Bitkom: Industrie ist im Visier von Cyberkriminellen und Nachrichtendiensten

Zwei von drei Industrieunternehmen (69 Prozent) sind in Deutschland in den vergangenen zwei Jahren Opfer von Datendiebstahl, Wirtschaftsspionage oder Sabotage geworden. Das hat eine repräsentative Umfrage im Auftrag des Digitalverbands Bitkom unter 504 Unternehmen des produzierenden Gewerbes ab 10 Mitarbeitern ergeben. Zum Vergleich: Im Durchschnitt der Gesamtwirtschaft sind nur 51 Prozent aller Unternehmen von entsprechenden Delikten betroffen. Der Schaden beläuft sich für die deutsche Industrie nach Berechnungen des Bitkom auf rund 22,4 Milliarden Euro pro Jahr.

„Die deutsche Industrie mit ihren zahlreichen Hidden Champions ist ein attraktives Angriffsziel von Cyberkriminellen und ausländischen Nachrichtendiensten“, sagte Bitkom-Präsidiumsmitglied Winfried Holz zum Start der Hannover Messe. Laut Umfrage ereigneten sich die kriminellen Vorfälle am häufigsten in der Produktion bzw. Fertigung. Das berichten 36 Prozent der betroffenen Unternehmen. Bei 30 Prozent richteten sich die Angriffe auf die Bereiche Lager und Logistik, bei 29 Prozent auf die IT und bei 23 Prozent auf Forschung und Entwicklung. „Mit der Digitalisierung der Produktion und der Vernetzung von Maschinen über das Internet entstehen neue Angriffsflächen“, sagte Holz. „Der Erfolg von Industrie 4.0 steht und fällt mit der Sicherheit der eingesetzten Systeme.“

Nach den Ergebnissen der Umfrage sind im Maschinen- und Anlagenbau 70 Prozent der Unternehmen von entsprechenden Delikten betroffen. In den Wirtschaftszweigen Chemie und Pharma sind es 68 Prozent, in der Elektrotechnik 65 Prozent und im Fahrzeugbau 61 Prozent. In der „sonstigen Industrie“ sind im Schnitt 70 Prozent der Unternehmen betroffen. Das am häufigsten auftretende Delikt ist der Diebstahl von IT- und Kommunikationsgeräten: 32 Prozent der Unternehmen berichten, dass zum Beispiel Smartphones, Computer oder Tablets gestohlen wurden.

Die Täter sind meist eigene Mitarbeiter

Bei einem Fünftel wurden sensible physische Dokumente, Bauteile oder Muster entwendet. Vom Diebstahl sensibler digitaler Dokumente waren 19 Prozent betroffen. Bei 18 Prozent kam es zu Sabotageakten mit dem Ziel, die betrieblichen Abläufe zu stören oder lahmzulegen. „Der Ausfall von Produktionsanlagen kann innerhalb kurzer Zeit enorme Schäden verursachen“, sagte Holz. Zudem könne Sabotage eine fatale Wirkung entfalten, wenn die Manipulation von Produktionsanlagen zur Herstellung minderwertiger Waren führt. 16 Prozent der betroffenen Unternehmen registrierten Fälle von Social Engineering. Bei dieser Methode geht es darum, Mitarbeiter zu manipulieren, um an Informationen wie Passwörter zu gelangen. Bei immerhin 6 Prozent der Unternehmen wurde die elektronische Kommunikation ausgespäht und bei 5 Prozent sind Besprechungen oder Telefonate abgehört worden.

Datendiebstahl, Spionage und Sabotage verursachen nach Berechnungen des Bitkom einen Schaden in Höhe von 22,4 Milliarden Euro pro Jahr. Einen großen Teil dieser Summe machen Umsatzverluste durch Plagiate sowie Patentrechtsverletzungen aus. Es folgen Umsatzeinbußen durch den Verlust von Wettbewerbsvorteilen sowie Kosten für Rechtsstreitigkeiten. Ein weiterer Posten sind Ausgaben für die Ersatzbeschaffung von gestohlenen ITK-Geräten sowie Kosten, die durch den Ausfall von IT-Systemen oder die Störung von Betriebsabläufen entstehen. Ein weicher Faktor mit großem Gewicht sind Imageschäden, die als Folge von Sicherheitsvorfällen eintreten.

Die Täter sind in den meisten Fällen die eigenen Mitarbeiter: Fast zwei Drittel (65 %) der betroffenen Unternehmen sagen, dass aktuelle oder ehemals Beschäftigte für die Taten verantwortlich waren. „Innentäter sind das größte Sicherheitsrisiko in der Wirtschaft“, sagte Holz. „Unternehmen sollten ihren Mitarbeitern nicht misstrauen, sondern eine Sicherheitskultur etablieren, die das Bewusstsein für den Schutz des Betriebes schärft.“ Bei einem Drittel der Befragten kamen die Angriffe aus dem unmittelbaren Umfeld von Kunden, Lieferanten oder Dienstleistern. „In vielen Fällen verfügen Täter aus dem direkten Umfeld über Insiderkenntnisse, die Straftaten erleichtern“, sagte Holz. Wettbewerber waren bei 16 Prozent der Unternehmen für die Taten verantwortlich. Immerhin 14 Prozent erklärten, dass organisierte Banden hinter den Attacken stecken. Ausländische Geheimdienste konnten von 6 Prozent der betroffenen Unternehmen als Täter identifiziert werden.

