Cyberrisiko: „Viele wiegen sich in falscher Sicherheit“

4.4.2025 – Deloitte attestiert viele Unternehmen, in den vergangenen Jahren an ihrer digitalen Sicherheit gearbeitet zu haben. Viele wiegen sich der Unternehmensberatung zufolge aber in falscher Sicherheit. Tatsächlich müsse man die eigenen Anstrengungen, einschließlich zugehöriger Budgets, laufend an eine sich verschärfende Bedrohungslage anpassen.

Der „Cyber Security Report 2025“ (Cover; Quelle: Deloitte)

Cyber-Kriminelle sind „aggressiver und erfolgreicher denn je“. Das jedenfalls ist die Schlussfolgerung, die die Unternehmensberatung Deloitte aus den Daten zu ihrem neuen „Cyber Security Report 2025“ zieht.

Für diesen haben Deloitte Österreich und das Institut Foresight im Jänner und Februar Antworten von österreichweit 350 Unternehmen mit mindestens 50 Beschäftigten eingeholt, die in verschiedenen Branchen tätig sind.

Die Anzahl der Unternehmen, die täglich von Ransomware-Attacken betroffen sind, habe sich von 12 Prozent 2022 auf heute 22 Prozent fast verdoppelt. Weitere 18 Prozent gaben an, dass solche Angriffe mehrmals im Monat oder ein paar Mal im Jahr vorkommen.

Ständiger Wettlauf zwischen Cyber-Kriminellen und Unternehmen

„Die Analyse der Umfragedaten über die vergangenen Jahre hinweg macht deutlich, wie dynamisch das Umfeld ist“, sagt Evrim Bakir, Managing Partnerin für Consulting bei Deloitte Österreich.

Vor allem das Aufkommen neuer Technologien wie KI ermögliche Kriminellen eine noch aggressivere Vorgehensweise. „100.000 Angriffe pro Tag auf eine Organisation sind unserer Erfahrung nach keine Seltenheit mehr“, so Bakir.

Die Unternehmen seien aber auch nicht untätig geblieben, so Deloitte: 56 Prozent können die Ausbreitung der Ransomware mittlerweile dank verbesserter technischer Infrastrukturmaßnahmen verhindern.

Die kontinuierliche Weiterentwicklung der digitalen Sicherheit sei „das A und O“, um der steigenden Professionalität der Angreifer entgegenzuwirken, betont Deloitte.

Die große Mehrheit fühlt sich sicher

Subjektiv fühlt sich die große Mehrheit der Befragten ziemlich sicher, was Daten und IT-System angeht.

„Unternehmen vertrauen ihren eigenen Cyber-Security-Sicherheitsmaßnahmen – und das, obwohl die Bedrohungslage derzeit durch AI sowie die sich zuspitzende geopolitische Situation sehr angespannt ist“, schreibt Deloitte im Bericht.

12 Prozent stuften ihre Daten und IT-Systeme als „absolut sicher“ ein, weitere 58 Prozent als „sehr sicher“ und 26 Prozent immerhin als „ziemlich sicher“. Nur 1 Prozent beurteilt sie als „wenig sicher“, die restlichen 3 Prozent machten keine Angabe.

Fast die Hälfte gab an, dass ihre Sicherheitslage im Vergleich zum Vorjahr positiv entwickelt hat: 15 Prozent meinten, sie sei viel sicherer, 31 Prozent eher sicherer. Ebenfalls fast die Hälfte (48 Prozent) bemerkt keine Veränderung.

„Viele wiegen sich in falscher Sicherheit“

„Die Unternehmen haben in den vergangenen Jahren viel in ihre Cybersicherheit investiert“, sagt Georg Schwondra, Partner im Bereich Cyber Risk. Ein kontinuierlicher Schwerpunkt sei die Bewusstseinsbildung der Mitarbeiter gewesen.

„Viele wiegen sich daher in falscher Sicherheit. Denn stagnierende Budgets reichen nicht aus, um eine effektive Abwehr zu garantieren. Die Unternehmen müssen dafür mehr Geld in die Hand nehmen“, meint Schwondra.

Laut der Umfrage hat nämlich nur ein Drittel vor, die Sicherheitsbudgets für Technik und Prozesse zu erhöhen, nur ein Viertel jene fürs Personal.

Deloitte sieht Aufholbedarf bei „Zero Trust“

Handlungsbedarf gebe es auch im Zusammenhang mit neuen Sicherheitsstrategien. Der „Zero Trust“-Ansatz, bei dem niemanden im Unternehmen automatisch vertraut, sondern jeder einzelne Datenzugriff verifiziert wird, nehme zwar an Bekanntheit zu. Von einem flächendeckenden Einsatz sei man aber weit entfernt.

„Zero Trust gehört zu den wichtigsten Konzepten in der Cyber Security, doch nur ein Viertel der Unternehmen hat diese Strategie im Einsatz und lediglich 14 Prozent wollen sie demnächst implementieren. Das sind erschreckend niedrige Zahlen, die sich dringend ändern müssen“, sagt Schwondra.

KI: Hilfsmittel und Risikoquelle

Größer ist laut Umfrage indes das Interesse der Unternehmen an der Nutzung von KI für Zwecke der Cybersicherheit, beispielsweise in der Phishing-Erkennung. Bei 6 Prozent spielt KI hier eine zentrale Rolle, bei 39 Prozent kommt sie stellenweise zum Einsatz.

Zugleich bereitet KI mehr als einem Drittel dahingehend Sorge, dass durch ihren Einsatz sensible Unternehmensdaten an die Öffentlichkeit gelangen.

„Wir können davon ausgehen, dass die Verbindung von AI und einer angespannten geopolitischen Lage neue Bedrohungen hervorbringt, die sich noch weiter verschärfen werden“, kommentiert Schwondra und legt Unternehmen ans Herz, entsprechend nachzujustieren.

Handlungsempfehlungen

Deloitte empfiehlt Unternehmen, das Business Continuity Management (BCM) laufend anzupassen und ein Vorfallsmanagement sicherzustellen, mit dem Sicherheitsvorfälle „schnell erkannt, analysiert und effektiv gehandhabt“ werden können.

Regelmäßig den Notfall zu üben, zählt ebenso zu den Handlungsempfehlungen wie Backups und Wiederherstellungspläne regelmäßig zu prüfen.

Was den Einsatz künstlicher Intelligenz im Bereich der Cybersicherheit angeht, erachtet Deloitte die Entwicklung und Implementierung einer eigenen Richtlinie als notwendig, die „den sicheren Einsatz und die Verwendung der neuen Technologie“ regelt.

Und nicht zuletzt rät Deloitte, die sich wandelnde Bedrohungslandschaft laufend im Auge zu behalten und die Sicherheitsbudgets danach auszurichten.

Zum Herunterladen

Der „Cyber Security Report 2025“ kann als PDF-Dokument (2,55 MB) von der Website von Deloitte heruntergeladen werden.