Cyber-Crime: Die unterschätzte Gefahr
Es ist kein neues Phänomen, aber eines, das in den vergangenen beiden Jahren enorm zugenommen hat. Es profitierte vom Corona-Virus und schleicht sich genauso heimtückisch in Systeme: Immer häufiger kommt es zu Cyberangriffen auf österreichische Unternehmen. Zuletzt sorgte Ende des Sommers der in Oberösterreich bisher größte Angriff dieser Art für Aufsehen: Hacker suchten sich als Opfer eine IT-Firma im Linzer Zentralraum aus. Indem sie dieses Unternehmen infizierten, wurde die Schadsoftware auch auf insgesamt 34 Kunden übertragen. Das Unternehmen wurde unwissend zum Superspreader. Betroffen waren Klein- und Mittelbetriebe im ganzen Bundesland, die nicht mehr auf ihre Daten und Computersysteme zugreifen konnten. Die Lösegeldforderungen der Hacker betragen in solchen Fällen oft Millionen, die in Form von Bitcoin bezahlt werden sollen. Auch wenn die Polizei dringend davon abrät: Häufig bezahlen betroffene Firmen, weil der Stillstand des Unternehmens teurer ist als das Lösegeld.
Eklatanter Anstieg der Cybercrime-Fälle
26,3 Prozent mehr Cybercrime-Fälle wurden 2020 bei der Polizei angezeigt. Topdelikt war in der Statistik der klassische Internetbetrug. Doch im Bereich Angriffe auf Daten oder Computersysteme ist der Anstieg noch eklatanter. Das Bundeskriminalamt meldete 12.914 Fälle – ein Plus von 69,4 Prozent gegenüber 2019. Bei „Distributed Denial of Service“ (DDoS)-Attacken überfluten Kriminelle die Rechner ihrer Opfer mit einer Vielzahl von Anfragen, um sie lahmzulegen.
Mehr Schwachstellen durch Vernetzung
„Studien zeigen, dass 60 Prozent der befragten Unternehmen in den letzten 12 Monaten Opfer eines Cyberangriffs wurden“, weiß auch Ralph Müller, Generaldirektor der Wiener Städtischen. „Die Hackerangriffe in Oberösterreich haben gezeigt, wie schnell Unternehmen Opfer von Cyberattacken und -kriminellen werden können. Sowohl große als auch kleine Unternehmen kann es treffen und dann ist guter Rat meist teuer. Mit zunehmender Vernetzung steigen auch die Möglichkeiten für Schwachstellen im IT-System – trotz Virenprogramm und Firewall. Laut aktuellen Studien verzeichnen 38 Prozent der heimischen Unternehmen eine Zunahme an Cyberangriffen in der Pandemie.“
Umfassende Cyberstrategie nötig
Auch das Bundeskanzleramt beschreibt in seinem Cybersicherheitsbericht 2020, der im Juli dieses Jahres veröffentlicht wurde, den Zusammenhang der Covid-19-
Pandemie mit dem Anstieg der Cyberattacken: „Unternehmen waren oft gezwungen, ihre eigenen Cybersicherheitsbarrieren abzusenken, um den Bediensteten den Zugriff auf ihre Arbeitsplätze von außerhalb zu ermöglichen. Dies führte zu einer enorm vergrößerten Angriffsfläche und damit auch zu neuen Angriffsvektoren.