Jedes zweite Unternehmen im deutschen Mittelstand kennt die Situation, wenn ein Cyberangriff erfolgreich war. Ungeschulte Mitarbeiter spielen dabei häufig eine wichtige Rolle. E-Mails sind der Angriffsweg Nummer eins in IT-Systeme, weil Angestellte schnell auf gefälschte Rechnungen oder Bewerbungen reinfallen. Welche Fallstricke beim Thema Security Awareness lauern, zeigt eine aktuelle Umfrage von G DATA CyberDefense.
IT-Sicherheit ist bei den meisten Mitarbeitern nicht das Kerngeschäft – insbesondere, wenn diese nicht aus dem IT-Umfeld stammen. Das hat Folgen: Bei der Hälfte der befragten Mittelständler war eine Cyberattacke durch den Fehler eines Angestellten erfolgreich. Das wird teuer und kann schnell existenzbedrohlich werden.
"Viele Mitarbeiter sind unsicher im Umgang mit der IT und anfällig für Fehler. Cyberkriminelle nutzen das konsequent aus und greifen über die Mitarbeiter an. Wer IT-Sicherheit ganzheitlich denkt, kann nicht allein auf technische Lösungen setzen, sondern sollte seine Angestellten zum integralen Teil seines Sicherheitskonzeptes machen", erklärt Nikolas Schran, Product Owner Cyber Defense Academy bei G DATA CyberDefense.
Wenn das Budget zum Problem wird
Das Potenzial zu einer signifikanten Verbesserung der IT-Sicherheit ist da. Viele Mittelständler nutzen diese Chance aber nicht. Gerade kleinere Unternehmen denken bei Security Awareness Trainings nicht an umfassende Schulungen über einen längeren Zeitraum, sondern führen nur einmalige Veranstaltungen durch. Alternativ werden hin und wieder Mails über aktuelle Bedrohungen versendet oder Informationen über das firmeneigene Intranet bereitgestellt. Dies ist weder zielführend noch nachhaltig.
Durch eine solche Vorgehensweise können zwar im Vergleich zur Anschaffung einer E-Learning-Umgebung Gelder eingespart werden. Eine nachhaltige Verhaltensänderung und wirkliche Sensibilisierung finden jedoch nicht statt. Um die Opportunitätskosten von Security Awareness Trainings zu berechnen, sollten Verantwortliche die Kosten eines mehrtätigen Betriebsausfalls auf Grund eines Cybervorfalls den Investitionen gegenüberstellen. Das gilt insbesondere in der aktuellen Situation, die besondere Anforderungen an Unternehmer und Mitarbeiter stellt.
"Gerade in der aktuellen Homeoffice-Situation ist eine gute Security Awareness wichtiger denn je. Mitarbeiterinnen und Mitarbeiter sind durch die Pandemie, Homeschooling und Vereinsamung einem besonderen Druck ausgesetzt. In solchen Situationen sind sie besonders anfällig für Social Engineering. Wir stärken die Mitarbeiter, damit Sie auch in Stresssituationen die richtigen Entscheidungen treffen und steigern damit die IT-Sicherheit im Unternehmen", so Schran.
78 Prozent der Unternehmen berichten über positive Effekte
Unternehmen sollten auf umfassende Security Awareness Trainings setzen, um ihre Mitarbeiter nachhaltig im Thema IT-Sicherheit zu schulen und sie mit dem nötigen Wissen auszustatten, um Angriffe sicher abzuwehren. Diese Maßnahme ist sehr wirksam und die Investition lohnt sich: 78 Prozent der befragten Mittelständler haben hierdurch ihre IT-Sicherheit gesteigert und die Mitarbeiter gehen vorsichtiger mit den IT-Systemen um.
Weitere Ergebnisse
[*]Die Hälfte der Unternehmen schult die gesamte Belegschaft in puncto IT-Sicherheit.
[*]Bei E-Learning-Dienstleistungen erwartet die Hälfte der Unternehmen eine Phishing-Simulation.
[*]Ziele von Security Awareness Trainings in Unternehmen sind die Verbesserung der IT-Sicherheit und Compliance.
[*]Das wichtigste Thema für den Mittelstand bei Security Awareness Trainings ist „Sicherheitsvorfälle“ – Angriffe zu erkennen und im Ernstfall richtig zu handeln.
[*]Fast die Hälfte der Mittelständler, die keine Security Awareness Trainings durchführen, glaubt, bei IT-Sicherheit gut aufgestellt zu sein.
