Studie zu Cybersicherheit: Die größten Cyberbedrohungen und wie man sie priorisiert

Cyberkriminalität ist eine ständig wachsende Bedrohung, die immer wieder neue Formen annimmt – aktuelle Cyberbedrohungen reichen von Ransomware über Supply-Chain-Angriffe bis hin zu Deep Fakes und anderen KI-gestützten Bedrohungen. Für den jährlichen Capterra Datensicherheitsbericht haben wir eine umfassende Studie durchgeführt. Wir betrachten sowohl, wie sich die Bedrohungslage entwickelt hat (z. B. im Bereich Phishing), als auch, wie Unternehmen darauf reagieren (z. B. durch Schulungen und interne Tests).  Die Ergebnisse bieten wertvolle Einblicke für Unternehmen, die ihre Abwehrfähigkeit stärken wollen. 

Für die Studie haben wir 1314 Mitarbeitende im Alter von 18 bis 65 Jahren in Vollzeit über verschiedene Unternehmensgrößen hinweg befragt (vollständige Angaben am Ende des Artikels). Die Ergebnisse unterstützen Führungskräfte bei der Entwicklung ihrer Strategie für Netzwerksicherheit und Risikomanagement.

KI & mehr – Trends und aktuelle Cyber-Bedrohungen für 2024

Zunächst wollten wir wissen, welche Bedrohungen Unternehmen in den nächsten 12 Monaten am meisten Sorgen bereiten. Gefragt haben wir alle Teilnehmenden, die für die Cybersicherheitsmaßnahmen ihres Unternehmens verantwortlich sind, aktiv daran beteiligt sind oder sie oder sich derer bewusst sind.

Zwei Bedrohungen heben sich als klare Spitzenreiter für die Cybersicherheit in Unternehmen ab:

1. KI-gestützte Angriffe (47 %): Die Sorge über KI-gestützte Angriffe steht ganz vorne bei den genannten Bedrohungen.
2. Fortgeschrittene E-Mail-Phishing-Angriffe (46 %): Phishing-Attacken werden fast gleich häufig genannt wie KI-gestützte Angriffe und stellen ebenfalls eine substantielle Sorge für Unternehmen dar.

Hinter diesen beiden Spitzenreitern liegen knapp beieinander fortgeschrittene Ransomware-Angriffe (25 %), interne Angriffe (25 %) und die Kompromittierung geschäftlicher E-Mails (23 %). Diese Ergebnisse weisen auch darauf hin, dass Unternehmen nicht nur externe Bedrohungen, sondern auch interne Risiken ernst nehmen müssen, wie z. B. das unbeabsichtigte oder böswillige Handeln von Mitarbeitenden oder Partnern.

Die gleiche Personengruppe haben wir gefragt, wie sich 2023 die Ausgaben für IT-Sicherheit im Vergleich zu 2022 entwickelt haben. Ganze 52 % gaben an, dass diese gestiegen seien, in 43 % sind die Ausgaben etwa gleich geblieben und gerade einmal in 2 % der Unternehmen sind sie gesunken. 3 % der Befragten gaben an, dass sie sich nicht sicher seien, wie sich die Ausgaben entwickelt haben. Das Ergebnis kann als deutliches Anzeichen wachsender Sorge bezüglich Cybersicherheit interpretiert werden. Um darauf zu Antworten wurden die folgenden Maßnahmen ergriffen:

1. Formelle Cybersicherheitsrisikoprüfungen (40 %) und Datenklassifizierung (39 %): Diese beiden Maßnahmen sind am weitesten verbreitet. Sie spiegeln das Bestreben der Unternehmen wider, ihre Sicherheitsrisiken systematisch zu bewerten und Daten nach ihrer Sensibilität zu ordnen.
2. Zero-Trust-Netzwerksicherheit (31 %) und Netzsegmentierung (27 %): Diese technischen Ansätze zeigen, dass viele Unternehmen auf fortschrittliche Strategien setzen, um ihre Netzwerke zu sichern und den Zugriff auf sensible Bereiche zu kontrollieren.
3. Privileged Access Management (PAM, 28 %): Ein weiterer wichtiger Aspekt ist das Management von privilegierten Zugängen, was das Bewusstsein für die Risiken von Insider-Bedrohungen aufgreift.
4. Netzwerk-Honeypots/Honeytokens (26 %): Diese Methode dient dazu, Angreifer anzulocken und abzulenken, um Angriffe frühzeitig zu erkennen.
5. Anforderung von Software-Inventarlisten (SBOM) von Softwareanb

Die Zahl der Unternehmen, die keine spezifischen Sicherheitsmaßnahmen ergriffen hat, ist zwar gering (5 %), dies bedeutet jedoch, dass es nach wie vor Unternehmen gibt, die ungeschützt bleiben.