“ Neben den DDoS-Attacken wird auch Ransomware immer beliebter: Dabei wird meist nicht nur Lösegeld für Entschlüsselung gefordert, sondern auch mit der Veröffentlichung von Daten gedroht. „Ein massives Risiko stellen Abhängigkeiten von Cloud-Infrastrukturen und IT-Fernzugängen für das Teleworking dar“, heißt es im Bericht. Und: „Aufgrund des Homeoffice wurden Remote-Access-Lösungen breitflächig ausgerollt. Damit steigt jedoch auch die Angriffsfläche für Ransomware-Attacken weiter an. Ist ein Eintrittstor gefunden, verbreitet sich die Ransomware im Netz und über die Netzgrenzen hinaus und setzt sich an unterschiedlichen Stellen fest. Somit sind die Angreifer in der Lage, jederzeit über unterschiedliche Eintrittspunkte Zugriff auf die Systeme zu erhalten, Daten zu exfiltrieren oder auch zu verschlüsseln.“ Es wird geraten: „Eine umfassende, unternehmensweit geltende Cyberstrategie in Zusammenwirken mit definierten und geübten Prozessen sowie einem hohen Awareness Level reduziert die Wahrscheinlichkeit erfolgreicher Angriffe bzw. deren Auswirkungen massiv. Zero-Trust-Umgebungen gewinnen an Bedeutung.“
IT-Sicherheit stark ausbaufähig
Doch: „Die IT-Sicherheit ist bei Österreichs Klein- und Mittelunternehmen stark ausbaufähig. Das bestätigt die Erfahrung, die die Experten der Wiener Städtischen im Zuge von Anfragen zum Produkt „Cyber Protect“ machen: „Nicht alle Unternehmen achten auf die Verschlüsselung von Daten oder verfügen über einen IT-Sicherheitsverantwortlichen, der jedoch gemäß den Vorgaben der DSGVO verpflichtend ist“, sagt Ralph Müller. „Die Entwicklungen in den vergangenen Jahren haben die Bedeutung der IT-Sicherheit ins Rampenlicht gerückt. Doch man kann nicht schützen, was man nicht kennt. So haben viele österreichische Unternehmen enorme Schwierigkeiten, ihre Risiken durch Dritte – wie Lieferanten – im eigenen Umfeld zu erkennen. Gerade die Vorfälle der jüngeren Vergangenheit haben gezeigt, dass potenzielle Angreifer immer das schwächste Glied in der (Liefer-)Kette auswählen, um das Unternehmen lahmzulegen. Bei einer fehlenden Einbindung von Dienstleistern in die eigene Risikobetrachtung werden diese Risiken zumeist falsch oder gar nicht bewertet“, erklärt Georg Beham, Cybersecurity & Privacy Leader bei PwC Österreich. Das Netzwerk hat im Zuge des „Global Digital Trust Insights Survey 2022“ weltweit 3.600 CEOs und Führungskräfte zu dem Thema befragt.
Aufholbedarf vor allem bei KMU
Dabei gaben nur 35 Prozent der befragten heimischen Unternehmen an, dass sie das Risiko von Datenschutzverletzungen durch Dritte systematisch erheben und über ein gutes Verständnis der vorhandenen Risiken verfügen. Ein großer blinder Fleck, den Cyberkriminelle ausnutzen. „Entgegen dem weltweiten Trend wird in Österreich immer noch zu sehr auf Lieferanten vertraut, ohne sich ein unabhängiges Bild zu machen“, sagt Georg Beham. „Ich fürchte, dass wir besonders bei österreichischen KMU Aufholbedarf haben und in der Vergangenheit wenig gemacht bzw. zu viel gespart wurde. Wir sind keine Insel der Seligen, sondern Teil des globalen Cyberspace. Daher rate ich allen Unternehmen – auf gut Österreichisch – nicht jammern, sondern anpacken“, meint Jimmy Heschl, Head of Digital Security bei Red Bull, einer der Befragten der Studie.
