Ungeschulte Mitarbeiter stellen die IT-Sicherheit im deutschen Mittelstand immer wieder auf die Probe. Eine G DATA Umfrage beleuchtet die Probleme und zeigt, wie effektiv Security Awareness ist.
Jedes zweite Unternehmen im deutschen Mittelstand kennt die Situation, wenn ein Cyberangriff erfolgreich war. Ungeschulte Mitarbeiter spielen dabei häufig eine wichtige Rolle. E-Mails sind der Angriffsweg Nummer eins in IT-Systeme, weil Angestellte schnell auf gefälschte Rechnungen oder Bewerbungen reinfallen. Welche Fallstricke beim Thema Security Awareness lauern, zeigt eine aktuelle Umfrage von G DATA CyberDefense.
Mitarbeiter sind keine IT-Security-Spezialisten
IT-Sicherheit ist bei den meisten Mitarbeitern nicht das Kerngeschäft – insbesondere, wenn diese nicht aus dem IT-Umfeld stammen. Das hat Folgen: Bei der Hälfte der befragten Mittelständler war eine Cyberattacke durch den Fehler eines Angestellten erfolgreich. Das wird teuer und kann schnell existenzbedrohlich werden.
„Viele Mitarbeiter sind unsicher im Umgang mit der IT und anfällig für Fehler. Cyberkriminelle nutzen das konsequent aus und greifen über die Mitarbeiter an“, erklärt Nikolas Schran, Product Owner Cyber Defense Academy bei G DATA CyberDefense. „Wer IT-Sicherheit ganzheitlich denkt, kann nicht allein auf technische Lösungen setzen, sondern sollte seine Angestellten zum integralen Teil seines Sicherheitskonzeptes machen. “
Wenn das Budget zum Problem wird
Das Potenzial zu einer signifikanten Verbesserung der IT-Sicherheit ist da. Viele Mittelständler nutzen diese Chance aber nicht. Gerade kleinere Unternehmen denken bei Security Awareness Trainings nicht an umfassende Schulungen über einen längeren Zeitraum, sondern führen nur einmalige Veranstaltungen durch. Alternativ werden hin und wieder Mails über aktuelle Bedrohungen versendet oder Informationen über das firmeneigene Intranet bereitgestellt. Dies ist weder zielführend noch nachhaltig. Durch eine solche Vorgehensweise können zwar im Vergleich zur Anschaffung einer E-Learning-Umgebung Gelder eingespart werden.
Security-Awareness ist wichtiger denn je
Eine nachhaltige Verhaltensänderung und wirkliche Sensibilisierung finden jedoch nicht statt. Um die Opportunitätskosten von Security Awareness Trainings zu berechnen, sollten Verantwortliche die Kosten eines mehrtätigen Betriebsausfalls auf Grund eines Cybervorfalls den Investitionen gegenüberstellen. Das gilt insbesondere in der aktuellen Situation, die besondere Anforderungen an Unternehmer und Mitarbeiter stellt.
„Gerade in der aktuellen Homeoffice-Situation ist eine gute Security-Awareness wichtiger denn je. Mitarbeiterinnen und Mitarbeiter sind durch die Pandemie, Homeschooling und Vereinsamung einem besonderen Druck ausgesetzt. In solchen Situationen sind sie besonders anfällig für Social Engineering. Wir stärken die Mitarbeiter, damit Sie auch in Stresssituationen die richtigen Entscheidungen treffen und steigern damit die IT-Sicherheit im Unternehmen“, sagt Nikolas Schran.
78 Prozent der Unternehmen berichten über positive Effekte
Nikolas Schran, Product Owner Cyber Defense Academy bei G DATA CyberDefense (Bild: G Data)
Unternehmen sollten auf umfassende Security Awareness Trainings setzen, um ihre Mitarbeiter nachhaltig im Thema IT-Sicherheit zu schulen und sie mit dem nötigen Wissen auszustatten, um Angriffe sicher abzuwehren. Diese Maßnahme ist sehr wirksam und die Investition lohnt sich: 78 Prozent der befragten Mittelständler haben hierdurch ihre IT-Sicherheit gesteigert und die Mitarbeiter gehen vorsichtiger mit den IT-Systemen um.
Weitere Ergebnisse der Studie
- Die Hälfte der Unternehmen schult die gesamte Belegschaft in puncto IT-Sicherheit.
- Bei E-Learning-Dienstleistungen erwartet die Hälfte der Unternehmen eine Phishing-Simulation.
- Ziele von Security Awareness Trainings in Unternehmen sind die Verbesserung der IT-Sicherheit und Compliance.
- Das wichtigste Thema für den Mittelstand bei Security Awareness Trainings ist „Sicherheitsvorfälle“ – Angriffe zu erkennen und im Ernstfall richtig zu handeln.
- Fast die Hälfte der Mittelständler, die keine Security Awareness Trainings durchführen, glaubt, bei IT-Sicherheit gut aufgestellt zu sein.
Für die Security Awareness Trainings Umfrage hat OmniQuest im Auftrag von G DATA CyberDefense AG im Herbst 2020 insgesamt 200 mittelständische Unternehmen befragt. Die befragten deutschen Firmen hatten zwischen 50 und 1.000 Mitarbeiter. Die Branchenzugehörigkeit und das Tätigkeitsfeld spielten dabei keine Rolle. Die Studie liegt als kostenlose PDF-Datei vor „Security Awareness Trainings im deutschen Mittelstand – Sind Mitarbeiter Teil der Cyberabwehr?“
Zur Studie als PDF bei GDATA.de
Über G Data Mit umfassenden Cyber-Defense-Dienstleistungen macht der Erfinder des AntiVirus Unternehmen verteidigungsfähig gegen Cybercrime. Über 500 Mitarbeiter sorgen für die digitale Sicherheit von Unternehmen und Anwendern. Made in Germany: Mit über 30 Jahren Expertise in Malwareanalyse betreibt G DATA Forschung und Softwareentwicklung ausschließlich in Deutschland. Höchste Ansprüche an den Datenschutz sind oberstes Gebot. 2011 hat G DATA mit dem Vertrauenssiegel „IT Security Made in Germany“ des TeleTrust e.V. eine „No-Backdoor“-Garantie abgegeben. G DATA bietet ein Portfolio von AntiVirus und Endpoint Protection über Penetrationstests und Incident Response bis zu forensischen Analysen, Security-Status-Checks und Cyber-Awareness-Trainings, um Unternehmen wirksam zu verteidigen. Neue Technologien wie DeepRay schützen mit Künstlicher Intelligenz vor Malware. Service und Support gehören zum G DATA Campus in Bochum. G DATA Lösungen sind in 90 Ländern erhältlich und wurden vielfach ausgezeichnet.