Unternehmen sind einer ständigen Bedrohung ausgesetzt

Um ein Bild der aktuellen Bedrohungen im Bereich IT Security zeichnen zu können, haben wir mit allen Teilnehmenden gezielt über eine Reihe an wichtigen Sicherheitsrisiken wie Datensicherheitsverletzungen, Anfälligkeit gegen Phishing und Ransomware gesprochen.

Datensicherheitsverletzung

Zunächst wollten wir wissen, ob es in den Unternehmen der Teilnehmenden in den letzten 12 Monaten zu Datensicherheitsverletzungen gekommen ist. Dies bestätigten 32 % der Teilnehmenden (18 % "Ja, eine", 14 % "Ja, mehrere") – diese fragten wir dann auch nach der Art der Sicherheitsverletzung:

An vorderster Stelle steht einmal das Problem ungesicherter Datenbanken oder Online-Datenquellen, das 42 % der Vorfälle ausmacht. Dieses Ergebnis zeigt eine verbreitete Herausforderung im Umgang mit Daten und deren Sicherung und unterstreicht die Bedeutung einer sorgfältigen Datenverwaltung und -sicherung. Gleichauf, ebenfalls mit 42 %, liegen böswillige Zugriffe auf Unternehmenssysteme durch Hacker oder andere externe Personen. Mit 20 % der Fälle ist der Diebstahl von Unternehmensdaten durch Mitarbeitende oder andere Insider ein weiterer signifikanter Faktor.

Anfälligkeit gegen Phishing

Beim sogenannten „Phishing" versuchen Betrüger, vertrauliche Informationen wie Benutzernamen, Passwörter und Kreditkarteninformationen zu erlangen, indem sie sich als vertrauenswürdiger Absender ausgeben (z. B. eine Bank oder ein Absender innerhalb eines Unternehmens). Sie verwenden oft gefälschte E-Mails, Websites oder auch Nachrichten, die echt aussehen, um die Opfer zur Preisgabe persönlicher Daten zu verleiten. Ziel des Phishing ist meist der finanzielle Betrug oder der Diebstahl von Identitäten.

Rund 20 % der Teilnehmenden gaben an, selbst betrügerische E-Mails erhalten zu haben, 32 %, berichteten, dass sowohl sie selbst als auch andere im Unternehmen Opfer von Phishing wurden, weitere 17 % gaben an, dass zwar andere im Unternehmen, aber nicht sie selbst, solche E-Mails erhalten haben.

Zur Bewältigung dieser Herausforderungen ist eine gezielte Schulung der Mitarbeitenden im Erkennen von Phishing-Versuchen entscheidend. Dies umfasst das Training zum Erkennen gefälschter E-Mails, beispielsweise indem auf ungewöhnliche Absenderadressen, Rechtschreibfehler und verdächtige Anhänge hingewiesen wird. Ebenso wichtig ist die Sensibilisierung für aktuelle Phishing-Methoden, um das Knowhow im Unternehmen stets auf dem neuesten Stand zu halten. Praktische Übungen, z. B. regelmäßige Test-Phishing-Kampagnen, können Erfahrungen im Umgang mit potenziellen Bedrohungen aufbauen. Wir empfehlen zudem, klare Richtlinien für den Umgang mit verdächtigen E-Mails festzulegen. Durch die Kombination all dieser Maßnahmen lässt sich das Risiko von erfolgreichen Phishing-Angriffen im Unternehmen erheblich verringern.

Einige Unternehmen werden hier auch schon aktiv: Immerhin 34 % aller Teilnehmenden gaben an, dass ihr Unternehmen selbst gefälschte Phishing-Mails versendet, um zu prüfen, ob Mitarbeitende auf den Link klicken (48 % „Nein”, 18 % „Nicht sicher”).

