Mimecast-Report „State of E-Mail Security 2023” Cyber-Risiken rücken in den Fokus der Chefetage

Auch wenn die Bedrohung und die wirtschaftlichen Schäden durch Phishing, Ransomware und Spoofing weltweit stetig zunehmen, gibt es einen Silberstreif am Horizont: Das Bewusstsein für Cyber-Risiken als ernstzunehmende Geschäftsrisiken ist endlich bis in die Vorstandsebene vorgedrungen. Das zeigen die Ergebnisse des siebten jährlichen Lageberichts zur globalen E-Mail-Sicherheit von Mimecast.

Da Unternehmen weltweit angesichts der zunehmenden wirtschaftlichen Volatilität und der sich verschärfenden geopolitischen Spannungen immer nervöser werden, hat sich in allen Geschäftsbereichen ein konservativerer Ansatz durchgesetzt. Mittlerweile zeigen Unternehmen eine immer größere Bereitschaft, sich Cyber-Bedrohungen zu stellen – ein Trend, der sich nicht nur in Mimecasts aktuellem „State of Email Security 2023“ (SOES) Report, sondern auch in Studien und Umfragen von u.a. Deloitte, Forbes und der Allianz abzeichnet.

State of Email Security 2023 – die wichtigsten Ergebnisse

Um gleich mit der Tür ins Haus zu fallen: Die E-Mail ist und bleibt das wichtigste Kommunikationsmittel – und damit auch der größte Angriffsvektor für Cyberkriminelle. In 8 von 10 befragten Unternehmen nahm die E-Mail-Nutzung im vergangenen Jahr weiter zu. 3 von 4 Unternehmen stellten in diesem Zuge auch eine Zunahme von E-Mail-basierten Bedrohungen fest. 97 Prozent wurden 2022 Ziel von Phishing-Attacken per E-Mail.

Gleichzeitig empfindet über die Hälfte (59 Prozent) der Umfrageteilnehmer die Cyberangriffe als immer raffinierter. Im vergangenen Jahr wurden zwei Drittel der befragten Unternehmen durch einen Ransomware-Angriff geschädigt. Und auch Collaboration-Tools haben sich zu einem lukrativen Einfallstor für Kriminelle entwickelt. 72 Prozent der Befragten rechnen mit Schäden durch einen Angriff über eine Collaboration-Plattform in den kommenden Monaten.

Fehlendes Budget bleibt im Kampf gegen die Cyberkriminalität das größte Problem der Unternehmen. 2 von 3 der befragten Sicherheitsverantwortlichen gaben an, dass ihre Unternehmensleitung mehr finanzielle Mittel für Cybersecurity-Zwecke freigeben müsse, um gut für die Zukunft gerüstet zu sein. Immerhin hat mit 98 Prozent der Großteil der Unternehmen ein System zur Überwachung und zum Schutz vor E-Mail-Bedrohungen implementiert oder plant die Einführung eines solchen Systems aktiv. Außerdem nutzen oder planen bereits 92 Prozent den Einsatz von KI und maschinellem Lernen, um ihre Cybersicherheit zu verbessern. Und auch den Wert von Awareness Training wissen die Unternehmen großflächig zu schätzen: 99 Prozent der Befragten bieten ihren Mitarbeitenden Cyber-Sensibilisierungsschulungen in irgendeiner Form an.

Das tückische Trio: Phishing, Ransomware und Spoofing

Cybersecurity-Verantwortliche sind mit vielen verschiedenen E-Mail-basierten Bedrohungen konfrontiert, die drei häufigsten sind jedoch Phishing, Ransomware und Spoofing. Insgesamt haben 84 Prozent der Sicherheitsentscheider in den letzten 12 Monaten eine Zunahme von mindestens einer Art dieser Angriffe festgestellt, von denen Phishing am weitesten verbreitet ist: 90 Prozent der Sicherheitsverletzungen in Unternehmen sind auf Phishing zurückzuführen.

