Bitkom-Studie: Angst vor Cyberangriffe steigt weiter

Rund drei Viertel (72 %) aller Unternehmen waren in den vergangenen zwölf Monaten von analogen und digitalen Angriffen betroffen, weitere 8 % vermuten dies, ohne entsprechende Angriffe zweifelsfrei nachweisen zu können. Gegenüber dem Vorjahr mit 84 % bzw. 9 % ging die Zahl der Angriffe damit leicht zurück. Deutlich zugenommen haben allerdings jene Angriffe, die der organisierten Kriminalität zuzurechnen sind. 61 % der betroffenen Unternehmen sehen die Täter in diesem Bereich. Vor einem Jahr lag der Anteil noch bei 51 %, vor zwei Jahren sogar nur bei 29 %. Zugleich entwickeln sich seit Beginn des russischen Angriffskrieges auf die Ukraine Russland und China immer mehr zur Basis für Attacken auf die deutsche Wirtschaft. 46 % der betroffenen Unternehmen konnten Angriffe nach Russland zurückverfolgen (2021: 23 %), 42 % wurden aus China angegriffen (2021: 30 %). Damit steht Russland erstmals an der Spitze der Länder, von denen Angriffe auf die deutsche Wirtschaft gefahren werden. Gleichzeitig sind drei Viertel aller Unternehmen (75 %) der Meinung, dass die Gefahr unterschätzt wird, die von China für die Cybersicherheit ausgeht. Und 61 % halten die Sicherheitsbehörden derzeit für machtlos gegenüber Cyberattacken aus dem Ausland.

„Die deutsche Wirtschaft ist ein hoch attraktives Angriffsziel für Kriminelle und uns feindlich gesonnene Staaten. Die Grenzen zwischen organisierter Kriminalität und staatlich gesteuerten Akteuren sind dabei fließend. Der leichte Rückgang der betroffenen Unternehmen ist ein positives Zeichen und deutet darauf hin, dass die Schutzmaßnahmen Wirkung entfalten“, sagt Bitkom-Präsident Dr. Ralf Wintergerst.

Erstmals fühlt sich eine Mehrheit von 52 % der Unternehmen durch Cyberattacken in ihrer Existenz bedroht. Vor einem Jahr waren es 45 %, vor zwei Jahren sogar nur 9 %. „Die Bedrohungslage bleibt hoch, daher müssen alle Unternehmen ihre IT-Sicherheit steigern. Zugleich müssen wir die Kooperation zwischen Wirtschaft und Sicherheitsbehörden weiter ausbauen, um Angriffe zu verhindern und Täter zu ermitteln.“

Verfassungsschutz-Vizepräsident Sinan Selen sagte bei der Vorstellung der Studie: „Die Ergebnisse der aktuellen Bitkom-Studie fügen sich nahtlos in unsere Lageeinschätzung ein. Wir sind mit einer verstetigten hohen Bedrohung durch staatliche und nicht-staatliche Cyberakteure konfrontiert. Regionale Schwerpunkte sind deutlich erkennbar. Wir sehen, dass staatliche Akteure sich auch Cyberakteuren bedienen und eine hohe Bandbreite von Zielen angreifen. Diese reichen von Angriffen auf politische Institutionen über die Wirtschaft – von spezialisierten kleinen Tech-Unternehmen bis hin zu Großkonzernen – und betrifft ebenso Forschungseinrichtungen. Die Gegner haben einen langen Atem und gehen immer aggressiver, professioneller und agiler vor. Unsere Antwort auf diese verstetigte Bedrohung ist eine deutliche Stärkung der Kooperation mit unseren Partnern, die schnelle Detektion und Reaktion auf erkannte Angriffe und fortlaufende Anpassung unserer Abwehrmechanismen. Bitkom leistet mit dieser Studie einen wertvollen Beitrag im Rahmen dieser Abwehr- und Härtungsstrategie.“

Angriffe auf die Wirtschaft zunehmend digital

Die Angriffe auf Unternehmen haben sich in den vergangenen zwölf Monaten weiter in den digitalen Bereich verlagert. So waren 70 % der Unternehmen von Diebstahl sensibler Daten betroffen oder vermutlich betroffen, ein Anstieg um 7 Prozentpunkte im Vergleich zum Vorjahr. 61 % beklagen das Ausspähen digitaler Kommunikation (plus 4 Prozentpunkte) sowie die digitale Sabotage von Systemen oder Betriebsabläufen (plus 8 Prozentpunkte). Tendenziell rückgängig sind dagegen analoge Angriffe wie der Diebstahl von IT- oder Telekommunikationsgeräten (67 %, minus 2 Prozentpunkte) sowie von sensiblen physischen Dokumenten oder Mustern (35 %, minus 7 Prozentpunkte), das Abhören von Besprechungen oder Telefonaten vor Ort, etwa mit Wanzen (17 %, minus 11 Prozentpunkte) sowie die physische Sabotage (17 %, minus 5 Prozentpunkte).