Die Teilnehmenden, die angaben, dass sie und/oder andere in ihrem Unternehmen Phishing-Mails erhalten haben, wurden zudem gefragt, ob sie oder andere in ihrem Unternehmen auf einen bösartigen Link in einer solchen E-Mail geklickt haben. Die Auswertung zeigt, dass 8 % der Befragten selbst auf solche Links geklickt haben, während 13 % angeben, dass sowohl sie selbst als auch andere in ihrem Unternehmen darauf geklickt haben. Weitere 29 % berichten, dass andere in ihrem Unternehmen, aber nicht sie selbst, auf bösartige Links in Phishing-E-Mails geklickt haben. 

Diese Ergebnisse verdeutlichen, dass Phishing-Angriffe trotz des Bewusstseins für diesen Angriffsvektor immer noch eine beträchtliche Erfolgsquote aufweisen. Besorgniserregend ist dies auch, da immerhin 40 %  aller Teilnehmenden angeben, ein Passwort für mehrere Accounts zu verwenden – was den möglichen Schaden von Phishing-Attacken potenziert.

Angriffe mit Ransomware

Die Fragen zum Thema Ransomware stellten wir Mitarbeitenden, die für die Cybersicherheitsmaßnahmen ihres Unternehmens verantwortlich, aktiv daran beteiligt oder darüber informiert sind.

ls erstes wollten wir wissen, ob es in den letzten 12 Monaten zu Angriffen mit Ransomware auf die Unternehmen der Teilnehmenden gegeben hat. Das Ergebnis:

Die insgesamt 38 % der Befragten, die angaben, dass ihr Unternehmen 2023 von mindestens einem oder gar mehreren Angriffen mit Ransomware betroffen war, fragten wir zudem, wie mit dem Angriff umgegangen wurde:

8 % der betroffenen Unternehmen zahlten das Lösegeld und konnten ihre Daten wiederherstellen. Jedoch zahlten 11 % das Lösegeld, ohne ihre Daten zurückzuerhalten. Aus der Perspektive der Angreifer bedeutet dies, dass fast 1/5 der Angriffe in einer Lösegeldzahlung endete.

Von den Unternehmen, die kein Lösegeld zahlten, konnten 36 % die Daten entschlüsseln oder die Ransomware entfernen; weitere 35 % konnten ihre Daten aus einem Backup wiederherstellen; 5 % akzeptierten den dauerhaften Verlust ihrer Daten, ohne über Daten-Backups zu verfügen. 

Das Bundesamt für Informationssicherheit (BSI) empfiehlt im Falle eines Angriffes übrigens, nicht zu zahlen, sondern die Polizei einzuschalten – zudem stellt das BSI eine ganze Reihe an weiteren Informationen und technischen Empfehlungen für die Prävention zur Verfügung.

Zur Höhe der gezahlten Ransomware äußerten sich die Befragten wie folgt:

Betrachten wir nur die drei häufigsten Angaben, können wir sehen, dass sich etwas über die Hälfte der Zahlungen (53 %) relativ gleichmäßig auf die Kategorien zwischen 5.000 € und 50.000 € verteilen. 

Die bedeutendsten Schwachstellen

Die Gruppe der Befragten, mit der wir über Ransomware gesprochen haben, haben wir auch gefragt, welches ihrer Einschätzung nach die Schwachstellen sind, mit denen ihr Unternehmen derzeit am meisten zu kämpfen hat. Die fünf häufigsten Antworten waren: Gedankenlosigkeit von Angestellten (40 %), unzureichende Netzwerksicherheit (31 %), unzureichende Sicherheit mobiler Geräte (30 %) sowie nicht verschlüsselte Daten (30 %) und Anfälligkeit für Phishing-/Social-Engineering-Methoden (30 %). Die Ergebnisse verdeutlichen, dass effektive Sicherheitsstrategien über technische Maßnahmen hinausgehen müssen. Es ist entscheidend, Mitarbeiter nicht nur über Phishing zu informieren, sondern auch bezüglich Social Engineering zu schulen. Während Phishing auf gefälschte Mails und Nachrichten setzt, werden beim Social Engineering psychologische Manipulationstechniken eingesetzt, um Menschen zur Preisgabe vertraulicher Informationen zu bewegen.

