Die meisten deutschen Unternehmen machen sich nicht viele Gedanken um das Thema Sicherheit. Das haben zwei neue Studien zu diesem Thema in den vergangenen Monaten bestätigt: die E-Crime-Studie 2015 der Beratungsfirma KPMG und die Studie zu digitalen Angriffen von Bitcom, dem Verband der deutschen Digital-Wirtschaft. Laut dieser Studien ist mittlerweile rund die Hälfte der deutschen Unternehmen von Cyber-Kriminalität betroffen. Doch die Gefahren werden nach wie vor unterschätzt. Das liegt oftmals daran, dass das Unternehmen noch nicht konkret angriffen wurde oder sich dessen zumindest (noch) nicht bewusst ist.
Ist ein Unternehmen erstmal in das Visier eines Hackers geraten, findet dieser im Prinzip überall Schwachpunkte im System. Bei Webseiten gestaltet sich die Identifizierung solcher Schwachpunkte nicht sonderlich kompliziert. Insbesondere Webinhalte, die es Besuchern erlauben zu interagieren, sind ein willkommenes Ziel von Hackern. Oftmals werden Webseiten aber auch relativ ziellos angegriffen, frei nach dem Motto: Einfach drauflos, irgendwo wird das System schon in die Knie gehen. Der Angriff von Webseiten mittels sogenannter DoS-Attacken zählt dabei noch zu den leichtesten Übungen. Ziel einer DoS-Attacke ist es, den Server zum Absturz zu bringen, indem die Seite über einen kurzen Zeitraum tausendfach aufgerufen wird. Solche Attacken sind auch entsprechend leichter zu identifizieren und abzuwehren.
Webseiten von Unternehmen aus dem Bereich Medien stellen ein besonders begehrtes Ziel für Hacker dar. Kein Wunder – erreichen sie doch mit ihrem Content zahlreiche Leser. Entsprechend hoch können auch die Folgeschäden sein, wenn eine solche Seite angriffen wird und dort falsche Informationen platziert werden. Oftmals sehen sich Medienunternehmen in der Folge mit hohen Schadenersatzforderungen konfrontiert.
Doch obwohl das Thema IT-Sicherheit durch die mediale Berichterstattung vermehrt in das Bewusstsein der Leute dringt, gehen viele Unternehmen heute noch leichtfertig mit dieser virtuellen Gefahr um. Das Risiko im Bereich IT wird generell als nicht so hoch eingeschätzt. Dies liegt einerseits am fehlenden technischen Know-how, andererseits an der Tatsache, dass diese Gefahr nur schwer greifbar ist. Doch wird sie konkret, dann ist es meist leider schon zu spät. Direkte finanzielle Verluste durch die temporäre Nicht-Verfügbarkeit von Diensten oder den Stillstand der Produktion sind oft nur das kleinere Problem. Fällt ein System in Folge einer Attacke aus oder werden unternehmenskritische Daten ausgespäht, folgen zudem hohe Kosten und Reputationsschäden. Allein im Jahr 2013 verursachte Internetkriminalität in Deutschland Kosten in Höhe von ungefähr 42,6 Millionen Euro [Link]. Auch die Folgewirkungen, die durch Imageschaden und Vertrauensverlust entstehen, können enorm sein.
Natürlich nutzen nicht alle Hacker ihr Wissen und Können, um vorsätzlich anderen zu Schaden. Viele Hacker sind mittlerweile auch im Netz unterwegs, um Schwachstellen zu identifizieren und darauf aufmerksam zu machen. Doch das Gros der Hacker ist sich der Tatsache bewusst, dass sich mit dem Missbrauch solcher Schwachstellen viel Geld verdienen lässt – und das meist ohne großes Risiko. Die Hemmschwelle ist entsprechend niedrig, die zu erwartenden Konsequenzen je nach Land auch sehr gering. Laut „Hackmageddon“ werden Cyber-Angriffe vor allem aus kriminellen Gründen ausgeführt (62,3 %). Dicht gefolgt von Hacktivism, dem Hacken als Protestmittel zur Erreichung politischer Ziele (24,9 %), und der Spionage (10,2 %).
Doch wie kann man sich schützen? Firewall- und Anti-Viren-Programme schützen grundsätzlich bzw. erschweren zumindest den Zugriff auf das System, müssen dafür aber auch immer auf dem neuesten Stand sein. „Darüber hinaus sollten Unternehmen unbedingt auch auf kontrollierte Angriffe setzen. Dabei werden von IT-Sicherheitsdienstleistern sogenannte Penetrationstest durchgeführt, um Schwachstellen im System aufzudecken. Diese Schwachstellen können in der Folge dann besser geschützt werden“, erläutert Daniel Persch, IT-Security Architekt bei der QGroup GmbH. Auch die QGroup bietet solche Pentrationstests zur Analyse von Schwachstellen in bestehenden IT-Systemen an und hält anschließend eine Handlungsempfehlung bereit. Nach Reporting und Ergebnispräsentation werden Unternehmen nicht nur eingehend beraten, neben den hauseigenen IT-Security Lösungen stehen ihnen auch Sicherheitsprodukte anderer Hersteller zur Verfügung. Zusätzlich besteht auch die Möglichkeit, Mitarbeiter in Workshops zum Thema IT-Sicherheit schulen zu lassen.
