Horizon3.ai-Report „The State of Assumed Security" Fast alle CISOs vertrauen ihrer Cybersecurity – zurecht?

Anbieter zum Thema

Horizon3.AI Europe GmbH

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Onapsis Europe GmbH

Moderne Sicherheitsprogramme sind hochaktiv: Assets werden gescannt, Schwachstellen priorisiert, Patches eingespielt, Dashboards aktualisiert. Lange galten diese Aktivitäten als Nachweis für ein hohes Sicherheits­niveau. Aber die Frage ist doch: Messen die Unternehmen tatsächlich ihre Fähigkeit, einen realen Angreifer zu stoppen oder lediglich den Abschluss von Arbeitsprozessen?

Das Cybersecurity-Unternehmen Horizon3.ai hat 750 Fachleute aus den USA und Europa (EU und Großbritannien) befragt, hälftig aufgeteilt in 375 Chief Information Security Officers (CISOs) und leitende Sicherheitsverantwortliche sowie 375 IT-Sicherheitsexperten, darunter Security Engineers, Security Analysts sowie Fachkräfte aus dem Bereich Security Operations. Die Ergebnisse sind in dem Report „The State of Assumed Security“ veröffentlicht.

Ein Ergebnis: Über alle Länder hinweg ist das Vertrauen der Führungskräfte und Fachleute in die eigenen Sicherheitsmaßnahmen auffallend hoch. 93 Prozent der CISOs geben an, nach­wei­sen zu können, dass ihre Unternehmen angemessene und validierte Maßnahmen zur Ver­hin­de­rung eines Sicherheitsvorfalls ergriffen haben. 97 Prozent sind überzeugt, dass ihre Endpoint-Protection-Lösungen seitliche Bewegungen (Lateral Movement) oder Privilegien-Eskalationen zuverlässig erkennen würden. 96 Prozent glauben, dass ihr Security Operations Center (SOC) einen Angreifer identifizieren könnte, der sich bereits innerhalb der IT-Umgebung bewegt.

Cyberangriffe trotzt Schutzmaßnahmen

Investitionen allein garantieren keine Sicherheit

Die operative Praxis zeigt jedoch ein völlig anderes Bild. Nur 30 Prozent der CISOs berichten, dass ihre Firmen nach dem Einspielen von Patches deren Wirksamkeit tatsächlich überprüfen, um sicherzustellen, dass das Risiko beseitigt wurde. Fast die Hälfte beschränkt sich darauf, nach dem Patchen erneut einen Schwachstellenscan durchzuführen. Lediglich 12 Prozent haben die Wirksamkeit ihrer EDR-Lösungen (Endpoint Detection and Response) innerhalb der ver­gan­gen­en drei Monate validiert. Nur 26 Prozent nutzen Red-Team-Übungen oder Penetrationstests, um zu prüfen, ob ihr SOC tatsächlich Angriffe erkennen und abwehren kann. Unter den operativen Sicherheitsexperten verlassen sich 33 Prozent ohne weitere Prüfung auf die Ergebnisse von Schwachstellenscannern, während 17 Prozent erkannte Schwachstellen überhaupt nicht validieren.

Ein ähnliches Bild zeigt sich beim Umgang mit aktiv ausgenutzten Schwachstellen. Nur 11 Prozent der Praktiker geben an, innerhalb von 24 Stunden nach einer CISA- oder ENISA-Warnung zu prüfen, ob ihre Firma betroffen ist und entsprechende Patches einzuspielen. Viele Unternehmen benötigen eine Woche oder noch länger, um überhaupt festzustellen, ob sie von der jeweiligen Schwachstelle betroffen sind.

Das Muster ist eindeutig: Sicherheitsprogramme orientieren sich häufig an der Abarbeitung standardisierter Prozesse, etwa dem Scannen, Patchen, erneuten Scannen und Schließen von Vorgängen. Erkennungs- und Schutzsysteme werden implementiert und überwacht. Automatisierung erhöht die Geschwindigkeit dieser Abläufe. Was jedoch häufig fehlt, ist die tatsächliche Überprüfung, ob die getroffenen Maßnahmen den beabsichtigten Schutzeffekt auch wirklich erzielen.

IT-Sicherheitslage in KMU 2025

Gefühlte Sicherheit und tatsächliche Vorbereitung liegen weit auseinander

Wenn „geringes Risiko“ auf hohe Angriffsfläche trifft

Wie sicher ist eine IT-Organisation heute tatsächlich? Die Antwort hängt oft davon ab, wen man fragt und wo.