Neben den 5 meistgenannten Sicherheitsproblemen erhielten jedoch auch alle anderen Antwortkategorien eine nicht zu vernachlässigende Zahl an Nennungen – von Fehlern in  Software/Programmierung (23%) bis zu nicht gepatchten Anwendungen (17 %) – die breite Streuung der Antworten zeigt, dass für Unternehmen eine Vielzahl an Bedrohungen eine Rolle spielen:

• Software-/Programmierfehler (23%)
• Schwache Passwörter/Authentifizierungsmethoden (22%)
• Schwachstellen in der Cyber-Lieferkette (21%)
• Nutzung nicht autorisierter Anwendungen (20%)
• Schwachstellen in Webanwendungen (19%)
• Unzureichende Sicherheit beim Remote-Zugriff (19%)

Nicht gepatchte Anwendungen (17%)

Bisher haben wir uns primär angesehen, mit welchen Bedrohungen sich Unternehmen konfrontiert sahen und wo diese ihre eigenen Schwachstellen sehen – im nächsten Abschnitt geht es darum, welche Maßnahmen Unternehmen 2023 getroffen haben, um sich zu schützen.

Wie schützen Unternehmen sich vor Angriffen?

Zum Schutz vor Cyberangriffen werden in den Unternehmen der Befragten unterschiedliche Maßnahmen umgesetzt.

Datenzugriff
Viele der Unternehmen schränken den Datenzugriff für die Mitarbeitenden ein: 54 % der Angestellten haben nur Zugriff auf die für ihre Arbeit notwendigen Daten, während 34 % auf mehr Daten als unbedingt erforderlich zugreifen können. In immerhin 8 % der Unternehmen haben Mitarbeitende jedoch Zugriff auf alle Unternehmensdaten.

Technische Maßnahmen und Richtlinien
Zur Abwehr von Cyberbedrohungen haben Unternehmen verschiedene technische Maßnahmen und Richtlinien implementiert. Passwortrichtlinien (62 %), Antivirus-Software (56 %) und regelmäßige Software-Updates (56 %) sind dabei die am häufigsten genutzten Strategien. Zudem setzen 41 % auf Zwei-Faktor-Authentifizierung (2FA) und 40 % auf Maßnahmen zur Phishing- und E-Mail-Sicherheit.

Mitarbeiterschulung und Bewusstseinsbildung
Eine wesentliche Säule der Cybersicherheit ist die Schulung der Mitarbeiter. 66 % der Unternehmen bieten Schulungen zum Thema Datenschutz, 46 % Cybersecurity-Schulungen und 23 % Schulungen zum Thema Social Engineering. Die Schulungshäufigkeit variiert, wobei 44 % der Unternehmen jährlich und 17 % halbjährlich Schulungen durchführen. In 23 % der Unternehmen erfolgen Schulungen nur unregelmäßig, 5 % schulen nur einmalig zur Einstellung. 11 % führen keine Schulungen durch.

Wir haben die Teilnehmenden zudem gefragt, mit welchen Maßnahmen Unternehmen Mitarbeitende noch besser in die Cybersicherheit einbinden könnten.

Neben den in der Grafik zu sehenden 6 häufigsten Antworten nannten die Befragten zudem diese Punkte:

• Dazu aufrufen bzw. es leichter zu machen, Vorfälle zu melden (22%))
• Belohnungen und Anerkennung (21 %)
• Interaktive Spiele oder Herausforderungen (19 %)
• Die Mitarbeitenden werden bereits ausreichend in die Cybersicherheit integriert (8%)

Empfehlung: Die wichtigsten Risiken identifizieren und Ressourcen fokussieren

Laut Gartner ist eine der grundlegenden Erkenntnisse im Bereich der Cybersicherheit, dass sich Unternehmen nicht immer vor allen potenziellen Bedrohungen schützen können (Artikel auf Englisch). Insbesondere angesichts der erweiterten Angriffsfläche durch die digitale Transformation, Cloud Computing, hybride Arbeitsmodelle und andere Trends. Um damit umzugehen, wird empfohlen, einen risikobasierten Ansatz bei der Entwicklung der Sicherheitsstrategie zu verfolgen. Im Mittelpunkt stehen dabei a) die Identifizierung und b) die Priorisierung von Sicherheitsbedrohungen, um Ressourcen effektiv einsetzen zu können.