Staatlich Stellen sollten informiert werden

Für die Aufklärung der Vorfälle ist in 61 Prozent der Unternehmen eine interne Untersuchung eingeleitet worden und 26 Prozent haben externe Spezialisten beauftragt. Nur ein Viertel der betroffenen Unternehmen hat staatliche Stellen eingeschaltet. Davon haben fast alle (96 %) die Polizei informiert, die wenigsten (3 %) den Verfassungsschutz, der bei Fällen von Wirtschaftsspionage oder Sabotage zuständig ist. „Kriminelle Vorfälle sollten den Behörden gemeldet werden“, sagte Holz. „Selbst wenn die Ermittlungen zu keinem Ergebnis führen, können sich die Sicherheitsbehörden ein besseres Bild der aktuellen Gefährdungslage machen und Gegenmaßnahmen entwickeln.“

Die Umfrage zeigt auch, dass es in vielen Unternehmen Sicherheitsdefizite gibt. Der größte Nachholbedarf besteht aus Sicht des Bitkom beim Personal. Nur ein Viertel (25 %) aller Industriebetriebe bietet seinen Mitarbeitern Schulungen zu Sicherheitsthemen an. Selbst in großen Unternehmen ab 500 Mitarbeitern sind es nur 30 Prozent. Ein Drittel (33 %) führt vor der Besetzung sensibler Positionen so genannte Background-Checks durch, bei denen Informationen über die Bewerber eingeholt werden. 7 Prozent nutzen ein Hinweis-System (Whistle-Blowing-Tool), mit dem verdächtiges Verhalten anonym gemeldet werden kann.

Im Bereich der technischen IT-Sicherheit verfügen alle befragten Unternehmen über Virenscanner, Firewalls und einen Passwort-Schutz für Geräte. „Bei der IT-Sicherheit reicht der gängige Basisschutz nicht mehr aus“, sagte Holz. „Die IT-Angriffe sind immer komplexer geworden. Häufig werden sie gar nicht erkannt und der Abfluss von Daten bleibt unbemerkt.“ Deshalb sind zusätzliche Sicherheitsmaßnahmen notwendig. Die Verschlüsselung von Netzwerkverbindungen sollte zum Standard gehören, wird bislang aber nur von 83 Prozent der Unternehmen eingesetzt. Nur 48 Prozent der Industriebetriebe verschlüsseln Daten auf Datenträgern und 46 Prozent ihre elektronische Kommunikation per E-Mail. Laut Umfrage verfügen 35 Prozent über eine Absicherung des internen Netzwerks gegen Datenabfluss von innen und 27 Prozent über spezielle Angriffserkennungssysteme. Diese Systeme analysieren die Datenströme in einer Organisation und melden verdächtige Aktivitäten. Fast jedes dritte (30 Prozent) Unternehmen setzt erweiterte Verfahren zur Benutzeridentifikation ein, zum Beispiel eine Zwei-Faktor-Authentifizierung oder biometrische Merkmale.

Industrie 4.0 benötigt besseren Schutz

Mit der Vernetzung von Maschinen über das Internet und dem Trend zur digitalen Fabrik ergeben sich für die Wirtschaft neue Herausforderungen bei der IT-Sicherheit. Aus Sicht des Bitkom sollten Unternehmen an folgenden Punkten ansetzen:
– Technische IT-Sicherheit steigern: Eine Basisabsicherung mit Virenscanner, Firewall und Passwort-Schutz für Geräte reicht nicht mehr aus. Zusätzlichen Schutz bieten spezielle Systeme für die Erkennung und Abwehr von Angriffen, die Verschlüsselung sensibler Daten und erweiterte Verfahren der Benutzeridentifikation.
Organisatorische Sicherheit erhöhen: Dazu gehören unter anderem Regelungen, wer im internen Netzwerk auf welche Daten zugreifen darf und wer Zutritt zu sensiblen Bereichen eines Unternehmens bekommt. Zudem sollte es einen Sicherheitsbeauftragten geben, der diese Maßnahmen anstößt und überwacht. Ein Notfallmanagement ermöglicht eine schnelle Reaktion im Krisenfall.
– Personelle Sicherheit verbessern: Die Mitarbeiter müssen die Zusammenhänge und Gefahren kennen und verstehen um auf immer besser werdende Angriffe vorbereitet zu sein.
Sicherheitszertifizierungen anstreben: Sie verlangen von Unternehmen, sich mit dem Thema intensiv auseinanderzusetzen. In der Praxis sind sie ein geeignetes Mittel, um höhere Sicherheitsstandards im gesamten Unternehmen zu etablieren.