Security: Chefs fallen am meisten auf Phishing herein

Security: Chefs fallen am meisten auf Phishing herein
Anzeige

Beitrag teilen

Während die Entscheider und Chefs ein gehobenes Cyber-Security-Bewusstsein von den Mitarbeitern erwarten, fallen dieses am häufigsten auf Phishing herein, verwenden schlechte Passwörter oder teilen diese auch außerhalb des Unternehmens. Eine interessante Ivanti-Studie. 

Der Security-Anbieter Ivanti hat die Ergebnisse der internationalen Studie „State of Security Preparedness 2023“ veröffentlicht. Demnach sind deutsche Unternehmen nur bedingt in der Lage, Angriffe wirksam abzuwehren. Vor allem in den Bereichen Patch Management und der Absicherung gegen Angriffe über die Supply Chain gibt es größte Lücken. Für die Studie hat Ivanti weltweit 6.500 Mitarbeiter aus drei Funktionsebenen befragt, 1.050 davon aus Deutschland.

Anzeige

Entscheider zweifeln am eigenen Sicherheitskonzept

Viele deutsche Entscheider haben erhebliche Zweifel an ihren Sicherheitskonzepten. Jeder zehnte Manager ist davon überzeugt, dass sein Unternehmen einen schwerwiegenden Sicherheitsvorfall innerhalb der nächsten 12 Monate nicht verhindern oder stoppen kann. Damit sind die Bedenken bei deutschen Unternehmenslenkern so hoch wie in keinem anderen Land.

Diese Zweifel wirken sich auch auf die Unternehmensfinanzen aus: 9 von 10 Firmen haben bereits Rücklagen für Ransomware-Zahlungen und Kosten im Angriffsfall gebildet. Auch in diesem Punkt stehen deutsche Entscheider unangefochten an der Spitze der betrachteten Länder. Knapp die Hälfte des jährlichen Cyber-Budgets (49 %) fließt in solche Rücklagen, der Rest in Security-Tools und -Teams (43 %) sowie in Cyberversicherungen (6 %).

Anzeige

Cyberbewusstsein in der Führungsetage? Fehlanzeige

🔎 Hat das Cybersecurity-Team die Möglichkeit Schwachstellen nach Priorität zu patchen? (Bild: Ivanti).

Interessanterweise sind es vor allem die C-Entscheider selbst, die es an der nötigen Portion Cyberbewusstsein mangeln lassen. Im Vergleich zu ihren Mitarbeitern im Büro werden sie etwa dreimal so häufig Opfer von Phishing-Angriffen:

  • 2/3 wurden im vergangenen Jahr per Phishing attackiert
  • 1/3 hat auf Scam- und Phishing-Mails geklickt oder Zahlungen geleistet
  • 37 % haben ein Arbeitspasswort mit einer Person außerhalb des Unternehmens geteilt
  • 71 % nutzen Passwörter, die älter als ein Jahr sind
  • 1/3 verwendet für unterschiedliche Zugänge oder Geräte das gleiche Passwort

Eher irritierend wirkt vor diesem Hintergrund eine Aussage der Leitungsebene zu den Gründen für die fehlende Cyber-Exzellenz des eigenen Unternehmens. Für mehr als 1/3 von ihnen (38 %) spielt ein zu großer Verlass in die eigene Belegschaft dafür eine zentrale Rolle. Ebenfalls bemängelt 1/3 der C-Ebene, dass das Sicherheitstraining für Mitarbeiter ineffizient oder unvollständig sei.

Sorgenkind Patch Management

Insgesamt verdeutlicht die Ivanti Studie, dass deutsche Unternehmen zwar Vieles daran setzen, sich gegen Cyberangriffe zu wappnen, das Gros der Firmen kämpft aber immer noch mit einer reaktiven Checklisten-Mentalität. Am deutlichsten zeigt sich dies in den Prozessen der Security-Teams selbst, vor allem im Schwachstellen-Management. Heute gilt es, diejenigen Sicherheitslücken zu schließen, von denen ein tatsächliches Risiko für das individuelle Unternehmen ausgeht.

Doch anstatt Schwachstellen risikobasiert zu priorisieren, versuchen deutsche Security-Teams immer noch möglichst alle Schwachstellen abzuarbeiten. Zur Verdeutlichung: Zwar geben 9 von 10 Sicherheitsexperten an, dass sie über eine Methode zur Priorisierung verfügen, doch bestätigen sie auch, dass alle Arten von Schwachstellen für sie einen gleich hohen Stellenwert haben. Im Enderfolg vergeuden sie so wertvolle Zeit, die Cyber-Angreifer ausnutzen.

Ohne Patch Management keine IT-Sicherheit

🔎 Nach welchen Kriterien werden die Patches für Schwachstellen priorisiert? (Bild: Ivanti).

„Patching bleibt eine Kernaufgabe der IT-Sicherheit“, erläutert Dr. Srinivas Mukkamala, Chief Product Officer bei Ivanti. „Doch selbst personell und finanziell gut ausgestattete IT- und Sicherheitsteams haben immer wieder Probleme, die nötigen Prioritäten zu setzen. Unternehmenssicherheit ist heute ohne ein risikobasiertes Patch-Management nicht mehr denkbar. Es geht darum, ohne manuelle Eingriffe Schwachstellen zu identifizieren, zu priorisieren und zu beheben.“

Auf dem Weg zu einem risikobasierten Patch-Management sind deutsche Security-Teams punktuell schon einen erfreulichen Schritt weiter als der internationale Durchschnitt. So fokussieren sich bereits 48 % der IT-Sicherheitsteams hierzulande auf Angriffsvektoren, die aktiv ausgenutzt werden, als auf die jeweils neuesten Schwachstellen. Weltweit sind es durchschnittlich nur 31 %.

