmierend“

Es sei „alarmierend“, dass nur ein Drittel der Entscheider das Risiko eines Cyberangriffs als hoch einschätze, „obwohl die Bedrohungen täglich zunehmen“, kommentiert Gottfried Tonweber, Leiter Cybersecurity und Data Privacy bei EY Österreich, die Ergebnisse.

„Viele Unternehmen blenden die reale Gefahr eines Angriffs weiterhin aus oder scheinen die Thematik nicht so ernst zu nehmen, um entsprechende Maßnahmen zu ergreifen und das Risiko zu adressieren“, so Tonweber.

Es seien daher weitere Anstrengungen nötig, um die Umsetzung von Sicherheitsmaßnahmen zu erhöhen, konkrete Pläne für den Anlassfall zu erstellen und auf präventive Maßnahmen zu setzen.

Versicherungswirtschaft besonders sensibilisiert

Gottfried Tonweber, Leiter
Cybersecurity und Data
Privacy bei EY Österreich
(Bild: EY/Robert Herbst)

Unter den acht ausgewiesenen Sektoren ist der Versicherungssektor – sechs Prozent aller Befragten kommen aus dieser Branche – jener, in dem die Risikowahrnehmung am stärksten ausgeprägt ist.

Hier sehen jeweils 25 Prozent ein sehr oder eher hohes Cyberangriffsrisiko für das eigene Unternehmen, 33 Prozent ein eher niedriges, 17 Prozent ein sehr niedriges oder keines.

Am „entspanntesten“ zeigt sich der Banksektor: Nur 6 Prozent orten für sich selbst ein sehr hohes, 18 Prozent ein eher hohes Risiko.

Vier Fünftel sehen steigendes Cyberrisiko

Und wie wird sich die Bedeutung des Problems „Cyberangriffe/Datendiebstahl“ in Zukunft für das eigene Unternehmen entwickeln?

21 Prozent aller Teilnehmer meinen, es „steigt stark an“, 63 Prozent es steige „etwas“. Die restlichen 11 bzw. 4 Prozent rechnen gar mit einem leichten oder starken Rückgang.

Die Versicherungsbranche liegt hier annähernd im Schnitt: 25 Prozent erwarten einen starken Anstieg, 58 Prozent, dass es „etwas“ zunimmt, 17 Prozent rechnen mit einem leichten Rückgang.

Auffällig: Je größer der Jahresumsatz, desto größer der Anteil derer, die mit einer Verschärfung der Problematik rechnen: Bei Unternehmen mit unter zehn Millionen Euro erwarten nur 19 Prozent eine starke Risikozunahme, bei jenen ab 51 Millionen Euro 45 Prozent.

Prävention gegen Informationsabflüsse

Wie sieht es mit der Vorbeugung gegen ungewollte Informationsabflüsse aus?

Wenngleich unter den Versicherern besonders viele ein hohes Cyberrisiko orten, so sagen in dieser Branche zugleich 42 Prozent: Unsere präventiven Vorkehrungen gegen Informationsabflüsse reichen „auf jeden Fall“ aus. Das ist der höchste Wert unter allen Sektoren; der Schnitt beträgt 26 Prozent.

Dass die Vorkehrungen „eher doch“ reichen, meinen bei den Versicherungsbefragten 25 Prozent (Schnitt: 47 Prozent), und 33 Prozent (Schnitt: 22 Prozent) meinen, dass er „weniger“ ausreichend ist. Dass er „sicher nicht“ ausreicht, gab im Versicherungssektor niemand an (im Schnitt: 5 Prozent).

Ein Fünftel berichtet von Angriffen, EY vermutet höhere Dunkelziffer

Gab es im Unternehmen innerhalb der vergangenen fünf Jahre konkrete Hinweise auf Angriffe auf Netzwerke und Daten? Sieben Prozent aller Teilnehmer sagen: Ja, einmal, weitere 15 Prozent berichten von mehrfachen Vorkommnissen. „Die Dunkelziffer der tatsächlich erfolgten Fälle dürfte aber deutlich höher sein“, so EY.

Bei den Betroffenen ging es überwiegend um Phishing-Angriffe (67 Prozent), häufig waren auch Malware- (51 Prozent) und Ransomware-Angriffe (38 Prozent). Nach eigenen Angaben hat keines der Unternehmen, von denen Erpresser Geld forderten, gezahlt.

Zur Schadenhöhe machte die Hälfte der Betroffenen-Gruppe keine Angaben, bei 16 Prozent war sie nicht feststellbar. 22 Prozent sagten, der Schaden sei kleiner als 25.000 Euro gewesen, bei 7 Prozent bewegte er sich im Bereich von 25.000 bis 49.000 Euro, bei 2 Prozent im Bereich von 50.000 bis 99.000 Euro.

Sind die Unternehmen gegen digitale Risiken wie etwa Hackerangriffe versichert? Die knappe Mehrheit von 53 Prozent ist es nicht. 47 Prozent gaben dementsprechend an, versichert zu sein.

Meist nach wenigen Tagen wieder „auf Schiene“

Bernhard Zacherl,
Direktor und Experte
für Cybersecurity bei
EY Österreich
(Bild: EY/Christina Häusler)

Der Großteil (67 Prozent) der Betroffenen gab an, man habe Betrieb und Sicherheit innerhalb weniger Tage wiederherstellen können.

Bei 27 Prozent gelang dies innerhalb einer Woche, bei 7 Prozent dauerte es mehr als eine Woche. Mehrere Wochen hat keines der befragten Unternehmen gebraucht.

In der Mehrheit der Fälle (60 Prozent) sei der Angreifer „kürzer als einen Tag“ aktiv gewesen, in weiteren 15 Prozent weniger als einen Monat, in 8 Prozent länger.

Bei 16 Prozent war die Dauer nicht feststellbar oder es wurden in der Umfrage keine Angaben gemacht.

Angriffsflächen werden immer größer

„Angesichts der komplexen digitalen Umgebungen – sei es durch Ausweitung von Homeoffice, Mobile Devices oder Cloud Computing – werden auch die Angriffsflächen immer größer und die Sicherung der eigenen Systeme immer schwieriger“, hält Bernhard Zacherl, Direktor und Experte für Cybersecurity bei EY Österreich, fest.

Ein ausreichendes Budget, das „effektiv eingesetzt“ wird, sei für einen guten Schutz daher notwendig.

Und er ergänzt: „Der Mensch ist eine der größten Schwachstellen bei der IT-Sicherheit. Oftmals aus Unwissenheit. Schulungen und Trainings, um Awareness bei Mitarbeitenden zu schaffen und das nötige Know-how zu vermitteln, sollten daher hohe Priorität haben, um allfällige Angriffe abzuwehren.“

Zum Herunterladen

Die Ergebnisse aus der Umfrage „Cybersicherheit“ können als PDF-Dokument von der EY-Website heruntergeladen werden.