Hände sind schützend über ein kleines Holzhaus gefaltet

Einer aktuellen Studie zufolge ist 2020 die Anzahl der Cyberkriminalität in Österreich um 26,3 % gestiegen. Experten gehen davon aus, dass dies auch an der Pandemie liegt.

Für die EY-Studie „Cyberangriffe und Datendiebstahl: virtuelle Gefahr – reale Schäden“ wurden 200 österreichische Unternehmen befragt. Die Studie ist hier als PDF erhältlich.

Größere Unternehmen haben ein höheres Angriffsrisiko

Mehr als jedes vierte Unternehmen hat in den letzten fünf Jahren Hinweise auf Cyberangriffe oder Datendiebstahl erhalten. Besonders im Retail sowie im Versicherungsbereich haben sogar 40 % der Führungskräfte Hinweise auf Angriffe erhalten. Auch die Größe der Unternehmen steigert das Risiko. 42 % aller Unternehmen mit mehr als 100 Mitarbeitenden haben bereits Angriffe erlebt.

Besonders häufig werden dabei die IT-Systeme direkt angegriffen (54 %). In 17 % der Fälle ist das Lahmlegen der Systeme ein direktes Ziel des Angriffs.

Lediglich in 17 % aller Angriffe wurde auch Geld gefordert. Dabei setzen die Täter Schadsoftware ein und fordern Lösegeld, um diese wieder zu deinstallieren. Die geringe Rate kann auch daran liegen, dass Unternehmen den Forderungen kaum nachkommen (sondern wahrscheinlich eher die Polizei einbeziehen). Nur 3 % aller befragten Unternehmen haben tatsächlich Geld an die Täter gezahlt

Besonders häufig werden Vertriebsdatenbanken (27 %), Finanzdaten (21 %) und die Infrastruktur (Datenbank, Internet, E-Mail) (19 %) gezielt angegriffen. Dies lässt vermuten, dass es bei vielen Angriffen entweder um das Stehlen sensibler (Kunden-) Daten geht oder darum, dem Unternehmen durch das Unterbrechen der notwendigen Infrastruktur einen möglichst großen Geschäftsschaden zuzufügen.

Die Identifizierungsrate hat Optimierungspotenzial

Noch ist die Identifizierungsrate für Angriffe relativ gering. Knapp in jedem zweiten Fall konnten interne Systeme die Angriffe identifizieren. 27 % konnten sogar aufgedeckt bzw. geklärt werden. Doch fast jeder fünfte Angriff wird immer noch zufällig entdeckt. Hier zeigt sich, dass Unternehmen unbedingt an internen Sicherheitssystemen arbeiten müssen, da das Erkennen von Attacken nicht dem Zufall überlassen werden sollte. Der Studie zufolge hat außerdem jedes dritte Unternehmen Intrusion-Prevention/Intrusion-Detection-Systeme im Einsatz.

Künstliche Intelligenz hat sich hier in den letzten Jahren massiv entwickelt und bewährt und kann eingesetzt werden, um ungewöhnliche Muster und Aktivitäten im System frühzeitig zu erkennen.

Besonders eine Kombination aus verschiedenen Methoden zum Schutz scheint dabei zu helfen, die Aufdeckungsrate zu steigern. Während zwar nur 47 % aller Fälle durch interne Kontrollsysteme identifiziert werden konnten, haben unternehmensinterne Hinweise in 27 % der Fälle und interne Routineprüfungen in 26 % der Fälle zur Aufklärung beigetragen.

Kontrollsysteme, regelmäßige Prüfungen und eine Aufklärung aller Mitarbeitenden über ungewöhnliche Aktivitäten sowie klare Kontaktpersonen, um Verdachtsfälle zu kommunizieren können das Unternehmen somit gesammelt stärken.

Datenschutz bei der Digitalisierung mitdenken

Besonders die beschleunigte Digitalisierung, nicht zuletzt durch die Pandemie, hat dafür gesorgt, dass viele Lösungen schnell umgesetzt werden mussten. Gerade der Schritt ins Home Office mag da Sicherheitslücken geöffnet haben, etwa durch das Verwenden privater Geräte ohne ausreichende Sicherheitsvorkehrungen.

Auch sollten Mitarbeitende ausreichend geschult werden, um beispielsweise auffällige E-Mails oder Links zu erkennen, um so Phishing- oder Malware-Angriffe zu verhindern. Zusätzlich gehören vertraglich abgesicherte Geheimhaltungsversicherungen für mehr als 80 % der Unternehmen zum Datenschutz dazu.

Zu den häufigsten Sicherheitsvorkehrungen zählen:

  1. Passwortschutz auf allen Geräten
  2. Antivirensoftware
  3. Firewall
  4. Hohe Standards bei der IT-Sicherheit
  5. Mehrfaktor-Authentifizierung
  6. Penetration Tests
  7. Monitoring von Daten
  8. Eingeschränkte Nutzung von USB-Ports
  9. Security Operation Center
  10. Security Information and Event Management

Krisenpläne sind ein Muss

29%

aller Unternehmen haben keine Krisenpläne.

Das schränkt die Handlungsfähigkeit im Falle eines Angriffs stark ein und sorgt auch dafür, dass es keine Kommunikationsstrategie gibt, um Stakeholder frühzeitig zu informieren. Dadurch kann es schnell zu Verwirrungen sowohl intern als auch extern kommen. Intern fehlen beispielsweise die richtigen Ansprechpartner und Owner, um unterschiedliche Maßnahmen zu ergreifen. Dadurch wird kostbare Zeit verspielt und Mitarbeitende werden verunsichert.

Extern fehlt es derweil an einer geradlinigen, transparenten Kommunikation, um beispielsweise Kunden, Behörden oder auch die Presse über potenzielle Angriffe zu informieren, so dass das Vertrauen in das Unternehmen nicht dadurch Schaden nimmt, dass die Kommunikation zu spät oder nicht einheitlich erfolgt.


Datenschutz fängt mit der Qualität und Übersicht Ihrer Daten an. Nur, wenn Sie wissen, wo welche Daten gelagert sind, können sie diese auch ausreichend schützen. Informieren Sie sich in unserem Factsheet zum Thema Data Quality Assessment oder schauen Sie sich auf unseren Infoseiten an, wie Sie sicher Power BI einsetzen oder Ihre Daten im Data Warehouse sicher lagern können.

New call-to-action