10 Prozent mehr Budget einkalkuliert
Immerhin haben Österreichs Unternehmen das Problem erkannt: Laut PwC wollen sieben von zehn österreichischen Unternehmen 2022 mehr in Cybersecurity investieren. Die Hälfte kalkuliere eine Erhöhung des Budgets um mehr als zehn Prozent ein und liege damit weit über dem globalen Durchschnitt. Bei den wichtigsten Investitionsfeldern für IT-Sicherheit folgt Österreich dem weltweiten Trend und erkennt vor allem Bedarf in der Integration und Harmonisierung von Prozessen und Maßnahmen über die gesamte Organisation hinweg, im Abbau von veralteter Technologie sowie in der Erstellung von Checklisten und Workflows zur Unterstützung von Abläufen bei der Abwehr von Cyberangriffen. Den Weg in die Cloud sehen nur sieben Prozent der Befragten als mögliche Strategie innerhalb der kommenden zwei Jahre. „Das ist angesichts der Arbeitsmarktlage auch in Österreich bemerkenswert, in der IT-Experten immer rarer werden und es daher zusehends alternativlos ist, in die Cloud zu migrieren“, so Georg Beham.
Cyberattacken rechtzeitig erkennen
Obwohl mittelständische Unternehmen wegen ihres Spezialwissens in den vergangenen Jahren verstärkt ins Interesse von Angreifern rücken, herrscht in vielen Betrieben nach wie vor ein relativer sorgloser Umgang mit dem Thema „Cybersecurity“, weiß auch Mario Engleder, Geschäftsführer von eworx Network & Internet GmbH: „Selbst jene, die sich der Bedrohungslage bewusst sind, scheitern bei der Umsetzung von Sicherheitskonzepten oft am fehlenden Know-how oder an mangelnden Ressourcen. KMU sind deshalb gut beraten, sich die Unterstützung von Experten einzuholen.“ Eine der größten Herausforderungen bestehe darin, Cyberattacken überhaupt rechtzeitig zu erkennen. Wesentliche Schwachstellen bilden dabei nicht nur veraltete Systeme oder unzureichende Sicherheitsstandards, sondern vor allem menschliches Fehlverhalten in Bezug auf Phishingmails, Passwort-Hygiene oder Social Engineering. „Neben präventiven Maßnahmen wie etwa dem Einsatz von geeigneten Tools zur Überwachung von Netzwerken, Datenbanken und Systemen oder Abwehrlösungen wie Firewall und Virenschutz braucht es klare Zuständigkeiten und einen konkreten Maßnahmenplan, der im Ernstfall schnelles Handeln ermöglicht. Eine adäquate Backup-Strategie befähigt Unternehmen, die Opfer eines Angriffs wurden, den Schaden zu begrenzen und den gewohnten Geschäftsbetrieb ehestmöglich wieder aufzunehmen.“
Cyber-Versicherungen stark im Kommen
Mit dem immer größeren Risiko, Opfer einer Cyberattacke zu werden, geht auch der Wunsch einher, sich besser für den Ernstfall abzusichern. „Die Auswirkungen von Cyberangriffen können verheerend sein: von der Unterbrechung der Geschäftsprozesse bis hin zu geschäftsschädigendem Imageverlust“, weiß Ralph Müller von der Wiener Städtischen. Die Versicherung habe hier schon vor einigen Jahren eine absolute Vorreiterrolle eingenommen. Einerseits wurden zwei Produkte für Betriebe auf den Markt gebracht, die vor finanziellen Folgen durch Cyberangriffe schützen, andererseits gibt es auch Angebote für Privatkunden.
Wiederherstellungskosten und Haftpflichtansprüche
Müller erklärt: „Im Fall eines Cyberangriffs erhalten Unternehmen sofortige Unterstützung per Telefon, Fernwartung oder bei der 24-Stunden-Hotline. Darüber hinaus werden die Wiederherstellungskosten der Funktionsfähigkeit des IT-Systems wie auch verlorener oder beschädigter Daten übernommen. Haftpflichtansprüche von geschädigten Dritten bei Datenschutzverletzungen und Verletzungen der Geheimhaltungspflicht sind gedeckt.“ Das Potenzial dieses Versicherungsfelds sei groß, weil jedes KMU potenziell gefährdet sei und das Bewusstsein, sich dagegen abzusichern, nehme laufend zu. Müller: „Wir verzeichneten dieses Jahr und im Vorjahr Zuwachsraten im zweistelligen Bereich.“