Globale Gefahrenlage

Nie war IT-Sicherheit so wichtig für Unternehmen wie heute, vor allem wenn sie weltweit agieren. Zwar gleicht die Abwehr von Datendieben und Hackern einem Hase-und-Igel-Spiel. Doch wer nicht ständig auf der Hut ist, verliert auf jeden Fall.

Juni 2018
Autoren: Corinne Abele, Robert Herzner, Oliver Höflinger, Wladimir Struminski und Ullrich Umann

Alon Kantor ist bei der Firma Check Point Software Technologies aus Israel für die Produktentwicklung verantwortlich. Spezialisten für IT-Sicherheit wie er schlagen die Schlacht im Netz.

© Corinna Kern/laif

Schon für einen Mittelständler wäre es wohl unangenehm gewesen, ­diese Twittermeldung herauszugeben: „Unsere IT-Systeme sind über mehrere Webpräsenzen und Geschäftseinheiten hinweg ausgefallen!“ Doch die dänische Containerreederei Maersk, die diesen Tweet am 27. Juni 2017 absetzen musste, ist ein Stützpfeiler des Welthandels. Maersk ist nicht nur der größte Logistikdienstleister in diesem Bereich – die Dänen gelten auch als besonders gut aufgestellt in der IT-Sicherheit.

Doch es half nichts: Maersks IT-Systeme waren über eine Steuersoftware in der Ukraine mit dem Erpressungstrojaner NotPetya infiziert worden. Die Dänen mussten ihre Systeme herunterfahren, um die Verbreitung des Trojaners zu stoppen. Zeitweise konnten die Mitarbeiter nur mit Papier arbeiten, Container wurden in den Häfen mit Verspätung oder mancherorts auch gar nicht mehr umgeschlagen. Nicht zuletzt war das IT-Team von Maersk zehn Tage lang damit beschäftigt, die Software der gesamten IT-Infrastruktur neu zu installieren – also auf etwa 45.000 Client-Rechnern und 4.000 Servern. Der Schaden lag Schätzungen zufolge bei bis zu 300 Millionen US-Dollar.

Der Kampf gegen Cyberkriminelle hat längst globale Ausmaße angenommen. Und nicht nur Großkonzerne sind ihr Ziel, sondern gerade auch kleine und mittelständische Unternehmen (KMU). Die IT-Sicherheit, also der Schutz vor Datendieben, Hackern und Angreifern, ist inzwischen eine Frage des wirtschaftlichen Überlebens. Das weiß Daniel Meffert, Geschäftsführer des Werbemittelhändlers S & P Werbeartikel GmbH aus Meerbusch bei Düsseldorf, nur zu gut. Hacker hatten Daten eines Großkunden gestohlen und gaben sich nun als dessen Mitarbeiter aus. Sie fälschten zwei Großbestellungen von USB-Sticks bei Meffert. Das hätte die kleine Firma beinahe in den Ruin getrieben.

Auch Mittelständler werden zum Ziel

Wie gefährdet KMU sind, zeigt auch die Statistik. Der Branchenverband Bitkom hat im ersten Quartal 2017 mehr als 1.000 Geschäftsführer und Sicherheitsverantwortliche quer durch alle Branchen repräsentativ befragt. Insgesamt gaben dabei 53 Prozent an, dass ihre Firma in den beiden Vorjahren definitiv Opfer von Datendiebstahl, Industriespionage oder Sabotage gewesen ist – andere Studien kommen sogar auf noch höhere Zahlen.
Cyberangriffe, siehe rechts Bei Unternehmen mit 500 und mehr Mitarbeitern waren 60 Prozent betroffen, bei kleineren Betrieben mit zehn bis 99 Mitarbeitern 52 Prozent. „Unternehmen müssen viel mehr für ihre digitale Sicherheit tun. Die Gefahr ist für Unternehmen aller Branchen und jeder Größe real“, sagt Bitkom-Präsident Achim Berg.

