Home / News / Unternehmen investieren weniger in Sicherheit und bezahlen eher Lösegeld bei Ransomware-Attacken

Unternehmen investieren weniger in Sicherheit und bezahlen eher Lösegeld bei Ransomware-Attacken

Nicht einmal jedes zweite deutsche und österreichische Unternehmen stuft seine eigenen kritischen Daten als „vollständig sicher“ ein. So lautet ein beunruhigendes Ergebnis des aktuellen Risk:Value-Reports von NTT Security. Die Investitionen in die IT-Sicherheit bleiben aber ungeachtet dessen weiterhin auf vergleichsweise niedrigem Niveau. Die Unternehmen sind eher bereit, auf Lösegeldforderungen im Falle einer Ransomware-Attacke einzugehen.

Quelle: NTT Security

Bei der aktuellen Untersuchung zeigt sich erneut, dass mit 41 Prozent weniger als die Hälfte der befragten Entscheidungsträger in deutschen und österreichischen Firmen alle unternehmenskritischen Daten als „komplett sicher“ klassifiziert. Im Vergleich zur vorjährigen Untersuchung bedeute dies einen weiteren Rückgang um fünf Prozentpunkte. Ein Grund hierfür seien die nach wie vor niedrigen Investitionen in die IT-Sicherheit.

Höhere Investitionen in F&E

In Deutschland und Österreich wird nur gut 13 Prozent des IT-Budgets in Informationssicherheit investiert. Im Vergleich zur letztjährigen Studie ist dieser Wert sogar noch weiter gesunken, 2017 lag er bei 15 Prozent. Und das Investitionsvolumen ist deutlich geringer als in etlichen anderen Unternehmensbereichen. Im Hinblick auf die Segmente, in denen höhere Investitionen als in der Informations- und Datensicherheit getätigt werden, nannten

  • 40 Prozent Forschung und Entwicklung
  • 36 Prozent Personalwesen
  • 33 Prozent Vertrieb
  • 30 Prozent Betrieb und Fertigung
  • 30 Prozent Rechnungswesen und Controlling
  • 30 Prozent Marketing.

Die mangelnde Investitionsbereitschaft korrespondiert mit einem weiteren zentralen Untersuchungsergebnis. 41 Prozent der befragten deutschen und österreichischen Unternehmen würden im Fall einer Ransomware-Attacke eher Lösegeld bezahlen, als stärker in die Informationssicherheit zu investieren, da sie eine solche Vorgehensweise für kostengünstiger halten. Deutschland und Österreich nehmen hier den „Spitzenwert“ ein. Auf globaler Ebene sind im Durchschnitt nur 33  Prozent der Unternehmen bereit, auf Zahlungsforderungen einzugehen, und in der Schweiz sogar nur 23 Prozent.

Lösegeld bringt keine Kostenvorteile

„Dieses Ergebnis ist mehr als erschreckend, gerade auch angesichts der nicht abebbenden Gefahr von Ransomware-Angriffen. Unser kürzlich vorgestellter Global Threat Intelligence Report hat ergeben, dass der Anteil von Ransomware an allen Malware-Angriffen in EMEA bei hohen 29 Prozent liegt“, erklärt Kai Grunwitz, Senior Vice President EMEA bei NTT Security. „Wenn sich Unternehmen nun von der Bezahlung von Lösegeld Kostenvorteile versprechen, ist das in unseren Augen mehr als trügerisch. Und das böse Erwachen wird früher oder später für viele kommen.“

Die geringe Investitionsbereitschaft ist umso erstaunlicher, als – wie auch bei der letztjährigen Untersuchung – 96 Prozent der befragten Unternehmen in Deutschland und Österreich die Meinung vertreten, dass ein Sicherheitsvorfall mit Datendiebstahl gravierende negative Auswirkungen hat. Genannt wurden Verlust des Kundenvertrauens (52 %), Beeinträchtigung der Reputation (44 %) und direkte finanzielle Einbußen (41 %). Die Befragten rechnen mit einem durchschnittlichen Umsatzverlust von gut 9 Prozent und schätzen, dass die Behebung eines entstandenen Schadens rund neun Wochen dauert und im Schnitt Kosten in Höhe von mehr als 2,3 Millionen Euro verursacht. Die Kosten werden dabei von den Unternehmen in Deutschland und Österreich deutlich höher veranschlagt als in anderen Ländern. Der internationale Durchschnittswert liegt bei nur 1,3 Millionen Euro.

Auch bei Incident Reponse tut sich nicht viel

Das hohe Schadenspotenzial werfe die Frage auf, wie es um das Thema Incident Response bestellt ist. Auch an diesem Punkt habe sich im Vergleich zum Vorjahr nicht wirklich viel getan. In Deutschland und Österreich verfügten 2017 nur 42 Prozent der Unternehmen über einen Incident-Response-Plan. Allerdings befanden sich 36 Prozent bereits im Implementierungsprozess und weitere 11 Prozent planten die Umsetzung entsprechender Maßnahmen in naher Zukunft. Die jetzigen Ergebnisse spiegeln diese Entwicklung allerdings nicht wider, im Gegenteil. Nach wie vor ist nur bei 42 Prozent der Unternehmen ein Incident-Response-Plan vorhanden.

„Das Ergebnis zeigt leider, dass es vielfach bei reinen Absichtserklärungen geblieben ist und der Ernst der Lage immer noch unzureichend erkannt wird, auch wenn zahlreiche Sicherheitsvorfälle der letzten Zeit eigentlich gezeigt haben, dass an einem gelebten Incident-Response-Plan kein Weg mehr vorbeiführt. Denn nur mit dedizierten Ablauf- und Notfallplänen kann auf unterschiedliche IT-Sicherheitsvorfälle entsprechend angemessen und vor allem auch schnell reagiert werden. Idealerweise sollten spezialisierte Incident-Response-Tools genutzt werden, beispielsweise eine zentrale Incident-Response-Plattform zur systematischen und koordinierten Bearbeitung von Sicherheitsvorfällen mit fertig ausgearbeiteten Handlungsplänen“, so Grunwitz.

Allerdings hat die Untersuchung aus Sicht von NTT Security auch positive Ergebnisse gebracht. So habe sich verstärkt die Erkenntnis durchgesetzt, dass Sicherheitsvorfälle nicht gänzlich auszuschließen sind. 43 Prozent der Befragten sind bereits Opfer eines solchen Vorfalls geworden und weitere 15 Prozent zwar noch nicht, rechnen aber damit. Deshalb gewinnen hinsichtlich der Umsetzung umfassender Cyber-Security-Strategien auch Managed Security Services (MSS) signifikant an Bedeutung. MSS würden derzeit zwar noch verhalten genutzt, der Risk:Value-Report zeige aber, dass sich gegenwärtig etwa 70 Prozent der befragten Unternehmen in Deutschland und Österreich aktiv mit MSS-Lösungen auseinandersetzen beziehungsweise planen, es zeitnah zu tun.

Share

Leave a Reply