Von den befragten CISOs in Europa (Deutschland, Frankreich, Italien, Spanien und Großbritannien) stuften mehr als 35 Prozent den Risikograd ihres Unternehmens als „gering“ oder „minimal“ ein, selbst wenn sie von einem erfahrenen Angreifer ins Visier genommen würde. In Deutschland schlossen sich nicht einmal ein Zehntel dieser Einschätzung an. Auf der anderen Seite der Skala verhält es sich beinahe umgekehrt. Europaweit meinen 41 Prozent, dass ihre Firma einem „hohen Risiko“ ausgesetzt ist, in Deutschland satte 66 Prozent. Auf den Punkt gebracht: Die deutschen CISOs sind sich der Angreifbarkeit viel stärker bewusst als ihre Kollegen in anderen Ländern.

Unter den operativen Sicherheitsexperten ergibt sich hingegen ein deutlich anderes Bild: ein Großteil wertet die aktuelle Angriffsfläche ihres Unternehmens als hohes Risiko. Die Diskrepanz ist offensichtlich. Auf Führungsebene ist ein erheblicher Teil der Verantwortlichen überzeugt, dass die eigene Firma einem gezielten und professionell durchgeführten Angriff standhalten würde. Die Praktiker an der operativen Front sehen dagegen weiterhin zahlreiche Schwachstellen und erhebliche Risiken.

„The AI Vulnerability Storm“

250 CISOs veröffentlichen AI-Strategie-Briefing

Diese unterschiedliche Wahrnehmung beeinflusst unmittelbar die Entscheidungsfindung. Wenn das Management das Risiko als moderat oder gering einschätzt, wirkt sich dies auf Budgetentscheidungen, die Priorisierung von Personalressourcen und die Geschwindigkeit von Gegenmaßnahmen aus. Wenn Sicherheitsexperten gleichzeitig wissen, dass weiterhin ausnutzbare Schwachstellen bestehen, entstehen zwangsläufig Spannungen im operativen Betrieb.

Das eigentliche Problem ist dabei nicht nur der übermäßige Optimismus, sondern auch die mangelnde Abstimmung. Führungskräfte bewerten die Sicherheitslage häufig anhand von Richtlinien, eingesetzten Technologien und dem Berichtswesen. Operative Sicherheitsteams orientieren sich dagegen an konkreten Angriffswegen, Erkennungslücken und den tatsächlich noch vorhandenen Schwachstellen in der IT-Umgebung.

Vertrauen, das nicht regelmäßig auf die Probe gestellt wird, ist jedoch kein Beleg für Widerstandsfähigkeit, sondern lediglich eine Annahme. Werden Sicherheitsmaßnahmen nur selten unter realistischen Bedingungen getestet, entwickeln sich Sicherheitsgefühl und tatsächliche Gefährdungslage zunehmend auseinander. Genau diese Fehlwahrnehmung trägt dazu bei, die Illusion eines geringen Risikos aufrechtzuerhalten.

Das KPI-Paradox: Viele Zahlen, wenig Steuerung

Fünf Security-KPIs, die der Vorstand wirklich braucht

Kontinuierliche Validierung statt Sicherheitsannahmen

Als Abhilfe sind fortlaufende Penetrationstests zu empfehlen. Doch genau daran hapert es. In der Umfrage gaben lediglich 17 Prozent der Praktiker an, wöchentlich Penetrationstests oder andere Formen adversarieller Tests durchzuführen, also die gezielte Überprüfung von Sicherheitsmaßnahmen aus der Perspektive eines Angreifers. Dabei wäre gerade dies am wichtigsten, weil sich nur dadurch herausfinden lässt, ob die vorhandenen Sicherheits­mecha­nis­men tatsächlich in der Lage sind, einen Angriff zu erkennen und zu verhindern. Doch in den meisten Unternehmen erfolgen solche Überprüfungen in größeren zeitlichen Abständen und nicht als kontinuierlicher Prozess.

Fazit: Fortlaufende aktive Penetrationstests sollten das Rückgrat jeder Cyberresilienz-Strategie bilden. Unternehmen, die sich bloß auf herkömmliche passive Sicherheitsmaßnahmen wie Scanner und ähnliches verlassen, mögen sich zwar in Sicherheit wiegen. Doch in Wirklichkeit sind sie einem hohen Risiko ausgesetzt.

Über den Autor: Dan Bird MBE ist Field Chief Technology Officer (EMEA) bei Horizon3.ai. Er verfügt über jahrzehntelange Erfahrung aus seiner Tätigkeit beim britischen Verteidigungs­ministerium, wo er groß angelegte Technologieprogramme leitete, die nationale Krisen­be­wäl­ti­gung unterstützte und zur Förderung von Innovationen im Verteidigungsbereich beitrug.

(ID:50895044)