Über die Umfrage
Für die Security Awareness Trainings Umfrage hat OmniQuest im Auftrag von G DATA CyberDefense AG im Herbst 2020 insgesamt 200 mittelständische Unternehmen befragt. Die befragten deutschen Firmen hatten zwischen 50 und 1.000 Mitarbeiter. Die Branchenzugehörigkeit und das Tätigkeitsfeld spielten dabei keine Rolle.
IT-Sicherheit ist bei den meisten Mitarbeitern nicht das Kerngeschäft – insbesondere, wenn diese nicht aus dem IT-Umfeld stammen. Das hat Folgen: Bei der Hälfte der befragten Mittelständler war eine Cyberattacke durch den Fehler eines Angestellten erfolgreich. Das wird teuer und kann schnell existenzbedrohlich werden.
"Viele Mitarbeiter sind unsicher im Umgang mit der IT und anfällig für Fehler. Cyberkriminelle nutzen das konsequent aus und greifen über die Mitarbeiter an. Wer IT-Sicherheit ganzheitlich denkt, kann nicht allein auf technische Lösungen setzen, sondern sollte seine Angestellten zum integralen Teil seines Sicherheitskonzeptes machen", erklärt Nikolas Schran, Product Owner Cyber Defense Academy bei G DATA CyberDefense.
Wenn das Budget zum Problem wird
Das Potenzial zu einer signifikanten Verbesserung der IT-Sicherheit ist da. Viele Mittelständler nutzen diese Chance aber nicht. Gerade kleinere Unternehmen denken bei Security Awareness Trainings nicht an umfassende Schulungen über einen längeren Zeitraum, sondern führen nur einmalige Veranstaltungen durch. Alternativ werden hin und wieder Mails über aktuelle Bedrohungen versendet oder Informationen über das firmeneigene Intranet bereitgestellt. Dies ist weder zielführend noch nachhaltig.
Durch eine solche Vorgehensweise können zwar im Vergleich zur Anschaffung einer E-Learning-Umgebung Gelder eingespart werden. Eine nachhaltige Verhaltensänderung und wirkliche Sensibilisierung finden jedoch nicht statt. Um die Opportunitätskosten von Security Awareness Trainings zu berechnen, sollten Verantwortliche die Kosten eines mehrtätigen Betriebsausfalls auf Grund eines Cybervorfalls den Investitionen gegenüberstellen. Das gilt insbesondere in der aktuellen Situation, die besondere Anforderungen an Unternehmer und Mitarbeiter stellt.
"Gerade in der aktuellen Homeoffice-Situation ist eine gute Security Awareness wichtiger denn je. Mitarbeiterinnen und Mitarbeiter sind durch die Pandemie, Homeschooling und Vereinsamung einem besonderen Druck ausgesetzt. In solchen Situationen sind sie besonders anfällig für Social Engineering. Wir stärken die Mitarbeiter, damit Sie auch in Stresssituationen die richtigen Entscheidungen treffen und steigern damit die IT-Sicherheit im Unternehmen", so Schran.
78 Prozent der Unternehmen berichten über positive Effekte
Unternehmen sollten auf umfassende Security Awareness Trainings setzen, um ihre Mitarbeiter nachhaltig im Thema IT-Sicherheit zu schulen und sie mit dem nötigen Wissen auszustatten, um Angriffe sicher abzuwehren. Diese Maßnahme ist sehr wirksam und die Investition lohnt sich: 78 Prozent der befragten Mittelständler haben hierdurch ihre IT-Sicherheit gesteigert und die Mitarbeiter gehen vorsichtiger mit den IT-Systemen um.
Weitere Ergebnisse
[*]Die Hälfte der Unternehmen schult die gesamte Belegschaft in puncto IT-Sicherheit.
[*]Bei E-Learning-Dienstleistungen erwartet die Hälfte der Unternehmen eine Phishing-Simulation.
[*]Ziele von Security Awareness Trainings in Unternehmen sind die Verbesserung der IT-Sicherheit und Compliance.
[*]Das wichtigste Thema für den Mittelstand bei Security Awareness Trainings ist „Sicherheitsvorfälle“ – Angriffe zu erkennen und im Ernstfall richtig zu handeln.
[*]Fast die Hälfte der Mittelständler, die keine Security Awareness Trainings durchführen, glaubt, bei IT-Sicherheit gut aufgestellt zu sein.
Über die Umfrage
Für die Security Awareness Trainings Umfrage hat OmniQuest im Auftrag von G DATA CyberDefense AG im Herbst 2020 insgesamt 200 mittelständische Unternehmen befragt. Die befragten deutschen Firmen hatten zwischen 50 und 1.000 Mitarbeiter. Die Branchenzugehörigkeit und das Tätigkeitsfeld spielten dabei keine Rolle.
