IT-Sicherheit überfordert Firmen zunehmend
54 Prozent der in der DACH-Region von Vanson Bourne im Auftrag von Sophos befragten Unternehmen geben zu, dass Cyberbedrohungen zu komplex sind, als dass ihr Unternehmen sie allein bewältigen könnte. 44 Prozent aller Befragten sehen Managed Detection and Response (MDR) als Ausweg.
Weltweit empfinden es 93 Prozent der Unternehmen als schwierig, grundlegende Sicherheitsaufgaben zu erledigen, wie die Suche nach Bedrohungen. Weltweit haben 75 Prozent haben Schwierigkeiten, die Ursache eines Sicherheitsvorfalls zu identifizieren, in der DACH-Region bestätigen dies 65 Prozent. Verschärft wird die Situation dadurch, dass 71 Prozent weltweit und 60 Prozent der Unternehmen in Deutschland, Österreich und der Schweiz Probleme haben, bei IT-Sicherheitsproblemen rechtzeitigen Abhilfe zu schaffen.
So lauten einige der zentralen Ergebnisse der vom IT-Security-Anbieter Sophos vorgelegten Studie »The State of Cybersecurity 2023: The Business Impact of Adversaries on Defenders«. Für die Studie wurden im Januar und Februar 2023 von Vanson Bourne in 14 Ländern 3.000 Führungskräfte befragt, die in ihrem Unternehmen für IT und/oder Cybersecurity verantwortlich sind. Die Befragten kamen aus Unternehmen mit 100 bis 5.000 Beschäftigten.
Die Hälfte schafft es nicht allein
Insgesamt 500 Befragte waren aus Deutschland, Österreich und der Schweiz. Von ihnen sagten 62 Prozent, dass es für sie schwierig ist, Signale oder Warnungen zu erkennen und zu untersuchen. 64 Prozent tun sich schwer damit, Problemen zur genaueren Untersuchung zu priorisieren. Wenig tröstlich ist, dass diese Werte weltweit noch ein Stück höher liegen.
Für 54 Prozent in DACH der befragten Unternehmen sind Cyberbedrohungen inzwischen so komplex, dass ihr Unternehmen sie allein nicht mehr bewältigen kann. 61 Prozent hätten gerne, das ihre IT-Abteilung mehr Zeit für strategische Fragen und weniger Zeit für die Bekämpfung aktueller Notfälle aufwenden muss. Und 56 Prozent sagen ganz klar, dass der Zeitaufwand aufgrund von Cyberbedrohungen die Arbeit des IT-Teams an anderen Projekten beeinträchtigt.
Häufigste Angriffsvarianten
Die größten Sorgen sind für die alle Befragten weltweit Datendiebstahl durch externe Angreifer (41 Prozent), Phishing (40 Prozent) sowie Ransomware (35 Prozent) und Cyber Extortion (33 Prozent). Fast gleichauf liegen DDoS-Attacken (32 Prozent), betrügerische E-Mails (Business E-Mail Compromise / BEC) mit 31 Prozent der Nennungen.
94 Prozent hatten im vergangenen Jahr mindestens einen Cyberangriff festgestellt. Ransomware wurde mit Abstand am häufigsten gemeldet. Allerdings führen Kriminelle inzwischen »eine breite Palette von Angriffen in großem Maßstab aus. Diese Breite und die Angriffstiefe stellen eine beträchtliche und wachsende Herausforderung für die Verteidiger dar«, heißt es in dem Bericht.
Überforderte Mitarbeiter machen viele Fehler
Fehlkonfigurationen der Sicherheitssystem (z. B. einer Endpunkt- oder Firewall-Lösung) sind mit 27,4 Prozent das von den Befragten am häufigsten genannte Sicherheitsrisiko. Zero-Day-Angriffe, also Angriffe, die sich eine bisher unbekannte Sicherheitslücke oder einen Softwarefehler zunutze machen, stehen an zweiter Stelle (26,8 Prozent). Dass ein Mangel an interner Cybersicherheitskompetenz und qualifiziertem Personal besteht, rangiert mit 25 Prozent an dritter Stelle der Sicherheitsrisiken.
Sophos verweist hier darauf, dass ein direkter Zusammenhang zwischen Fachkräftemangel und Fehlkonfigurationen besteht: ohne die nötige Zeit, das erforderliche Wissen und die Erfahrung, schafft überarbeitetes und gehetztes Personal neue Lücken in der Abwehr und wird selbst zu Sicherheitsrisiko.
Trend geht zu Automatisierung und externer Hilfe
Grundsätzlich sind die Unternehmen für die Zusammenarbeit mit externen Spezialisten offen. 96 Prozent der Befragten aus dem deutschsprachigen Raum tun das bereits. Gleichzeitig befasst sich jedoch nach wie vor die Mehrheit selbst damit akute Bedrohungen zu bewältigen, anstatt auch hier einen ausgelagerten Ansatz zu wählen.
»Die Bedrohungen von heute erfordern eine rechtzeitige und koordinierte Reaktion«, sagt John Shier, Field CTO Commercial, bei Sophos. »Leider verharren zu viele Unternehmen im reaktiven Modus. Dies wirkt sich nicht nur auf die Prioritäten im Kerngeschäft aus, sondern fordert auch einen beträchtlichen menschlichen Tribut: Mehr als die Hälfte der Befragten gibt an, dass ihnen Cyberangriffe schlaflose Nächte bereiten.«
Allerdings werden Gegenmaßnahmen ergriffen. Der Umfrage zufolge planen die meisten Unternehmen, innerhalb der nächsten zwölf Monate in Detection&Response-Lösungen zu investieren. Über drei Viertel wollen zudem Geld für Endpoint Detection and Response (EDR) ausgeben oder Tools für Extended Detection and Response (XDR) anschaffen.
Rund um die Uhr Cyberbedrohungen untersuchen und auf sie reagieren zu können, ist allerdings eine Aufgabe für Spezialisten. Will man ein entsprechendes Team aufbauen, sind mindestens fünf oder sechs Personen erforderlich. Angesichts des Mangels an internen Cybersicherheitsexpertise suchen 2023 viele Firmen nach externen Unterstützung: 44 Prozent der befragten Unternehmen planen, innerhalb der nächsten zwölf Monate mit einem Anbieter von Managed Detection and Response (MDR) zu arbeiten. Angesichts der Zahlen wird auch dem Rest mittelfristig kaum etwas anderes übrigbleiben.
Weiterführende Links: