46 Prozent aller Befragten halten ihr Unternehmen für stärker gefährdet als vor einem Jahr.
Illustration: Geralt Absmeier
Am 12. Mai war es genau ein Jahr her, dass auf vielen Computer-Bildschirmen nichts mehr ging: Die Ransomware WannaCry hatte weltweit zugeschlagen und viele Systeme lahmgelegt. In Deutschland waren laut einer aktuellen Umfrage des Cybersecurity-Unternehmens Tanium mit 31 Prozent knapp ein Drittel der Unternehmen betroffen, in denen die Befragten arbeiten. Weltweit waren laut Berichten zum WannaCry Ransomware-Angriff mehr als 200.000 Computer in 150 Ländern betroffen.
Die Umfrage von Tanium unter 750 IT-Mitarbeitern in Deutschland und Großbritannien zeigt großen Verbesserungsbedarf in puncto Cybersicherheit: 46 Prozent aller Befragten in Deutschland halten ihr Unternehmen aktuell für stärker durch Cyberbedrohungen gefährdet als vor einem Jahr. Die Angst, die nach WannaCry in Unternehmen herrschte, hat jedoch oft nicht zu konkreten Maßnahmen geführt: 29 Prozent der deutschen Befragten geben an, dass es in ihrem Unternehmen nach WannaCry zwar eine kurze Panik aber dann keine Veränderungen gab.
Olav Strand, Regional Vice President Central Europe bei Tanium, zu den Ergebnissen der Umfrage: »Viele Unternehmen handeln auch nach WannaCry nach der Devise »Business as usual«. Sie unterschätzten dabei, wie wichtig umfassende und regelmäßige Sicherheits-Updates und die Anwendung entsprechender Patching- und Endpoint-Management-Tools ist. Durch diese können Netzwerke vor Angriffen wie durch WannaCry wesentlich besser geschützt werden. Weitere Herausforderungen, mit denen sich IT-Teams konfrontiert sehen, sind veraltete Systeme, die Verwendung zu vieler und unübersichtlicher Endpoint-Tools und zu geringe Budgets für IT-Sicherheit.«
WannaCry: Kurzfristige Panik, aber keine langfristigen Maßnahmen
Laut der Befragten in Deutschland wurden nach WannaCry durchaus Ad-hoc-Maßnahmen getroffen: In 63 Prozent der Unternehmen wurden die bestehenden Sicherheitssysteme überprüft und bei 44 Prozent wurde der Prozess für Sicherheitsvorfälle im Unternehmen neu definiert. Der nächste Schritt, hin zu einer langfristigen Verbesserung der Sicherheit, fand jedoch bei wesentlich weniger Unternehmen statt: Nur 35 Prozent der befragten IT-Experten geben an, dass in ihrem Unternehmen in neue Sicherheitslösungen investiert wurde. Auch im Bereich Sicherheits-Updates gab es kaum Verbesserungen: Bei 77 Prozent der Unternehmen, in denen die Befragten arbeiten, wurde der Prozess für Patch-Management nicht verbessert. Dabei sind regelmäßige Updates und Patches unerlässlich: WannaCry konnte vor einem Jahr so verheerend zuschlagen, weil viele Computer nicht auf dem aktuellen Stand waren.
Cybersecurity weiterhin keine Top-Priorität in Unternehmen
Laut der Umfrage sehen 26 Prozent den Mangel an Zeit für neue IT-Initiativen als Hauptgrund dafür, dass Cybersecurity-Tools und -Prozesse nicht angewendet werden. 20 Prozent wiederum sehen sich zu Kompromissen in der IT-Sicherheit gezwungen, weil ständige Innovationen eine hohe Geschwindigkeit erfordern. Bei 19 Prozent ist das zu geringe Budget der Grund, dass der Schutz vor Ransomware-Attacken nicht verbessert wird.
Dementsprechend sehen auch nur 33 Prozent der Befragten, dass ihr Unternehmen der Modernisierung von Sicherheitstechnologie oberste Priorität einräumt; den Punkt Widerstandsfähigkeit gegen Angriffe beziehungsweise Business Resilience nennen hier 38 Prozent. 37 Prozent geben an, dass in ihrem Unternehmen die Implementierung von aktueller Software und Tools in die bestehende Infrastruktur als besonders wichtig gilt.
Überraschend ist vor diesem Hintergrund, dass 69 Prozent der Befragten zuversichtlich sind, dass ihr Unternehmen die richtigen Lehren aus WannaCry gezogen hat. Unternehmen scheinen sich ein Jahr nach WannaCry wieder in falscher Sicherheit zu wiegen – bis die nächste Attacke kommt?
Sind sich Führungskräfte der Gefahr bewusst?
Auf der Ebene der Führungskräfte ist das Bewusstsein für Cybergefahren noch nicht vollständig angekommen: 37 Prozent aller befragten IT-Experten sind der Meinung, dass die Führungskräfte in ihrem Unternehmen keine Vorstellung davon haben, wie sehr das Unternehmen Gefahren ausgesetzt ist. Gerade in mittelständischen Unternehmen mit 2.500 bis 5.000 Angestellten ist dieses Misstrauen noch stärker ausgeprägt, hier denken 42 Prozent der Befragten, dass das Bewusstsein für die Gefahren fehlt. 33 Prozent aller Befragten geben außerdem an, dass ihr IT-Team Schwierigkeiten hat, die notwendige Finanzierung für dringende Cybersecurity-Investitionen zu erhalten.
Cybersecurity: Der Vergleich mit UK
Die Herausforderungen in puncto Cybersecurity sind in Deutschland und Großbritannien ähnlich gelagert, es gibt jedoch einige Unterschiede: So geben in UK sogar 36 Prozent an, dass sich nach WannaCry trotz einer kurzen Panik in den Unternehmen nichts geändert hat, also sieben Prozent mehr als in Deutschland. Ein Grund hierfür ist die noch schlechtere Budgetausstattung: In England haben mit 43 Prozent zehn Prozent mehr der Befragten Probleme, ausreichendes Budget für die IT-Teams zu erhalten. Jedoch scheinen englische IT-Experten anders als die deutschen Kollegen die Wichtigkeit von regelmäßigen Sicherheits-Updates stärker verinnerlicht zu haben: Während in UK 34 Prozent angeben, dass der Patching-Prozess in ihrem Unternehmen verbessert wurde, sind es in Deutschland nur 23 Prozent.
Olav Strand von Tanium sagt: »WannaCry war ein Hackerangriff unter vielen – und es werden in Zukunft weitere folgen. Deshalb müssen sich Unternehmen durch umfassende Sicherheitshygiene besser vor solchen Angriffen schützen. Dazu ist ein vollständiger Überblick über alle Endpoints im Netzwerk notwendig, um im Angriffsfall sofort reagieren zu können und dadurch das Unternehmen zu schützen.«
Trotz WannaCry & Co. erhalten Open-Source-Komponenten keine angemessene Aufmerksamkeit
Experten warnen vor weiteren Ransomware-Attacken ähnlich WannaCry