Digital Security: Digitale Sorglosigkeit bei Vorständen auf dem Rückzug

Unternehmen in Deutschland professionalisieren ihre Abwehr von Cyberattacken. Sechs von zehn Firmen haben eine fundierte IT-Sicherheitsstrategie, bei Großunternehmen sind es acht von zehn, die übrigen arbeiten an der Umsetzung. Ein Umdenken aus Sicht der IT-Entscheider ist vor allem in den Chefetagen zu erkennen. 38 Prozent sehen 2017 eine Verharmlosung der Gefahr von Cyberangriffen durch Vorstände und Geschäftsführer. 2015 bemängelte noch jeder zweite IT-Verantwortliche, dass die Risiken unterschätzt werden.

Das sind Ergebnisse der Studie „Potenzialanalyse Digital Security“ von Sopra Steria Consulting. Für die Studie wurden im April 2017 insgesamt 205 IT-Entscheider aus Unternehmen ab 500 Mitarbeitern befragt.

Die digitale Sorglosigkeit sei damit in deutschen Unternehmen auf dem Rückzug. Das Thema bleibe allerdings eine zentrale Aufgabe in den Unternehmen. Jeder vierte IT-Entscheider wünscht sich weniger Risikobereitschaft bei ihrer Geschäftsleitung. Ebenso viele fordern dort ein stärkeres Bewusstsein, dass nicht nur große öffentliche Organisationen und bestimmte Branchen wie Banken, sondern praktisch jedes Unternehmen das Ziel von Cyberkriminellen werden kann.

„IT-Sicherheitsvorfälle durch den Diebstahl digitaler Identitäten teilweise in millionenfacher Anzahl zeigen, dass Cyberangriffe auf Unternehmen komplexer und professioneller werden“, kommentiert Urs M. Krämer, CEO von Sopra Steria Consulting. „Informationssicherheit ist Pflichtdisziplin einer digitalen Wirtschaft. Ein sorgloser Umgang mit Cyberrisiken, wie er gerade in den Führungsetagen lange Zeit herrschte und immer noch zu finden ist, kann sich kein Unternehmen mehr erlauben.“

Den größten Nachholbedarf bei der Formulierung tragfähiger IT-Sicherheitskonzepte haben die mittelständischen Unternehmen in Deutschland: Rund jeder zweite IT-Entscheider aus einem Unternehmen mit einer Größe zwischen 1.000 und 5.000 Mitarbeitern meldet, an einer ausgefeilten IT-Sicherheitsstrategie noch zu arbeiten. Großunternehmen mit mehr als 5.000 Mitarbeitern sowie kleine Betriebe sind hier bereits weiter. Die Masse setzt auf die aktuelle Bedrohungslage angepasste Konzepte bereits um.

„WannaCry war ein Weckruf, der das in der Studie erkennbare Umdenken noch einmal verstärken wird“, sagt Studienleiter Dr. Gerald Spiegel, IT-Sicherheitsexperte bei Sopra Steria Consulting. „Das Internet der Dinge verschärft die Situation durch die Vielzahl vernetzter Geräte zusätzlich. Ein rein technischer Ansatz greift zu kurz. Es braucht einen Mix aus ineinandergreifenden Vorkehrungen, bestehend aus einer vom Vorstand getriebenen Strategie, automatisierten Verfahren für Prävention und Kontrolle und intelligenten Security-Lösungen, die Sicherheitslecks selbständig aufspüren, sowie einer kontinuierlichen Sensibilisierung aller Mitarbeiter.“

Im operativen Geschäft funktioniert die IT-Sicherheit gut

Unterhalb der Führungsebene sei das Risikobewusstsein bereits stärker ausgeprägt: Bei digitalen Projekten zur Verbesserung von Agilität und Innovation werden in der Regel konsequente Sicherheitsmaßnahmen mitgedacht.

Beispiel Vernetzung: Knapp 70 Prozent der befragten Unternehmen sind über digitale Plattformen oder Softwarelösungen mit Lieferanten oder Dienstleistern vernetzt, 57 Prozent auch mit ihren Kunden. Nahezu alle Unternehmen verfolgen dafür gezielte IT-Sicherheitsmaßnahmen: Vor allem schützen sie sich durch vertraglich vereinbarte Mindestsicherheitsmaßnahmen vor Datenmissbrauch, Datenabfluss und Cyberattacken (69 %). Schon in der Befragung 2015 war das die am häufigsten angewendete Maßnahme (75 %).

