Handel und Logistik bieten Fläche für Cyberangriffe
Immer noch glauben viele mittelständische Handels- und Logistikunternehmen, dass sie ausreichend geschützt seien vor Hacker-Angriffen. Doch fast jede vierte Firma (22 Prozent) ist bereits Opfer von Cyberattacken gewesen. Jeder zweite angegriffene Betrieb stand sogar zeitweise still und musste die IT-Systeme mit großem Aufwand wiederherstellen, berichtet der Gesamtverband der Deutschen Versicherungswirtschaft (GDV). Dennoch sei das Problembewusstsein insbesondere bei vielen mittelständische Handels- und Logistikunternehmen immer noch wenig ausgeprägt. Das zeige eine repräsentative Forsa-Umfrage unter 300 Unternehmen des Groß- und Einzelhandels sowie aus dem Transportsektor im Auftrag des GDV.
Mehr IT-Schutz und Notfallpläne vonnöten
„Die erfolgreichen Angriffe zeigen, dass die IT-Sicherheit in Handel und Logistik noch sehr lückenhaft ist. Die Verantwortlichen müssen mehr und bessere Schutzvorkehrungen treffen, die Mitarbeiter sensibilisieren und Notfallpläne schmieden“, sagt die stellvertretende GDV-Hauptgeschäftsführerin Anja Käfer-Rohrbach. Wie gering das Schutzniveau tatsächlich ist, belege darüber hinaus ein vom GDV initiierter Sicherheitscheck, an dem 19 Mittelständler der Branchen freiwillig teilnahmen.
IT-Experte hackt sich in die Systeme
Dazu hatte der Verband den Berater für Cybersicherheit Michael Wiesner beauftragt, der auch in der Arbeitsgruppe Kritis für Kritische Infrastrukturen engagiert ist. Bei seinem Check stieß Wiesner bei zwei Dritteln der Unternehmen auf veraltete Betriebssysteme. Bei fast allen (95 Prozent) gab es Schwachstellen, die Hacker zur Manipulation von Daten oder sogar zur Übernahme der IT-Systeme nutzen können.
Schwachstelle Mensch: Schulungen unerlässlich
Über Phishing-Mails und gefälschte Webseiten kam der IT-Experte bei immerhin jedem vierten Unternehmen zum Ziel: Auf dieser Weise kam er an die Zugangsdaten von Beschäftigten, die ihm wiederum weitgehende Zugänge aufs jeweilige IT-System ermöglichten. „Wer erst einmal erfolgreich in die IT-Systeme eingedrungen ist, kann sie in aller Regel komplett übernehmen und nach Belieben manipulieren“, warnt Wiesner. Es gelte daher, die Beschäftigten entsprechend durch Schulungen zu sensibilisieren.
Fehleinschätzung: Sind als Hacker-Ziel zu unbedeutend
Gerade die Mittelständler aus Handel und Logistik wägen sich trotz allem oft in einer scheinbaren Sicherheit: So gehen fast zwei Drittel (63 Prozent) der von Forsa Befragten weiterhin von einem geringen Risiko für ihr Unternehmen aus. Ihre Argumente: Ihre Firma sei zu klein und die Daten für Kriminelle daher nicht interessant. Und drei Viertel (73 Prozent) der befragten Unternehmen sind der Ansicht, sie täten genug zum Schutz gegen Cyberkriminalität. Eine Einschätzung, die in der Realität nicht Stand hält. „Das Sicherheitsproblem wird oft kleingeredet oder bewusst ignoriert“, erklärt GDV-Vize-Chefin Käfer-Rohrbach.
Cyberrisiko-Bewertungstool Cysmo sucht und findet
Wie wenig diese Sorglosigkeit mit Blick auf die IT-Sicherheit angebracht ist, zeigt darüber hinaus auch im sogenannten Darknet, einem verborgenen Netzwerk, das für illegale Geschäfte genutzt wird. Dort hat sich PPI, Softwarehaus und Unternehmensberatung aus Hamburg, im GDV-Auftrag auf die Suche gemacht. Mit ihrem Cyberrisiko-Bewertungstool Cysmo nahmen die Hanseaten rund 1.500 Mittelständler aus Handel und Logistik unter die Lupe.
Logistiker-Daten im Darknet zu finden
Das Ergebnis: PPI fand die Daten von 470 Unternehmen, also von rund 31 Prozent, im Darknet. Im Angebot sind oft berufliche E-Mail-Adressen samt dazugehöriger Passwörter, die Angestellte auch für private Zwecke genutzt hatten. Auch an dieser Stelle gelte es, die Beschäftigten entsprechend zu sensibilisieren. „Weil viele Menschen immer die gleichen oder sehr ähnliche Passwörter nutzen, können E-Mail-Passwort-Kombinationen von Cyberkriminellen leicht ausgenutzt werden“, erklärt Käfer-Rohrbach. Schon deshalb müssten Firmen entsprechende Regeln für die Nutzung der geschäftlichen E-Mail-Adressen aufstellen.
Private Geräte sind ein Sicherheitsrisiko
Doch auch wenn regelmäßig Sicherheits-Updates erfolgen und die Unternehmens-IT sichere Passwörter erzwingt, ist das noch ein Garant, auf der sicheren Seite zu sein. Denn rund jedes zweite Unternehmen (52 Prozent) erlaubt den Mitarbeitern, ihre privaten Geräte in der IT-Umgebung des Betriebes zu nutzen. Jedes vierte Unternehmen (25 Prozent) bewahrt seine Sicherheitskopien so auf, dass sie auch bei einem Hackerangriff verschlüsselt oder gelöscht werden könnten. Insgesamt erfüllen laut GDV nur 24 Prozent die zehn wichtigsten Basis-Anforderungen an die IT-Sicherheit. Gleichzeitig sind viele Unternehmen nur unzureichend auf einen erfolgreichen Angriff vorbereitet: 47 Prozent der befragten Mittelständler hatten für den Ernstfall weder ein Notfallkonzept noch eine Vereinbarung mit ihrem IT-Dienstleister.