Mangelnde Reaktionsfähigkeit bei Cyber-Attacken

04.02.2016

Vier von fünf Unternehmen in Deutschland sind nicht auf effiziente Reaktionen bei Cyber-Attacken vorbereitet

Eine neue Studie des Ponemon Institutes zeigt dennoch großes Vertrauen der Führungskräfte in die Cyber Resilience der Unternehmen bei Angriffen auf die IT

MÜNCHEN, Deutschland – 4. Februar 2016 – Laut einer aktuellen Studie über Cyber Resilience – also die Fähigkeit eines Unternehmens, seine Integrität und Kernfunktionalitäten auch im Angesicht von Cyber-Attacken sicherzustellen – sind 79 Prozent der Security-Entscheider in Deutschland der Ansicht, dass ihr Unternehmen nicht auf Cyber-Attacken vorbereitet ist. Nur 21 Prozent der Unternehmen verfügen über die notwendige Technologie, um auf Angriffe auf ihre IT koordiniert und zielgerichtet zu reagieren. Dies ergab die aktuelle, unabhängige Studie „The Cyber Resilient Organisation in Germany: Learning to Thrive against Threats“ des auf Datenschutz- und Sicherheitsthemen spezialisierten Ponemon Institutes.

Überraschenderweise ergab die Studie für Deutschland aber auch, dass 54 Prozent der deutschen Unternehmen davon ausgehen, dass sie über ein hohes Maß an Cyber Resilience verfügen. Unzureichende Planung und Vorsorge sowie organisatorische Faktoren wurden als größte Barriere für eine erfolgreiche Reaktion auf Cyber-Attacken genannt.

Der Report des Ponemon Institutes basiert auf der Befragung von 445 IT- und Security-Entscheidern in Deutschland. Thema waren die Ansätze zur Steigerung der Widerstandsfähigkeit des jeweiligen Unternehmens gegenüber den immer häufigeren und schwer wiegenden Cyber-Attacken. Unter den Befragten befanden sich zahlreiche leitende Security-Experten aus unterschiedlichen Branchen. Es handelt sich um die dritte in einer Reihe von durch Resilient Systems unterstützten Untersuchungen zu Cyber Resilience: Die erste wurde im letzten Jahr in den USA durchgeführt, die zweite mit Ergebnissen aus Großbritannien wurde Anfang dieser Woche veröffentlicht.

Deutschland durchläuft eine Aktualisierung seiner Regularien rund um die Cyber-Sicherheit. So wurde im Juli 2015 vom Deutschen Bundestag das IT-Sicherheitsgesetz verabschiedet, das explizit die IT-Sicherheit Kritischer Infrastrukturen einbezieht. Zudem ist der deutsche Gesetzgeber maßgeblich an der geplanten, EU-weiten Network and Information Systems Directive (NISD) sowie an der EU-Datenschutzgrundverordnung (EU-DSGVO) beteiligt, die eine Meldepflicht bei Datenschutzverletzungen enthält und Unternehmen verpflichtet, ihren Reaktionsplan für Cyber-Zwischenfälle klar zu dokumentieren.

Zu den wichtigen Ergebnissen der Ponemon-Studie für Deutschland zählen:

Fast 80 Prozent gehen davon aus, dass ihr Unternehmen bei Cyber-Sicherheitsvorfällen nicht für adäquate Reaktionen vorbereitet ist

• 79 Prozent der Befragten gaben an, dass ihr Unternehmen nicht über Pläne für Sofortmaßnahmen und Reaktionen bei Cyber-Attacken verfügt.
  • 21 Prozent der Unternehmen sehen sich aufgrund eines fehlenden Cyber Security Incident Response Plans (CSIRP) nicht auf die Nachsorge bei IT-Angriffen vorbereitet.
  • Weitere 58 Prozent verfügen lediglich über einen „ad hoc“-CSIRP oder nur über einen Plan, der nicht für das gesamte Unternehmen gilt.
  • Nur 21 Prozent der Befragten bestätigten das Vorhandensein eines gut strukturierten CSIRP für die gesamte Organisation.
  • Die Studie ergab zudem, dass Planung und Vorbereitung als Schlüssel für Cyber Resilience eingestuft werden. 69 Prozent gehen davon aus, dass unzureichende Planung und Vorsorge die größten Barrieren für eine erfolgreiche Reaktion auf Attacken sind. Auf den Plätzen der möglichen Hindernisse folgen der Mangel an Sicherheitsbewusstsein, Analyse und Bewertung (55 Prozent) sowie die Komplexität der Geschäftsprozesse (51 Prozent).