Unternehmensdaten liegen offen

Befragt nach den Top-Angriffsvektoren der letzten 2 Jahre rangiert Phishing mit weitem Abstand auf Platz 1 der Rangliste der Security-Teams (51 %). Mehr als die Hälfte der Sicherheitsspezialisten hatten in der Vergangenheit bereits Erfahrungen damit machen müssen. Mit deutlichem Abstand folgen dann Ransomware-Angriffe (22 %) oder Bedrohungen der Vertriebs- und Wertschöpfungskette (13 %). Dies ist insofern bedeutsam, da gerade Angriffe auf die Supply Chain im vergangenen Jahr weltweit deutlich zugenommen haben.

Immerhin: 41 % der Security-Spezialisten aus Deutschland wissen, dass ehemalige Mitarbeiter aber auch externe Auftragsnehmer noch Zugang zu Systemen oder Daten haben. Zum Schutz gegen Datenexfiltration über Supply-Chain-Angriffe sind deutsche Unternehmen im Ländervergleich noch recht gut aufgestellt. Mehr als die Hälfte aller IT- und Security-Teams (51 %) sind in der Lage, Drittanbietern, Beratern oder Auftragnehmern nach Beendigung einer Dienstleistung diese Berechtigungen zu entziehen. Allerdings dauert dies bei 37 % bereits 2 bis 5 Tage, was angesichts des engen Zeitfensters eines Angriffs über eine Vertriebs- oder Wertschöpfungskette eindeutig zu lang ist.

Ländervergleich: Deutschland steht gut da

Im Ländervergleich sind deutsche Security-Abteilungen noch recht gut aufgestellt, kämpfen aber mit den Versäumnissen der Vergangenheit. So besitzen sie keinen umfassenden Einblick in alle im Unternehmen verwendeten Tools und Systeme. Auch fehlen ihnen klare Methoden, um die Wirksamkeit ihrer Cyber-Programme zu messen. Hier müssen ihre Sicherheitsprozesse verbessern und über einen reaktiven Security-Ansatz hinauswachsen.

Mehr bei Ivanti.com

 


Über Ivanti

Die Stärke der Unified IT. Ivanti verbindet die IT mit dem Sicherheitsbetrieb im Unternehmen, um den digitalen Arbeitsplatz besser zu steuern und abzusichern. Auf PCs, mobilen Geräten, virtualisierten Infrastrukturen oder im Rechenzentrum identifizieren wir IT-Assets – ganz gleich, ob sie sich On-Premise oder in der Cloud verbergen. Ivanti verbessert die Bereitstellung des IT-Services und senkt Risiken im Unternehmen auf Basis von Fachwissen und automatisierten Abläufen. Durch den Einsatz moderner Technologien im Lager und über die gesamte Supply Chain hinweg hilft Ivanti dabei, die Lieferfähigkeit von Firmen zu verbessern – und das, ohne eine Änderung der Backend-Systeme.


 

Passende Artikel zum Thema

Emotet übernimmt Microsoft OneNote-Anhänge

Emotet geht wieder neue Wege und infiziert Microsoft OneNote-Dokumente. Das in Unternehmen beliebte digitale Notizbuch ist für viele Anwender somit ➡ Weiterlesen

Phishing-Attacken erreichen Allzeithoch

Mehr als 30 Prozent der Unternehmen und Privatanwender waren in jedem Quartal von 2022 mobilen Phishing-Angriffen ausgesetzt. Stark regulierte Branchen ➡ Weiterlesen

High-End-Plattformen gegen DDoS 

Radware stellt unter der Bezeichnung DefensePro X eine leistungsstarke neue Serie von sechs -Abwehrplattformen gegen Cyberangriffe und DDoS vor. Ebenfalls ➡ Weiterlesen

Kommt eine neue Ransomware-Ära?

Neueste Forschungsergebnisse zeigen, wie sich die Geschäftsmodelle der Cyberkriminellen verändern können. Trend Micro veröffentlicht eine neue Studie, die sich mit ➡ Weiterlesen

SAP-Patches schließen schwerwiegende Sicherheitslücken

An seinem Patch-Day hat SAP eine Liste mit 19 neuen Sicherheitslücken und passenden Updates veröffentlicht. Das ist auch nötig, denn ➡ Weiterlesen

Top Malware im Q1-2023: Qbot, Formbook, Emotet

Der Global Threat Index für das Frühjahr 2023 von Check Point zeigt, dass die Malwares Qbot, Formbook und Emotet am ➡ Weiterlesen

E-Mail-Kommunikation: Ende-zu-Ende verschlüsselt

E-Mails gelten als eine der wichtigsten Kommunikationsformen im geschäftlichen Umfeld. Aber nur jedes zweite Unternehmen nutzt Ende-zu-Ende-Verschlüsselungsmethoden wie PGP oder ➡ Weiterlesen

Mobile Security Report: 2 neue Malware-Apps pro Minute 

Smartphone-Besitzer mit Android sind einem hohen Cyberrisiko ausgesetzt. Mobile Security: Die Angriffe werden zwar weniger, sind aber deutlich besser ausgeführt. ➡ Weiterlesen