Jedes dritte deutsche Unternehmen ist bereits mehrfach Cyberangriffen zum Opfer gefallen

64 Prozent dieser Unternehmen schätzen ihr Risiko, erneut Opfer eines Cyberangriffs zu werden, darüber hinaus als hoch ein. 

Köln, 15. Mai 2023 – Cyberkriminalität ist ein hoch professionalisiertes und effizientes Geschäftsmodell, das in Höchstgeschwindigkeit neue Innovationen hervorbringt. Geopolitische Konflikte, der Aufstieg neuer Technologien, Digitalisierung und Vernetzung sowie gesellschaftliche Veränderungen haben zu einer massiv vergrößerten Angriffsfläche für Cyberkriminelle geführt. Das bestätigen auch IT-Sicherheitsverantwortliche in deutschen Unternehmen: Die meisten von ihnen stimmten zu, dass insbesondere die geopolitische Lage (78 %), hybrides Arbeiten (78 %), sowie Künstliche Intelligenz (72 %) die Cyberbedrohungslage verschlechtert. So ist in den vergangenen drei Jahren jedes zweite deutsche Unternehmen (58 %) Opfer einer Cyberattacke geworden, davon ein Drittel sogar mehr als einmal (33 %). 64 Prozent dieser Unternehmen schätzen ihr Risiko, erneut Opfer eines Cyberangriffs zu werden, darüber hinaus als hoch ein. Dies zeigen neue Studienergebnisse, die SoSafe, Europas führende Plattform für Security Awareness und Training, heute im neuen Human Risk Review 2023 vorstellt. Die Studie gibt einen Überblick über die aktuelle Cyberbedrohungslage und die Sicherheitskultur in Unternehmen basierend auf Antworten von über 1.000 IT-Sicherheitsverantwortlichen in Europa, mehreren Experteninterviews sowie mehr als 8,4 Millionen Datenpunkten aus der SoSafe-Awareness-Plattform.  

„Unsere Gesellschaft hat im vergangenen Jahr eine Vielzahl von Krisen und Konflikten erlebt. Die dadurch entstandene anhaltende Verunsicherung sowie Angst und Stress spielen Cyberkriminellen in die Hände, die dies für neue Social-Engineering-Angriffe instrumentalisieren. Cyberkriminalität ist heute ein hoch professionalisiertes Geschäftsmodell, das umfassende Mittel in ‚Research & Development‘ investieren kann. Taktiken und Strategien werden im Minutentakt angepasst, um diese neuen Erkenntnisse für profitable Cyberangriffe zu nutzen“, sagt Dr. Niklas Hellemann, CEO und Gründer von SoSafe. 

Phishing bleibt ein Dauerbrenner – mit neuen Innovationen der emotionalen Manipulation  

76 Prozent der Befragten gaben an, dass sie Phishing sowie die emotionale Manipulation von Menschen als Sicherheitsrisiko sehen. Phishing ist auch die Angriffsmethode, von der mit 42 Prozent die meisten der befragten Unternehmen betroffen waren. Eigene Daten der SoSafe-Plattform zeigen, dass jede dritte Person (31 %) auf schädliche Links oder Anhänge in Phishing-Mails klickt. Betreffzeilen wie „Beschädigtes Fahrzeug“ und „Einladung zu Teams“ verleiteten am meisten zum Öffnen, Klicken oder sogar zur Eingabe von persönlichen Informationen auf einer weiterführenden Webseite. Mitarbeitende scheinen dabei gerade für Social-Engineering-Taktiken empfänglich zu sein, die starke Emotionen auslösen – wie Druck (24 %), Autorität (28 %) oder finanzielle Apelle (18 %). Laut Daten der SoSafe-Plattform führt diese Art der emotionalen Manipulation tendenziell zu höheren Klickraten in Phishing-E-Mails als im Jahr davor (2021: Druck, 24 %, Autorität, 24 %, finanzielle Apelle, 17 %). 

„Phishing bleibt die meist verwendete und auch erfolgreichste Angriffsstrategie auf den Faktor Mensch. Immer noch klickt jede dritte Person auf schädliche Inhalte in Phishing-Mails. Das liegt vor allem daran, dass Cyberkriminelle zahlreiche Möglichkeiten für stark personalisierte Phishing-Angriffe haben, auf die durchschnittliche Nutzerinnen und Nutzer nicht vorbereitet sind – sie verwenden persönliche Informationen aus sozialen Medien, instrumentalisieren geopolitische Geschehnisse, die meist starke Emotionen triggern oder verwenden künstliche Intelligenz, um Bilder, Videos oder Stimmen zu imitieren. Und das ist die neue Norm – Cyberkriminelle werden konstant neue, kreative Angriffsstrategien entwickeln“, so Hellemann. 