Bei den Cyberattacken steht Phishing mit 31 % (2022: 25 %) an der Spitze, dahinter folgen Angriffe auf Passwörter (29 %, 2022: 25 %) sowie die Infizierung mit Schadsoftware (28 %, 2022: 25 %). Deutlich angestiegen sind Schäden durch Ransomware, von denen rund ein Viertel (23 %) der Unternehmen berichten. Vor einem Jahr waren es nur 12 %. Rückläufig sind dagegen Schäden durch Distributed Denial of Service (DDoS) Attacken, die nur noch in 12 % der Unternehmen Schäden verursacht haben, vor einem Jahr waren es mit 21 % noch fast doppelt so viele.

Cyberattacken machen Großteil des Schadens aus

Inzwischen sind Cyberattacken für fast drei Viertel (72 %) des gesamten Schadens verantwortlich, der der deutschen Wirtschaft durch Datendiebstahl, Sabotage und Industriespionage entsteht – das entspricht rund 148 Mrd. € und ist ein deutlicher Anstieg zum Vorjahr, als nur 63 % und damit rund 128 Mrd. € Cyberangriffen zugerechnet werden konnten. „Digitale Angriffe lassen sich von jedem Ort der Welt ausführen. Und die Gefahr, von Polizei oder anderen Strafverfolgungsbehörden behelligt zu werden, ist in vielen Ländern gering oder nicht vorhanden“, so Wintergerst. „Der Trend zu Angriffen im digitalen Raum wird sich fortsetzen. Die deutschen Unternehmen müssen ihre IT-Sicherheit mindestens auf jenes Niveau bringen, das für die physische Sicherheit vor Ort längst Standard ist.“

Persönliche Daten rücken in den Fokus

Einen eindeutigen Trend gibt es auch beim Datendiebstahl. So berichtet eine Mehrheit der betroffenen Unternehmen (56 %), dass Daten von Kundinnen und Kunden betroffen waren. 2022 lag der Anteil erst bei 45 %, 2021 bei 31 %. Ebenfalls deutlich gestiegen ist der Diebstahl von Daten der Mitarbeiterinnen und Mitarbeiter mit aktuell 33 % nach 25 % im Jahr 2022 und 17 % im Jahr 2021. „Wenn persönliche Daten Dritter entwendet werden, geht die Schadwirkung oft weit über das angegriffene Unternehmen hinaus und es kann zu erheblichen Folgeschäden bei den betroffenen Personen kommen. Und auch für die Unternehmen ist ein solcher Angriff meist besonders gravierend: Oft erwarten sie Bußgelder und zum Reputationsverlust kommt ein massiver Vertrauensverlust bei Mitarbeitenden, Kunden oder Partnern“, so Wintergerst. Am häufigsten werden weiterhin Kommunikationsdaten wie E-Mails gestohlen (62 %, 2022: 68 %). Einem Viertel der von Datendiebstahl betroffenen Unternehmen (23 %) wurden Zugangsdaten oder Passwörter entwendet, 20 % Finanzdaten und 17 % Daten rund um geistiges Eigentum wie etwa Patente oder Informationen aus Forschung und Entwicklung.

Mehr Cyberangriffe erwartet

In den kommenden zwölf Monaten erwartet die große Mehrheit der Unternehmen (82 %) eine Zunahme von Cyberangriffen auf das eigene Unternehmen. Dabei rechnen 54 % sogar damit, dass die Attacken stark zunehmen, 28 % glauben, dass sie eher zunehmen werden. 15 % gehen von einer unveränderten Situation aus – kein einziges der mehr als 1.000 befragten Unternehmen rechnet mit einem Rückgang der Angriff. Die große Mehrheit der Unternehmen (97 %) wünscht sich daher, dass die Sicherheitsbehörden besser über die Cybersicherheitslage informieren, zum Beispiel auch über bekannte Schwachstellen. 84 % sind der Meinung, die Meldung von Cyberangriffen sollte für Unternehmen, aber auch für Behörden und öffentliche Einrichtungen verpflichtend sein. Zugleich beklagen aber 80 %, dass derzeit der bürokratische Aufwand bei der Meldung von Cyberangriffen zu hoch ist.

IT-Budgets für Cybersicherheit steigen

Angesichts dieser Bedrohungslage haben die Unternehmen Ihre Investitionen in die IT-Sicherheit hochgefahren. Im Durchschnitt gehen derzeit 14 % des IT-Budgets eines Unternehmens in die IT-Sicherheit, nach 9 % im Vorjahr. Rund ein Drittel der Unternehmen (30 %) kommt auf einen Anteil von 20 % oder mehr am IT-Budget und erfüllt damit die Empfehlung des Bitkom und des Bundesamts für Sicherheit in der Informationstechnologie (BSI). Wintergerst: „Im Management der Unternehmen setzt sich zunehmend die Erkenntnis durch, dass nachhaltige Digitalisierung nur mit einem professionellen Sicherheitsmanagement gelingt. Digitale Transformation und IT-Sicherheit müssen Hand in Hand gehen.“