Die Cybersicherheit von Deutschlands Top 100 Unternehmen Risiken in der Lieferkette im digitalen Ökosystem

Anbieter zum Thema

Fsas Technologies GmbH

Die Vernetzung der digitalen Welt bietet beispiellosen Komfort, aber Faktoren wie eine wachsende Angriffsfläche, “remote-work” und Schwachstellen in der Lieferkette tragen zu einem zunehmend gefährlichen Ökosystem bei - wobei Angreifer sich der organisatorischen Schwachstellen bewusst sind.

Die jüngste Vergangenheit hat gezeigt, dass eine große Anzahl von Sicherheitsverletzungen bei “third-parties” und in der Lieferkette auf eine einzige Sicherheitslücke zurückzuführen ist. Unser aktueller Global Third-Party Cyber Breach Report zeigt, dass die Ransomware-Gruppe C10p (auch bekannt als FIN11, TA505, Graceful Spider, Gold Tahoe, SectorJ04, Hive0065 und G0092) weltweit für einen beträchtlichen Teil der Sicherheitsverletzungen bei Dritten verantwortlich ist. Dies ist vor allem darauf zurückzuführen, dass C10P eine Zero-Day-Schwachstelle in der Datei­übertragungs­software MOVEit in großem Umfang ausnutzte, was im Jahr 2023 zu einer besonders großen Zahl von Sicherheitsverletzungen durch Dritte führte.

Kritische Sicherheitslücke durch Backdoor in xz-Tools und -Bibliotheken

SSH auf Linux-Servern angreifbar! Bösartiger Code enthalten

Deutschlands Top 100 Unternehmen

Unser Bericht ergab auch, dass 75 Prozent der Sicherheitsverletzungen durch Dritte die Software- und Technologie-Lieferkette betrafen. Wir haben uns genauer angesehen, wie sich die Sicherheitsverletzungen durch Dritte je nach Land unterscheiden, und die Cybersicherheit der 100 größten deutschen Unternehmen nach Marktkapitalisierung untersucht. Unsere Analyse ergab, dass 34 Prozent dieser Unternehmen eine schwache oder niedrige Cybersicherheitsbewertung aufweisen (mit einem "C" Rating oder darunter) und fast 10 Prozent im letzten Jahr einen direkten Sicherheitsverstoß erlitten haben. Eine weitere Analyse ergab, dass 21 Prozent der deutschen Top-Unternehmen hervorragende Cybersicherheitspraktiken aufweisen (A) und 44 Prozent mit B bewertet werden.

Untersucht man vergleichbare Daten von Spitzenunternehmen in den Nachbarländern Italien, Frankreich und Großbritannien, so zeigt sich, dass die Unternehmen im Vereinigten Königreich im Vergleich zu ihren französischen, italienischen und deutschen Pendants mit 40 Prozent, 41 Prozent bzw. 34 Prozent, die eine C-Note oder schlechter haben, insgesamt die beste Cybersicherheit aufweisen (24 Prozent mit einer C oder schlechter).

Vielleicht kontraintuitiv fanden wir auch heraus, dass die 25 größten Unternehmen nach Marktkapitalisierung die niedrigsten Bewertungen haben (44 Prozent mit einer C oder schlechter), während die 25 kleinsten Unternehmen nur zu 28 Prozent mit einer C oder schlechter bewertet wurden. Dies zeigt, dass jedes Unternehmen - unabhängig von Größe, Branche, Umsatz oder Marktkapitalisierung - ein Ziel für Cyber-Kriminelle sein kann, wenn es nicht über eine starke Cyber-Abwehr verfügt.

Drittanbieterverletzungen nach Branche

Unsere Analyse ergab auch, dass deutsche Unternehmen im Kommunikationssektor die niedrigsten Sicherheitsbewertungen haben, 57 Prozent erhielten ein C oder schlechter. Dagegen haben Unternehmen im Versorgungssektor die höchsten Sicherheitsbewertungen mit nur 17 Prozent, die ein C oder schlechter erhalten.

Telekommunikationsunternehmen, Internet Service Provider und Cloud-Anbieter sind auf umfangreiche Netzwerke von Drittanbietern, Partnern und Dienstleistern angewiesen, was bedeutet, dass sie ein höheres Risiko für Dritte tragen, weil sie mehr Drittanbieter in Ihrem Ökosystem haben.

Security-Insider Podcast – Folge 83

Den Angreifern auf den Fersen

Cyberrisiko in der erweiterten Lieferkette

Auch wenn es sicherlich wichtig ist, sich auf das Risiko von Drittanbietern zu konzentrieren, so erhöhen auch Anbieter von Drittanbietern das Risiko eines Unternehmens und benötigen ebenfalls eine genauere Untersuchung. Unsere Forscher fanden heraus, dass 94 Prozent der 100 größten deutschen Unternehmen eine Sicherheitslücke in ihrem Drittanbieter-Ökosystem haben. Darüber hinaus haben 95 Prozent der 100 größten deutschen Unternehmen eine Sicherheitslücke in ihrem Fourth-Party-Ökosystem. Diese Bedrohung macht deutlich, wie wichtig es ist, die Sicherheitslage aller N-ten Parteien im digitalen Ökosystem eines Unternehmens zu identifizieren und zu bewerten.

Ein Anbieter, bei dem eine dritte oder vierte Partei kompromittiert wurde, könnte auf einen Schlag eine große Anzahl seiner Kunden oder sogar die Kunden seiner Kunden in Mitleidenschaft ziehen. MOVEit wurde im Frühjahr 2023 entdeckt, und die Unternehmen haben immer noch mit den Folgen der Sicherheitslücke zu kämpfen, deren Kosten auf mindestens 65 Milliarden US-Dollar geschätzt werden.

Empfehlungen von SecurityScorecard

Um das Risiko zu mindern und die Cybersicherheit Ihres Unternehmens zu verbessern sollten Unternehmen diesen Empfehlungen folgen.

Alle Unternehmen sollten die Verbesserung der Anwendungs- und Netzwerksicherheit priorisieren.

Unternehmen mit hohem Risiko: Die 34 Prozent der Unternehmen mit Cybersicherheitsbewertungen von C oder darunter erfordern eine dringendere Aufmerksamkeit und sollten besonderen Wert auf folgende Punkte legen:

• DNS-Gesundheit: Stellen Sie die Gesundheit und Integrität Ihrer Domain Name System (DNS)-Konfigurationen sicher.

• Endpunktsicherheit: Stärken Sie die Sicherheit aller Endpunkte, einschließlich Laptops, Desktops, mobiler Geräte und BYOD-Geräte.

• Patch-Frequenz: Legen Sie eine konsistente und rechtzeitige Patch-Frequenz für Ihre Systeme, Software und Hardware fest.

Über den Autor: Thomas de Raaf ist Senior Field Sales Manager DACH bei SecurityScorecard.

(ID:49981614)