Ransomware schädigt vermehrt KMUs

Auch Ransomware hält die Geschäftswelt weiterhin in Atem. Zwei Drittel der diesjährigen SOES-Befragten (66 Prozent) gaben an, Opfer von Ransomware geworden zu sein. In diesem Fall waren jedoch kleinere Unternehmen stärker betroffen. Bei den Unternehmen mit 250 bis 500 Mitarbeitenden gaben sieben von zehn Befragten (70 Prozent) an, dass ein Ransomware-Angriff ihr Geschäft geschädigt habe, bei Unternehmen mit 1.000 bis 5.000 Angestellten sogar 73 Prozent. Von den Großunternehmen mit 10.000 oder mehr Mitarbeitenden wurde weniger als die Hälfte (46 Prozent) durch Ransomware geschädigt.

E-Mail- und Web-Domain-Spoofing: besondere Gefahr für öffentliche Einrichtungen

E-Mail-Spoofing bleibt ebenso ein ernstes Risiko für Unternehmen und Organisationen, insbesondere für den öffentlichen Sektor. Fast alle SOES-Befragten (91 Prozent) waren sich der Versuche bewusst, ihre E-Mail-Domäne zu missbrauchen, und fast die Hälfte (44 Prozent) stellte eine Zunahme dieser Art von Aktivitäten im vergangenen Jahr fest. Der Anstieg war bei Regierungsbehörden und anderen öffentlichen Einrichtungen mit 54 Prozent sogar noch ausgeprägter.

Auch das Spoofing von Web-Domains ist weit verbreitet, wobei Unternehmen wiederholt Versuche aufdeckten, ihre Websites zu klonen. Im Durchschnitt stellten die Unternehmen im vergangenen Jahr 10 solcher Versuche fest.

Collaboration-Tools: zusätzlicher Schutz nötig

Auch wenn fast alle SOES-Teilnehmer bestätigen, dass Collaboration-Tools für eine reibungslose Zusammenarbeit unerlässlich sind, empfinden es 67 Prozent der Befragten als eine große Herausforderung, mit der Anzahl der in ihrem Unternehmen verwendeten Collaboration-Tools Schritt zu halten. Mehr als die Hälfte (55 Prozent) beklagt außerdem, dass Mitarbeitende regelmäßig neue Tools herunterladen und verwenden, die nicht von der IT-Abteilung geprüft oder genehmigt wurden. Dabei werden Collaboration-Plattformen zu einem immer beliebteren Ziel von Cyberkriminellen. Mehr als ein Drittel (38 Prozent) der Befragten musste bereits einen Anstieg der Angriffe durch solche Tools feststellen. 72 Prozent halten es für wahrscheinlich, sehr wahrscheinlich oder sogar unvermeidlich, dass ihr Unternehmen im Jahr 2023 von einem auf Collaboration-Tools basierenden Angriff negativ betroffen sein wird.

Cyber-Versicherungen spalten das Meinungsbild

Ein Thema, bei dem die SOES-Teilnehmer sehr geteilter Meinung sind, sind Cyber-Versicherungen und die damit einhergehende Frage, ob solche Policen als Ersatz bzw. Ergänzung für die Entwicklung eines umfassenden Cyber-Vorsorgeprogramms dienen können. Viele Unternehmen sind skeptisch, was ihren Wert angeht (50 Prozent), aber fast ebenso viele (48 Prozent) sehen sie als sinnvolle Ergänzung ihres Sicherheitsnetzes.

Bewusstsein für Cyberbedrohungen in der C-Suite steigt – Budget-Neuverteilung lässt jedoch auf sich warten

CISOs haben einen mächtigen neuen Verbündeten in ihren Bemühungen, die digitale Verteidigung ihrer Unternehmen zu stärken: den Unternehmensvorstand. Da sich die Cyber-Risiken vervielfacht haben sind Vorstände sehr viel aufmerksamer gegenüber den Bedrohungen des Cyberspace geworden und zeigen eine neue Bereitschaft, sich ihnen zu stellen.

