KPMG-Studie zur Cyber Security 2023 Security-Maßnahmen erzeugen trügerisches Sicherheitsgefühl

Anbieter zum Thema

KPMG AG Wirtschaftsprüfungsges.

Fsas Technologies GmbH

Die Cyberbedrohungslage verschärft sich, doch deutsche Unternehmen sehen sich gut gewappnet. Das zeigt die aktuelle Cyber-Security-Studie von KPMG und Lünendonk. KPMG-Partner Christian Nern erklärt, inwiefern Finanzdienstleister besser aufgestellt sind als andere Unternehmen und warum auch sie noch Nachholbedarf haben.

Unsere Umfrageergebnisse bestätigen einen Trend, den wir in der Beratungspraxis schon länger beobachten: Cyberbedrohungen nehmen zu, verstärkt durch die fortschreitende Digitalisierung, aber auch durch externe Faktoren wie die angespannte geopolitische Lage. 84 Prozent der im DACH-Raum befragten Unternehmen sehen einen leichten oder starken Anstieg der Bedrohungslage im Hinblick auf Cyberangriffe seit Anfang 2022.

Dabei spielt der Risikofaktor Mensch eine entscheidende Rolle, denn vor allem Ransomware und Phishing-E-Mails bereiten den Unternehmen Sorge. 68 Prozent der Unternehmen befürchten, in den kommenden zwei Jahren Opfer eines solchen Angriffs zu werden. 65 Prozent rechnen mit einem Angriff bedingt durch die Nutzung unautorisierter Devices. Diese Ergebnisse zeigen erneut, dass Cyber Security nicht aus einer rein technischen oder regulatorischen Perspektive betrachtet werden kann.

Eine besondere Entwicklung sehen wir außerdem bei der Angst vor DDoS-Attacken (Distributed Denial of Service) – dieser Wert stieg von 58 Prozent im Vorjahr auf 67 Prozent, unter Finanzdienstleistern stieg er sogar auf 71 Prozent. DDoS-Angriffe kommen zwar im Vergleich zu Phishing-Attacken seltener vor, dennoch ist der durch sie verursachte Schaden deutlich größer, wie einige Fälle in den letzten Jahren gezeigt haben. Bei einem DDoS-Angriff wird ein Online-Dienst mit großen Mengen an Daten geflutet und somit gestört, sodass kein Benutzerzugriff mehr möglich ist. Dabei werden in der Regel mehrere Rechner beziehungsweise IT-Systeme infiltriert und mit Malware infiziert, sodass gesamte Prozessketten lahmgelegt werden.

Unternehmen wiegen sich in falscher Sicherheit

Trotz dieser verschärften Bedrohungslage sind neun von zehn Unternehmen überzeugt, dass sie Cyberangriffe frühzeitig erkennen und abwehren können. Zahlreiche organisatorische, technologische und prozessuale Maßnahmen wie 2-Faktor-Identifizierung, Aufbau von Security Operation Centers oder die Einführung einer Cloud Security Governance erzeugen eine gefühlte und damit trügerische Sicherheit.

Doch diese Maßnahmen reichen in einer digitalisierten und global vernetzten Welt nicht mehr aus, denn Cyber-Gefahren kommen von immer mehr Seiten — von innen wie auch von außen — und die Angriffe verfolgen sehr unterschiedliche Ziele. Große Unternehmen werden immer häufiger Opfer des sogenannten Big Game Hunting, also der Erpressung umsatzstarker Unternehmen mit verschlüsselten und exfiltrierten Daten.

Nachholbedarf bei Identitätsmanagement

Da es nahezu unmöglich ist, Cyberangriffe vollkommen zu verhindern, sollten Unternehmen auf ein starkes Identity & Access Management (IAM) setzen, denn Identitäten sind derzeit aus Security-Gesichtspunkten der Schwerpunkt der Cyberangriffe. Zahlreiche Cyberattacken waren deshalb erfolgreich, weil Beschäftigte mit privilegierten Zugriffsrechten ausgespäht und durch Phishing-Kampagnen digitale Identitäten gestohlen wurden. Doch genau an dieser Stelle haben viele Unternehmen eine kritische Sicherheitslücke: Nur jedes vierte Unternehmen hat ein sogenanntes Privileged Access Management (PAM). Als Teilbereich des IAM dient es dazu, hoch privilegierte Benutzerkonten, wie beispielsweise Systemadministratoren, und die damit verbundenen Berechtigungen in IT-Systemen sicher zu organisieren und zu verwalten.

