Risikofaktor Mensch – Potentialanalyse zeigt: Cybersicherheit benötigt mehr IT-Spezialisten und höheres Security-Bewusstsein
Sopra Steria Consulting und das F.A.Z.-Institut haben im September 2018 eine Online-Befragung bei 308 Fachkräften und Entscheidern aus diversen Branchen durchgeführt. Im Zentrum der Untersuchung standen die Erfahrungen, Maßnahmen und Herausforderungen rund um IT-Strategien und Cyber-Attacken im eigenen Unternehmen. Das Ergebnis zeigt: Noch herrscht zu hohe Sorglosigkeit im Umgang mit der Cyber-Security. Unternehmen mit hohem Sicherheitsbewusstsein leiden umgekehrt am Fachkräftemangel bei ihrer Suche nach geeigneten Spezialisten. Eine Aufstockung der Sicherheitsbudgets steht bei den meisten Unternehmen auf der Agenda.
Hohe Bedrohungslage und Trend zur Erpressung brachte der Hälfte aller Unternehmen finanzielle Einbußen
Für die aktuell veröffentlichte „Potentialanalyse Unternehmen schützen, Risiken minimieren“ wurden Fachentscheider aus den Branchen Wasser- und Energieversorgung, Versicherungen, Banken und Finanzdienstleistungen, öffentliche Verwaltung, Medien und Telekommunikation sowie Automotive und verarbeitendes Gewerbe befragt. Demnach wurde jedes dritte Unternehmen in den vergangen zwölf Monaten Opfer eines Cyber-Angriffs. Die höchste Gefährdung ging von Malware aus (82 %), gefolgt von E-Mail-Spam (68 %), Datenlecks (67 %) und dem Ausfall von IT-Systemen (64 %). Bedenklich ist, dass 44 % aller Unternehmen mit krimineller Erpressung konfrontiert wurden. In der Folge hatten 52 % der befragten Unternehmen und Behörden finanzielle Einbußen zu erleiden. Neben Imageverlusten (13 %) waren darüber hinaus Einbußen in der Servicequalität oder Schäden an Produkten zu beklagen (17 %).
Technik vorhanden – bei den Sicherheitsstrategien besteht Nachholbedarf
Dabei scheitert die IT-Sicherheit nicht an einem technischen Missstand. Nachholbedarf besteht vor allem bei der Implementierung sicherheitsstrategischer Maßnahmen.
Wie die Befragung ergab, haben 59 % aller Behörden und Unternehmen schon jetzt eine vorhandene IT-Sicherheitsstrategie. Das bedeutet: In 41 % aller Fälle fehlt es noch immer an einem entsprechenden Maßnahmepaket. Diesen Zustand wollen 19 % der Unternehmen und Behörden mittelfristig beenden und haben deshalb eine IT-Sicherheitsstrategie in Arbeit. In 10 % der Fälle ist eine solche geplant und 4 % sehen gar keinen Bedarf. Auch wenn mittlerweile 76 % aller Chefs für das Thema Cyber-Security sensibilisiert sind, bleibt die digitale Sorglosigkeit ein Problem. Immerhin 36 % der Geschäftsleitungen sehen nur ein geringes Risiko, Opfer von Cyber-Attacken zu werden.
Für viele Entscheider war erst die neue EU-DSGVO ein Anlass zur Sicherheitsnachrüstung. 72 % haben in diesem Zusammenhang in Schutzmaßnahmen gegen Datenverlust investiert. Beim Blick auf die betriebsinternen Maßnahmen der letzten drei Jahre fällt auf: Nur 26 % haben ein Präventionssystem eingeführt, ein Case-Management für Sicherheitsvorfälle wurde in 32 % der Fälle implementiert. Als häufigste Maßnahme kam es zur Einführung eines Berechtigungsmanagements (57 %).
Zu knappes Budget, Vernachlässigung der Mitarbeiterschulung und Fachkräftemangel sind Hauptprobleme
Laut Potentialanalyse sind erst 47 % aller Mitarbeiter für das Problemfeld Cyber-Security sensibilisiert. Dennoch boten in den vergangen drei Jahren nur 36 % aller befragten Behörden und Betriebe eine interne Security-Awareness-Kampagne für die Mitarbeiter an. Der wichtigste Grund: Jedes vierte Unternehmen muss mit einem zu eng bemessenen Budget für IT-Sicherheit auskommen. Investitionen in Mitarbeiterschulungen bleiben dabei oft auf der Strecke. Budgetprobleme haben jedoch noch eine weitere Konsequenz. Die CISOs in 67 % aller Behörden und Unternehmen können die Sicherheitsherausforderungen kaum noch ohne externe Hilfe bewältigen. Ursache: Die IT-Infrastrukturen wachsen in ihrer Komplexität stetig an. Dringend benötigt werden IT-Sicherheitsspezialisten. Doch hier schlägt sich der Fachkräftemangel gleich doppelt nieder. Auf der einen Seite müssen entsprechende IT-Experten erst einmal gefunden werden. Auf der anderen Seite fehlt den Sicherheitsbudgets das entsprechende Volumen zur Finanzierung der Fachkräfte.
Höhere Budgets für die IT-Sicherheit sind unverzichtbar
Um die Herausforderungen zu stemmen, sind höhere Sicherheitsbudgets unverzichtbar. Entsprechend geht mehr als die Hälfte der befragten Entscheider (56 %) davon aus, dass bis zum Jahr 2021 das Investitionsvolumen für die IT-Sicherheit erhöht wird. Jeder vierte Manager erwartet kontinuierliche Ausgaben beim Schutz von Unternehmensdaten und der Bekämpfung von Cyber-Attacken. Vor allem die Mitarbeitersensibilisierung sowie die Rekrutierung benötigter IT-Sicherheitsspezialisten stehen ganz oben auf der Agenda. Denn aktuell ist der Faktor Mensch das größte Problem bei der Bewältigung von Sicherheitslücken.