Bei der Entscheidung, wie viele Ressourcen für die Bewältigung einer spezifischen Herausforderung investiert werden sollen, spielen mehrere Faktoren eine Rolle:

1. Relevanz: Dieser Faktor bezieht sich darauf, ob und inwieweit eine Bedrohung die operationelle Kontinuität eines Unternehmens beeinträchtigen könnte. Es geht um die potenzielle Auswirkung der Bedrohung auf die grundlegenden Geschäftsprozesse und -funktionen. Eine Bedrohung ist relevant, wenn sie die Fähigkeit des Unternehmens, seine Kernoperationen durchzuführen, stören oder unterbrechen könnte. Die Relevanzbewertung konzentriert sich auf die langfristigen Auswirkungen und die Bedeutung der Bedrohung für das gesamte Unternehmen.
2. Dringlichkeit: Dieser Faktor bewertet, wie schnell eine Bedrohung die Betriebsfähigkeit eines Unternehmens beeinflussen könnte und wie unmittelbar diese Auswirkungen spürbar wären. Dringlichkeit bezieht sich auf die zeitliche Komponente der Bedrohung. Eine Bedrohung mit hoher Dringlichkeit erfordert sofortige Aufmerksamkeit und Reaktion, um negative Auswirkungen zu verhindern oder zu minimieren. Die Dringlichkeitsbewertung ist besonders wichtig, um zu bestimmen, welche Bedrohungen sofortige Maßnahmen erfordern.
3. Reife: Verfügt das Unternehmen über einen effektiven Reaktionsplan für den Angriffsplan? Hier ist entscheidend, die Existenz und die Qualität von Notfallplänen und Reaktionsstrategien zu bewerten.
4. Opportunitätskosten: Übersteigen die Kosten zur Adressierung der Bedrohung den potenziellen finanziellen Impact der Bedrohung selbst? Was sagt die Kosten-Nutzen-Analyse für die potenziellen Investitionen in Sicherheitsmaßnahmen.
5. Messbarkeit: Lässt sich der Wert der Investition in Schutzmaßnahmen klar darlegen? Die Fähigkeit, den ROI von Sicherheitsinvestitionen zu quantifizieren, ist für die Rechtfertigung von Ausgaben wichtig.

Risikobasierte Ansätze für effiziente Bedrohungserkennung

Zusammenfassend ist es wichtig, verschiedene Arten von Informationen über vergangene Ereignisse zu sammeln, um Entscheidungen darüber zu treffen, welche Bedrohungsszenarien für die Gegenwart und Zukunft priorisiert oder de-priorisiert werden sollten. Ein risikobasierter Ansatz kann die Effizienz in der Bedrohungserkennung verbessern und die Reaktionszeit erhöhen. Dies ermöglicht es Unternehmen, sich auf die bedeutendsten Risiken zu konzentrieren und gleichzeitig Ressourcen optimal zu nutzen.

Aktuelle Trends im Bereich Cybersicherheit zeigen eine deutliche Zunahme von gezielten Ransomware-Angriffen und Phishing-Kampagnen, die durch den Einsatz von KI und maschinellem Lernen immer ausgefeilter werden. Diese Entwicklungen erfordern eine ständige Anpassung und Erweiterung der angewendeten Sicherheitsstrategien. Darüber hinaus gewinnen Themen wie Cloud-Sicherheit und der Schutz von IoT-Geräten zunehmend an Bedeutung, da Unternehmen immer häufiger auf diese Technologien setzen. Risikobasierte Strategien geben Unternehmen die Flexibilität und Reaktionsgeschwindigkeit, um sich schnell auf die jeweils bedeutendsten Bedrohungen einstellen zu können.

Der nächste Teil dieser Artikelserie wird sich speziell mit den Auswirkungen neuer Technologien wie KI auf die aktuelle Bedrohungslandschaft beschäftigen. Darin kommen 500 IT-Experten zu Wort und geben einen Ausblick darauf, welche Veränderungen diese Technologie im Bereich der Cybersicherheit mit sich bringen wird.