Dabei erreichen die Finanzdienstleister ein deutlich höheres Schutzniveau als die Industrieunternehmen. Das ist nicht überraschend, denn die aktuelle Regulatorik wie die BAIT, VAIT, oder ZAIT (Bankaufsichtliche, Versicherungsaufsichtliche oder Zahlungsdiensteaufsichtliche Anforderungen an die IT), die neuen Anforderungen der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sowie die letzten europäischen Rechtsakte – etwa der Digital Operational Resilience Act (DORA) und die Cyber-Security-Richtlinie Network and Information Security 2 (NIS-2) – enthalten klare Vorgaben für die Finanzbranche. Unter Finanzdienstleistern haben 38 Prozent ein PAM etabliert, während der Anteil in der Industrie bei 14 Prozent liegt. Der Lichtblick: Branchenübergreifend haben 69 Prozent der Unternehmen die Einführung eines PAM geplant oder bereits mit der Operationalisierung begonnen.

Cyber Security liegt noch zu selten in der Verantwortung des Top-Managements

Mit Blick auf die wachsende Bedrohung könnte man annehmen, dass Unternehmen die Relevanz einer umfassenden Cyber-Security-Strategie erkannt haben. Allerdings ist branchenübergreifend in jedem vierten Unternehmen ausschließlich die IT-Abteilung für die Entwicklung einer Cyber-Security-Strategie zuständig. Das Top-Management wird nur in 14 Prozent der Unternehmen eingebunden.

Auch die Umsetzung der Cyber-Security-Strategie erfolgt häufig isoliert: In 36 Prozent der Unternehmen sind die einzelnen Unternehmensbereiche für die Umsetzung der Strategie verantwortlich. Dabei kann eine Cyber-Security-Strategie für das gesamte Unternehmen nur dann volle Wirkung entfalten, wenn sie auch im gesamten Unternehmen operationalisiert und gelebt wird.

End-to-End-Ansätze und zentrale Monitorings fehlen häufig noch

Einen konsequenten End-to-End-Ansatz zur Umsetzung der Cyber-Security-Strategie verfolgen 32 Prozent der befragten Unternehmen, wobei die Finanzbranche erneut mit einem besonders hohen Anteil von rund 42 Prozent hervorsticht. Auch hier ist der Vorsprung gegenüber anderen Branchen eine unmittelbare Folge der strengen regulatorischen Anforderungen an die IT-Sicherheit im Sinne der BAIT und der VAIT.

Dieses Muster zeigt sich auch beim Monitoring: Nur 36 Prozent der Unternehmen haben ein zentrales Security Monitoring etabliert. In der Finanzbranche liegt der Wert mit 38 Prozent etwas höher, doch noch immer weit vom Optimum entfernt. Denn künftig sollten alle Systeme und Applikationen im Unternehmen in die Log-Management-Infrastruktur eingebunden werden. Das heißt unter anderem, dass Informationen an zentraler Stelle gesammelt und nach Use Cases ausgewertet werden.

Um der wachsenden Bedrohung und der zunehmenden strategischen Relevanz von Cyber Security gerecht zu werden, sollte die IT-Sicherheit in allen Unternehmen Priorität genießen und auf Führungsebene verankert sein. Cyber Security muss künftig im Top-Management die gleiche Aufmerksamkeit erhalten wie wirtschaftliche Kennzahlen – und darf nicht erst ins Blickfeld rücken, wenn ein Angriff passiert ist.

Unternehmen investieren weiter in Cyber Security und setzen neue Schwerpunkte

Branchenübergreifend wollen die befragten Unternehmen ihre Investitionsschwerpunkte von 2022 auch in den nächsten zwei Jahren fortsetzen. Gleichzeitig planen sie insbesondere in den Bereichen Cloud Security, Vulnerability Management und Kl-gestützte Cyber-Abwehr, ihre Investitionen zu intensivieren.

Die Finanzdienstleister legen dabei besonderen Wert auf Cloud Security — was in engem Zusammenhang mit den strengen regulatorischen Anforderungen an die Cloud-Nutzung steht. 86 Prozent wollen 2023 und 2024 einen Investitionsschwerpunkt auf Cloud Security legen (2022: 65 Prozent).

Insgesamt zeigen unsere Studienergebnisse, dass Banken, Versicherer und Asset Manager bei Cyber Security oftmals Vorreiter sind – nicht selten angetrieben durch die hohen regulatorischen Anforderungen der Branche. Um der wachsenden Bedrohung entgegenzutreten, sind auch bei ihnen weitere Investitionen dringend notwendig und geplant.

Über die Studie

Gemeinsam mit Lünendonk & Hossenfelder hat KPMG 100 Verantwortliche für IT-Security mittelständischer sowie großer Unternehmen in den Branchen Financial Services, Automotive, Industrie, Pharma, Energie, FMCG, Retail und Telekommunikation aus der DACH-Region befragt. Die Befragung fand im Januar und Februar 2023 statt. Die gesamte Studie können steht bei KPMG zum Download zur Verfügung.

Über den Autor: Christian Nern hat vor seiner Tätigkeit bei KPMG in verschiedenen Führungs- und General-Management-Positionen von Software-Herstellern, meist mit internationaler Verantwortung in der IT, Cloud und IT-Security gearbeitet. Heute berät er zusammen mit seinem Team Bank- und Versicherungskunden zu technischen und regulatorischen IT-Security-Themen.

(ID:49668803)