Deutsche Unternehmen zahlen häufiger Lösegeld als andere europäische Firmen 

Ebenfalls erfolgreiche Angriffsmethoden waren Malware (39 %) und Ransomware (32 %). Fast 45 Prozent der deutschen Unternehmen haben dabei bereits Lösegeld an Cyberkriminelle gezahlt. Im europäischen Vergleich zahlen Unternehmen in Deutschland damit häufiger als in Frankreich (30 %) und im Vereinigten Königreich (38 %). Mehr Lösegeldzahlungen tätigen dafür die niederländischen Nachbarn (46 %). Auch Supply-Chain-Angriffe werden von IT-Sicherheitsbeauftragten als Gefahr eingeschätzt: 74 Prozent der Befragten gaben an, dass sie Supply-Chain-Angriffe als Sicherheitsrisiko sehen. Die Organisationen von 15 Prozent der Befragten wurden bereits Opfer eines Supply-Chain-Angriffs. 80 Prozent stimmten daher zu, dass ihre eigene Sicherheit von den Sicherheitsstandards ihrer Partner abhängig ist. 

Drei von vier Unternehmen geben an, ein hohes Sicherheitsbewusstsein zu haben 

Der Fokus auf die Stärkung des Sicherheitsbewusstsein zeigt sich schon in den Investitionsplänen der Unternehmen: 58 Prozent der bereits angegriffenen Unternehmen schätzen, dass sich die Investitionen in Security-Awareness-Maßnahmen in den nächsten eineinhalb Jahren erhöhen werden. Während 75 Prozent – und damit drei von vier Unternehmen – angeben, ein hohes Sicherheitsbewusstsein zu haben, ist für 93 Prozent das Schaffen einer Sicherheitskultur Priorität. Auch der Fokus des Top-Managements auf IT-Sicherheit ist bei mehr als der Hälfte der Unternehmen gestiegen (55 %). „Es ist eine erfreuliche Entwicklung, dass sich Unternehmen bewusst sind, dass sie in den Faktor Mensch in der Informationssicherheit investieren müssen – und dass das auch im Top-Management angekommen ist. Unsere tatsächlichen Verhaltensdaten zeigen jedoch, dass wir immer noch einen langen Weg vor uns haben – immer noch klicken rund 31 Prozent auf Phishing-Mails, 52 Prozent geben darüber hinaus sogar weitere sensible Daten preis. Wir sehen hier eine Lücke, die wir füllen müssen: Mitarbeitende verstehen die Wichtigkeit des Themas besser, brauchen aber noch Unterstützung, um sicheres Verhalten nachhaltig zu verinnerlichen. Das ist unsere Mission: Digitale Selbstverteidigung nachhaltig stärken – und Cyberkriminalität gemeinsam bekämpfen“, so Hellemann.   

Weitere Informationen finden Sie im Human Risk Review 2023. 

Methodik: 

Der Human Risk Review umfasst Daten aus einer Umfrage, die in Zusammenarbeit mit Censuswide, einem internationalen Marktforschungsinstitut durchgeführt wurde. Mehr als 1.000 Sicherheitsverantwortliche aus sechs europäischen Ländern (Deutschland, Großbritannien, Österreich, Schweiz, den Niederlanden und Frankreich) wurden im Februar 2023 interviewt. Darüber hinaus wurden exklusive Daten aus der SoSafe Awareness-Plattform anonym ausgewertet: Es wurden mehr als 8,4 Millionen simulierte Phishing-Angriffe von 3.000 Kundenorganisationen aus dem Jahr 2022 analysiert. Außerdem wurde auf Daten von dem jährlich durch SoSafe und Botfrei durchgeführten Phish-Test zurückgegriffen. 2022 wurden über 9.000 simulierte Phishing-Mails an registrierte User verschickt, die in der Simulation als mittelschwer eingestuft wurden und vom User erkannt werden mussten. Zuletzt wurden die Ergebnisse mit 9 Expertinnen und Experten diskutiert, darunter Thomas Tschersich (CISO der Deutschen Telekom AG), Dr. Katrin Suder (Strategieexpertin Digitale Technologien, Wirtschaft & Politik), Tobias Ludwichowski (CISO Signal Iduna), Dr. Stefan Lüders (CSO CERN), Jens Becker (CIO Zurich Gruppe Deutschland) und Thomas Schumacher (Managing Director Accenture Security DACH). 

_______________ 

Über SoSafe 

SoSafe unterstützt Organisationen mit seiner DSGVO-konformen Awareness-Plattform dabei, ihre Sicherheitskultur aufzubauen und Risiken zu minimieren. 2018 von Dr. Niklas Hellemann, Lukas Schaefer und Felix Schürholz gegründet, hat SoSafe heute mehr als 3.000 Kunden weltweit und ist einer der führenden Anbieter für Security Awareness und Training in Europa. Mit verhaltenspsychologischen Elementen und smarten Algorithmen ermöglicht SoSafe personalisierte Lernerfahrungen und Angriffssimulationen, die Mitarbeitende dazu motivieren und ausbilden, sich aktiv vor Online-Bedrohungen zu schützen. Das Team von SoSafe besteht inzwischen aus mehr als 370 Mitarbeitenden an fünf Standorten: Köln (Headquarter), Amsterdam, Berlin, London und Paris. 

Website: https://sosafe-awareness.com/de/  

LinkedIn: www.linkedin.com/company/sosafe-cyber-security/mycompany/