Leider hat dies noch nicht zu Budgets für die Cybersicherheit geführt, die mit der steigenden Bedrohungslage Schritt halten können. Zwei Drittel (66 Prozent) der Befragten aus dem Jahr 2023 gaben an, dass das Cybersicherheitsbudget ihrer Organisation geringer ist als es sein sollte. Hier hat sich im Vergleich zum Vorjahresbericht wenig getan. Immerhin wächst bei den CISOs das Gefühl, dass Anträge auf mehr Finanzmittel positiver aufgenommen werden als früher. Und auch die Größe der Cybersicherheitsteams der meisten Unternehmen scheint zuzunehmen.

Verringerung des Cyber-Risikos mit Technologie der nächsten Generation sowie durch Mitarbeiter-Sensibilisierung

Künstliche Intelligenz und maschinelles Lernen kann IT-Teams entlasten, indem sie u.a. kontinuierliche Aufgaben wie Bedrohungs-Monitoring und Datenbank-Updates automatisiert. Fast die Hälfte der befragten Unternehmen (49 Prozent) setzt bereits eine Kombination dieser Technologien ein – im Vergleich zu 46 Prozent im letzten Jahr und 38 Prozent im Jahr davor. Die Unternehmen, die derzeit KI/ML einsetzen, sehen die genauere Erkennung von Bedrohungen (50 Prozent), die verbesserte Fähigkeit zur Abwehr von Bedrohungen (49 Prozent) und die schnellere Behebung von Angriffen (48 Prozent) als die drei größten Vorteile an. Die meisten SOES-Teilnehmer (81 Prozent) sind sich einig, dass KI-Systeme, die den Nutzern von E-Mail und Collaboration-Tools kontextbezogene Warnungen in Echtzeit liefern, eine große Bereicherung für ihr Unternehmen wären.

Trotz allen technologischen Fortschritts sind immer noch über 95 Prozent aller Datenschutzverletzungen auf menschliche Fehler zurückzuführen. Fast die Hälfte der SOES-Befragten (48 Prozent) gab an, dass ein unzureichendes Bewusstsein der Mitarbeitenden für Cyberrisiken die größte Sicherheitsherausforderung ihres Unternehmens sein würde. Der wichtigste Schritt, den jedes Unternehmen zur Verbesserung seiner Cybersicherheit unternehmen kann, ist deshalb die aktive Förderung einer Kultur des Cyber-Bewusstseins. Das effektivste Mittel ist hier verpflichtendes Awareness-Training für alle Mitarbeitenden.

Fazit

Die E-Mail bleibt das wichtigste Kommunikationsmittel der Geschäftswelt, doch sie ist auch der größte Angriffsvektor für Cyberkriminelle. Zudem werden die Cyberangriffe immer raffinierter. Ransomware-Angriffe haben zwei Drittel der Unternehmen im letzten Jahr geschädigt, und Collaboration-Tools sind ein lukratives Einfallstor für Kriminelle. Viele Unternehmen haben bereits effektive Sicherheitssysteme zur Überwachung und zum Schutz vor E-Mail-Bedrohungen implementiert oder planen deren Einführung aktiv. Zudem setzen sie auf KI, maschinelles Lernen und Awareness Training, um ihre Cybersicherheit zu verbessern. Das fehlende Budget bleibt das größte Problem im Kampf gegen Cyberkriminalität, doch das Bewusstsein für Cyber-Bedrohungen als imminentes Geschäftsrisiko ist endlich bis in die Vorstandsebene vorgedrungen. CISOs sollten diese Aufmerksamkeit bestmöglich nutzen, um für mehr finanzielle und personelle Ressourcen im Kampf gegen die Cyberkriminalität zu werben.

Über die Autorin: Marina Kienzler ist seit der Gründung des Deutschland-Standorts von Mimecast im Jahr 2018 Teil des Teams und betreut derzeit als Senior Sales Manager das SMB- und Commercial-Geschäft sowie den Ausbau der Bestandskunden. Mit ihrem Team und externen Partnern hilft sie Unternehmen in DACH, den Schutz ihrer Daten, ihrer Kommunikation und ihrer Mitarbeitenden sicherzustellen.

(ID:49775058)