In der »Digital Trust Insights«-Studie von PwC zeigt sich eine deutliche Diskrepanz zwischen dem Bewusstsein für Cyberrisiken und deren Management in deutschen Unternehmen. Signifikante finanzielle Schäden durch Cyberangriffe belegen die Notwendigkeit erhöhter Investitionen in die Cybersicherheit. Zudem benötigen die Chefetagen eine bessere Cyberexpertise.

Die »Digital Trust Insights«-Untersuchung von PwC offenbart alarmierende Daten: In den letzten drei Jahren waren nahezu alle deutschen Firmen (95 %) von Datenverletzungen betroffen, im globalen Vergleich sind es deutlich weniger (86 %). Die finanziellen Folgen sind beträchtlich: 83 Prozent der Unternehmen aus Deutschland meldeten Verluste bis zu 9,9 Millionen US-Dollar aufgrund von Datendiebstahl oder -missbrauch. Etwa acht Prozent berichten von finanziellen Schäden, die zehn bis über 20 Millionen US-Dollar hinausgehen.

Die Ergebnisse unterstreichen eine wachsende Kluft zwischen der Wahrnehmung von Cybergefahren und der Implementierung effektiver Sicherheitsmaßnahmen. Mehr als 4.000 Führungskräfte weltweit, darunter CEOs, CISOs und CSOs, haben hierzu ihre Einschätzungen abgegeben, was die globalen Unterschiede in der Handhabung von Cyberrisiken verdeutlicht.

Die Priorisierung von Cybersicherheit über geopolitische oder wirtschaftliche Risiken ist ein gemeinsamer Nenner unter den Entscheidungsträgern: Cybersicherheit gehört ganz oben auf die Agenda der Risikominderung – noch vor geopolitischen Risiken oder makroökonomischer Volatilität. »Neben den finanziellen Schäden erhöhen auch neue Regulierungsinitiativen und technologische Veränderungen wie der Boom generativer KI die Notwendigkeit einer lückenlosen Cyber-Resilienz«, sagt Grant Waterfall, Cyber Security & Privacy Leader bei PwC Deutschland. »Viele Unternehmen haben das bereits verstanden und steigern ihre Investitionen in die sicherheitsrelevanten Bereiche.«

KI und Cloud erhöhen die Angriffsfläche

Die Bedeutung von generativer KI und Cloud Computing als Risikofaktoren ist unübersehbar. Zwei Drittel der Sicherheits-Verantwortlichen melden, dass generative KI die Angriffsfläche im letzten Jahr vergrößert hat. Jedoch erkennen 17 Prozent der deutschen Fachkräfte auch das Potenzial der KI, die Abwehrkraft gegenüber Angriffen zu stärken. Besonders im Bereich der Bedrohungsanalyse (Threat Intelligence) soll diese Technologie verstärkt zum Einsatz kommen.

Parallel dazu wird die Cloud von einem Großteil der Befragten als ein Schlüsselfaktor für die steigende Angriffsfläche angesehen. »Die zunehmende Komplexität und Dynamik von Cloud-Umgebungen erschwert es, potenzielle Schwachstellen zu identifizieren und abzusichern«, erklärt Waterfall. »Zudem erfordert die sichere Integration und Verwaltung von Cloud-Technologien spezialisierte Fachkenntnisse, die oft fehlen – und die in Anbetracht des weit verbreiteten IT-Fachkräftemangels auch nur schwer zu bekommen sind.«

In Bezug auf spezifische Bedrohungen zeigen sich deutsche Unternehmen besonders besorgt über Angriffe, die auf das Durchsickern von Daten abzielen, sowie Bedrohungen, die mit Cloud-Services und vernetzten Produkten zusammenhängen. Dabei fühlen sie sich am wenigsten gegen Ransomware-Angriffe und Drittanbieter-Breaches gewappnet. Trotz der Erkennung kritischer Geschäftsprozesse durch 42 Prozent der Firmen bleibt die Dokumentation technologischer Abhängigkeiten oft unvollständig.

Die Bedeutung von generativer KI und Cloud Computing als Risikofaktoren ist unübersehbar. (Grafik: PwC)

Chefs benötigen mehr Cyberexpertise

Unternehmen streben mit Blick in die Zukunft vor allem schnellere Reaktionszeiten (14 %), verbesserte Erfahrungen von Kunden und Mitarbeitenden (12 %) sowie mehr Vertrauen in die Fähigkeit der Führungskräfte an, mit Cyberbedrohungen umzugehen (11 %). »Weniger als die Hälfte der deutschen Befragten (44 %) glaubt, dass die Cyberexpertise im Vorstand ihrer Organisationen sehr effektiv ist«, resümiert Waterfall. »Diese Zahlen unterstreichen die Notwendigkeit dafür, über den Aufbau von Cyberexpertise das Vertrauen zu stärken. Dafür braucht es aber eine enge Zusammenarbeit zwischen Sicherheits- und Geschäftsverantwortlichen.«

Laut PwC zeigt die Studie, dass es auch hier Defizite gibt: Weltweit nimmt zum Beispiel weniger als die Hälfte (45 %) der CISOs in hohem Maße eine aktive Führungsrolle ein, wenn es um die Bereitstellung von Technologie und Infrastruktur geht – in Deutschland sogar noch seltener (35 %). CEOs sind hingegen weltweit vor allem in die Erörterung der wichtigsten Kennzahlen auf Board-Ebene und der Auswirkungen von Cyber- und Privacy-Implikationen auf die künftige Unternehmensstrategie involviert.

Auf Cyber-Resilienz sollten Organisationen mehr Augenmerk legen, genauso wie auf die Einrichtung eines Krisenteams für Cybervorfälle und Übungen bzw. Simulationen für den Krisenfall. (Grafik: PwC)

Investitionen in Datenschutz und Datensicherheit

Die gute Nachricht: Viele der Unternehmen planen große Investitionen, um ihre Cybersicherheit und Resilienz zu stärken. 72 Prozent der deutschen Unternehmen gaben an, ihr Cyberbudget für das kommende Jahr zu erhöhen (Global: 77 %) – auch unter dem Einfluss aktueller Regulierungen wie NIS-2 oder dem Cyber Resilience Act.

Die meisten Unternehmen planen, in Datenschutz und Datensicherheit, die Modernisierung von Technologien inklusive der Cyberinfrastruktur sowie Sicherheitstrainings (jeweils 17 %) zu investieren. Für PwC-Manager Waterfall sind damit auf dem richtigen Weg: »Cyber-Resilienz wird in den kommenden Jahren nicht nur für Führungskräfte aus dem Technologie- oder IT-Bereich ein zentraler Imperativ bleiben, sondern für die gesamte C-Suite. Nur ein hohes Maß an Cyber-Resilienz schafft Vertrauen, reduziert Risiken und sorgt damit nicht zuletzt für erhebliche Wettbewerbsvorteile.«