Hinter den cyberkriminellen Aktivitäten steckten interessanterweise nur selten ausländische Nachrichtendienste (drei Prozent) und die organisierte Kriminalität (sieben Prozent). Viel häufiger waren es Hobby-Hacker (21 Prozent), in den meisten Fällen aber andere Unternehmen – also Wettbewerber, Kunden, Lieferanten und Dienstleister (41 Prozent). Am häufigsten vertreten im Täterkreis waren mit 62 Prozent aktuelle oder ehemalige Mitarbeiter.

70 %

der deutschen Unternehmen sind in den Jahren 2016 und 2017 Opfer von Cyberangriffen geworden.

55 Mrd.

Euro Schaden pro Jahr richten Datendiebstahl, Industriespionage oder Sabotage in deutschen Unternehmen an.

41 %

der Unternehmen halten Angriffe geheim und schalten auch nicht die Behörden ein. Sie haben Angst vor Imageschäden.

Der finanzielle Schaden, der in dem Zweijahreszeitraum angerichtet wurde, war beträchtlich: Auf 109,6 Milliarden Euro beziffert ihn Bitkom. Am teuersten waren die Ermittlungen und Ersatzmaßnahmen. Sie machten 19,3 Prozent der Kosten aus. Die IT-Attacken ließen aber auch die Umsätze einbrechen, weil die Unternehmen an Wettbewerbsfähigkeit verloren – durch Patentrechtsverletzungen und Imageschäden bei Kunden oder Lieferanten.

Die Angreifer nutzen unterschiedliche Methoden. Eine der häufigsten „Handlungsarten“ laut Studie: der Diebstahl sensibler digitaler Daten. Davon waren zusammen 38 Prozent der Unternehmen definitiv oder vermutlich betroffen. Auch das digitale Social Engineering war prominent vertreten. Dabei geht es darum, Personen so zu beeinflussen, dass sie Schutzmechanismen deaktivieren oder vertrauliche Informationen preisgeben. 36 Prozent der Befragten hatten damit zu tun.

Die Zahl der Einfallstore für Hacker, Cyberkriminelle und Datenspione steigt dabei eher noch. Denn jetzt wird auch die Produktion digitalisiert – Stichwort: Industrie 4.0. Hinzu kommt, dass die Zyklen in der Produktion länger sind als in der IT. Werden beispielsweise Maschinen lange genutzt, gibt es für deren Software vielleicht keine Updates mehr. Das macht die Steuerung anfällig für Angriffe.

China: Neues Gesetz bringt Unruhe

Für mittelständische Unternehmen mit internationaler Ausrichtung sind die digitalen Herausforderungen mittlerweile gewaltig. Und als ob die Gefahr durch Angreifer nicht genug wäre, spielt auch der Staat in Sachen IT-Sicherheit eine immer größere Rolle: Dies gilt besonders in China, das als Absatzmarkt sowie als Produktions- und Innovationsstandort so wichtig geworden ist.

Das Land gestaltet die digitalisierte Zukunft seiner Gesellschaft und Wirtschaft mit Riesenschritten: Bereits im Jahr 2020 sollen erste kommerzielle 5G-Netze zur Verfügung stehen. Die mit 2.000 Kilometern weltweit längste Kommunikationsleitung mit Quantentechnologie zwischen Beijing und Shanghai ist seit September 2017 in Betrieb. Darüber hinaus schafft die Regierung schneller als andere Länder die passenden gesetzlichen Rahmenbedingungen; eines der weltweit ersten E-Commerce-Gesetze ist in Arbeit. Und seit Juni 2017 gilt das neue chinesische Cybersecurity-Gesetz.

Das gewaltige Digitalisierungstempo des Landes stellt gerade Mittelständler vor große Herausforderungen. Sie benötigen nicht nur innovative digitale Geschäftsmodelle, sondern müssen ihre eigenen Daten auch gesetzeskonform schützen und das Ganze genau dokumentieren. Die ersten, Ende 2017 erlassenen Verwaltungsvorschriften zum Cybersecurity-Gesetz bringen das Thema, wie ein Unternehmen mit kritischen Daten umgehen sollte, nun auf die Agenda der Chefetagen. Häufig ist dies längst überfällig, denn in vielen Firmen herrscht Nachholbedarf.