Beispiel Social Media: 86 Prozent der befragten Unternehmen nutzen Social Media zur Kommunikation und Interaktion (2015: 80 %). Beschränkungen der Social-Media-Kommunikation aus Gründen der IT-Sicherheit erscheinen hier eher hinderlich. Zur Verhinderung eines ungewollten Datenabflusses setzen die IT-Entscheider daher hauptsächlich auf Schulungen und Awareness-Kampagnen (70 %), auf Maßnahmen zur Data Leakage Prevention (64 %) sowie auf Social Media Policies (56 %). Das waren auch 2015 bereits die Top-Maßnahmen.

Beispiel mobiles Arbeiten: Auch über die Nutzung mobiler Endgeräte können große Mengen von Unternehmensdaten in die falschen Hände geraten. Darüber hinaus produzieren die Sensoren mobiler Geräte (Kamera, Mikrofon, GPS) Daten, die als sensibel eingestuft werden müssen. Die damit verbundenen möglichen Gefahren sind den Unternehmen bewusst: 95 Prozent führen IT-Sicherheitsmaßnahmen für mobile Endgeräte durch (2015: 90 %). Vor allem Mobile Device Management (65 Prozent), regelmäßige Sicherheitsüberprüfungen (65 %) oder Richtlinien für Mobile Security (54 %) dienen zum Schutz der mobilen Geräte.

Security first: Innovation ja, IT-Risiken nein

Zur Einführung neuer Technologien durch die Digitalisierung der Wirtschaft beziehen die IT-Verantwortlichen in deutschen Unternehmen ebenfalls klar Position: IT- und Sicherheitsrisiken müssen vorab geklärt sein, sagen wie 2015 zwei von drei IT-Chefs. Rund ein Drittel der IT-Entscheider (32 %) gibt neuen Technologien dagegen unverändert auch dann eine Chance, wenn noch nicht alle IT-Risiken bekannt sind. In 38 Prozent der Unternehmen dürfen IT-Projekte erst starten, wenn ein Sicherheitskonzept der IT vorliegt, jede zweite Firma (49 %) verlangt das spätestens vor dem Produktivgang einer Anwendung oder eines IT-Systems. Nur in zwei Prozent der Unternehmen ist ein IT-Sicherheitskonzept nicht zwingend vorgeschrieben (2015: 10 %).

IT-Sicherheit ist gesetzliche Pflicht!

Einen relevanten Anteil am Umdenken in deutschen Unternehmen hat der Gesetzgeber: Im Juli 2015 hat der Deutsche Bundestag das IT-Sicherheitsgesetz verabschiedet. Es fordert von Betreibern Kritischer Infrastrukturen (KRITIS) ein Mindestmaß an IT-Sicherheit, zu der unter anderem die Meldung von Sicherheitsvorfällen gehört. Dazu kommt ab 25. Mai 2018 die verbindliche Umsetzung der europäischen Datenschutz-Grundverordnung (DSGVO), die in praktisch allen Unternehmen dazu führt, die Konzepte für Daten- und IT-Sicherheit zu überarbeiten.

Die Mehrheit der Unternehmen sieht die Vorschriften positiv: Sieben von zehn IT-Entscheidern beurteilen den Umfang der staatlichen Regulierung im Hinblick auf die IT-Sicherheit als angemessen. Nur zwölf Prozent (2015: 21 %) sehen hier Lücken und bewerten das geforderte Maß an Sicherheit als zu gering. Dabei fällt auf, dass Skepsis und Ablehnung des Umfangs der geforderten Sicherheitsmaßnahmen bei kleinen und mittleren Unternehmen (28 %) deutlich größer sind als bei Großunternehmen (13 %).

Handlungsempfehlungen für Entscheider

Sopra Steria Consulting veröffentlicht parallel zur Potenzialanalyse den „Managementkompass Cyber Security 2017“. Analysen, Thinktank-Beiträge und Praxisbeispiele zeigen, welche technischen, organisatorischen und mitarbeiterbezogenen Herausforderungen die aktuellen Spielarten des Cybercrime für Unternehmen mit sich bringen und gibt Handlungsempfehlungen für Maßnahmen zur Prävention, Erkennung und Reaktion.

Über die Studie: Für die „Potenzialanalyse Digital Security“ wurden im Auftrag von Sopra Steria Consulting im April 2017 mehr als 200 (n=205) IT-Entscheider aus Unternehmen ab 500 Mitarbeitern aus den Branchen Banken, Versicherungen, sonstige Finanzdienstleister, Energieversorger, Automotive, sonstiges Verarbeitendes Gewerbe, Telekommunikation und Medien, Öffentliche Verwaltung befragt. Explizit ausgeschlossen wurden Beratungsunternehmen und Anbieter von IT-Lösungen.