Mehr als eine Million der rund 3,5 Millionen kleinen und mittelständischen Unternehmen (KMU) in Deutschland hat bereits Cyberangriffe erleben müssen. Das besagt nach einem Bericht von risknet.de die aktuelle HDI Cyber-Studie, für die Versicherungs- und IT-Entscheider von mehr als 500 KMU in Deutschland befragt wurden. Vor allem unter Mittelständlern mit 50 bis 250 Mitarbeitern berichtet mehr als jedes zweite Unternehmen (57 Prozent), mindestens einmal betroffen gewesen zu sein.
Fast drei Viertel der erfolgreichen Angriffe (72 Prozent) verursachten erhebliche Schäden und kosten im Schnitt 95.000 EUR. Bei Freiberuflern liegt der Schadendurchschnitt sogar bei 120.000 EUR und größere Mittelständler berichten von Schäden von bis zu 500.000 Euro. Auch rund ein Drittel (31 Prozent) der Kleinstunternehmen mit bis zu 9 Mitarbeitern und 37 Prozent der Kleinunternehmen mit 10 bis 49 Mitarbeitern sind bereits Opfer von Cyber-Attacken geworden.
„Die häufig geäußerte Ansicht, dass kleinere Unternehmen für Cyber-Angriffe nicht interessant seien, ist durch die Praxis klar widerlegt“, sagt dazu Christian Kussmann, Bereichsvorstand Firmen und Freie Berufe der HDI Versicherung AG. Kleinere Unternehmen gerieten schon deshalb verstärkt in den Fokus, weil sich größere Unternehmen besser schützten. KMU haben häufig nicht so hohe Sicherheitshürden. Außerdem nutzen Angreifer KMU auch als „Point of Entry“ für weitere Angriffe. Denn als Dienstleister unterhalten sie häufig IT-Schnittstellen zu Großunternehmen.
Angriffe über erweiterte Computer- oder IoT-Netzwerke oder über Wartungsschnittstellen von Druckern oder Kopierern – Angriffsmethoden werden immer ausgefeilter und technisch anspruchsvoller. Allerdings sind bislang relativ wenige Unternehmen in der Praxis bereits auf diese Weise attackiert worden. Im Schwerpunkt zielen die Angriffsmethoden weiter klar auf die Schwachstelle Mensch. So geben 20 Prozent der Unternehmen an, dass sie bereits durch Vortäuschen falscher Identitäten, Spam- oder Phishing-Mails attackiert wurden. Fast genauso viele wurden über verseuchte Anhänge in E-Mails an Mitarbeiter und Schadsoftware angegriffen.
Rund ein Viertel der betroffenen Unternehmen (24 Prozent) musste laut Untersuchung nach Attacken mit Betriebsunterbrechungen klarkommen, so die Studien-Ergebnisse. Zum Beispiel konnte ein Unternehmen aufgrund der kompromittierten Systeme seine Kunden vorübergehend nicht beliefern. Ein anderes konnte nicht mehr auf E-Mails und Firmennetzwerk zugreifen. Buchführung und Kundenservice waren lahmgelegt. Nicht umsonst werden Betriebsunterbrechungen von 43 Prozent der Unternehmen als besonders relevant eingestuft.
Noch schlimmer ist für die befragten Unternehmen nur den Diebstahl von Kundendaten: 45 Prozent sahen hier eine große Relevanz und fast jedes vierte angegriffene Unternehmen (22 Prozent) war bereits betroffen. Genauso häufig sind Auswirkungen auf den Ruf des Unternehmens: 22 Prozent der attackierten Unternehmen beklagen Image- und Reputationsschäden infolge der Cyberangriffe. Zudem sahen sich 15 Prozent mit Schadenersatzforderungen von Kunden konfrontiert und 16 Prozent mit Industriespionage und dem Verlust geheimer Unterlagen.
Betriebsunterbrechungen erweisen sich als wichtiger Treiber der Schadenhöhe. Bei mehr als der Hälfte der betroffenen Unternehmen war der Betrieb für mindestens zwei Tage eingeschränkt. Rund 15 Prozent mussten mit 4 bis 7 Tagen Betriebsstörungen klarkommen. Besonders hart getroffen wurden Kleinstunternehmen. Denn allein das Entfernen von Schadsoftware und das Einspielen von Updates ist in komplexen IT-Systemen heute nicht in ein paar Stunden erledigt, auch nicht in kleineren Unternehmen.
#Dass Cyberangriffe zu Schäden führten, hatte häufig auch Auswirkungen auf die Zusammenarbeit mit IT-Dienstleistern: Für rund ein Fünftel der bisherigen IT-Dienstleister bedeutete es das Aus beim attackierten Unternehmen: 21 Prozent der Unternehmen wechselten in der Folge den IT-Dienstleister.