Auch ohne CSIRP: Deutsche Sicherheitsverantwortliche haben Vertrauen in ihre Cyber Resilience

• 54 Prozent der Befragten gehen da aus, dass ihr Unternehmen über ein hohes Maß an Cyber Resilience verfügt. Damit ist der Vertrauensvorschuss bei deutschen Organisationen deutlich größer als bei Unternehmen in den USA (25 Prozent) und Großbritannien (29 Prozent).
• Die Mehrheit der deutschen Unternehmen ist sehr zuversichtlich, dass sie in der Lage ist, Cyber-Angriffe zu erkennen (56 Prozent), einzudämmen (63 Prozent) und die Folgen eines Angriffs zu beheben (51 Prozent).

Persistente Attacken stellen die größte Gefahr für Cyber Resilience dar

• Als größte Gefährdung für Cyber Resilience werden andauernde Angriffe eingestuft. Die größte Gefahr geht dabei aus Sicht der Befragten von Pannen bei Dritten aus.

Unzureichende Organisation verhindert ein hohes Maß an Cyber Resilience

• Die Studie zeigt, dass ein hohes Cyber-Sicherheitsniveau schwer zu erreichen ist, wenn keine klaren Verantwortlichkeiten definiert sind. Nur 20 Prozent der Befragten gaben an, dass der Geschäftsbereichsleiter verantwortlich für die Cyber Resilience sei, weitere 13 Prozent nannten den Chief Information Officer (CIO). Alle anderen erklärten, keine bestimmte Person habe die entsprechende Verantwortung.
• 64 Prozent der Befragten gehen davon aus, das für die IT-Sicherheit nicht genügend finanzielle Mittel zur Verfügung stände, um ein hohes Maß an Cyber Resilience zu erreichen. 53 Prozent glauben, dass zu wenig Personal für die IT-Sicherheit vorhanden sei.

„Die Studienergebnisse sind aufschlussreich, denn sei belegen ein Missverhältnis zwischen dem Vertrauen der Security-Verantwortlichen in die Cyber Resilience und dem mangelnden Maß an einer Vorbereitung koordinierter Reaktionen nach Angriffen“, sagte Larry Ponemon. „In der Erwartung der nächsten Welle an Angriffen auf ihre IT sollten Unternehmen sich vorbereiten und über einen entsprechenden Plan verfügen. Es ist notwendig, dass Reaktionen über die gesamte Organisation hinweg koordiniert sind, was es unverzichtbar macht, einen funktionierenden CSIRP (Cyber Security Incident Response Plan) zur Hand zu haben, wenn es zu Attacken kommt.“

Die Incident Response Platform (IRP) von Resilient Systems unterstützt Unternehmen bei der Orchestrierung und Automatisierung ihrer Prozesse zur Reaktion auf Angriffen über das Netzwerk. Durch die Integration bereits vorhandener IT-Sicherheitslösungen bildet sie eine zentrale Plattform für die Untersuchung von Cyber-Attacken. Diese erlaubt es Organisationen, schneller, effizienter und zuverlässiger auf IT-Angriffe zu reagieren und die jeweiligen Folgen zu minimieren.

„Ein gutes Sicherheitsniveau und eine hohes Level an Cyber Resilience zeichnen sich durch drei Faktoren aus: Vorbeugung, Erkennung und geplante, proaktive Reaktionen. Die Umfrage zeigt, dass deutsche Organisationen profitieren können, wenn sie die koordinierten Reaktionen auf Cyber-Attacken besser planen“, so John Bruce, CEO und Mitgründer von Resilient Systems. „Mit den bevorstehenden Änderungen der EU-Vorschriften wird dies zu einer äußerst aktuellen Herausforderung.“

Weitere Ressourcen

Download des Reports des Ponemon Institutes: „The Cyber Resilient Organization: Learning to Thrive Against Threats“ unter: http://info.resilientsystems.com/ponemon-institute-study-the-cyber-resilient-organization-1-0