Warum bloß ist die Konkurrenz immer einen Schritt voraus? Wie konnte es passieren, dass ein baugleiches Produkt bereits auf einer Messe in Asien ausgestellt wird, während man selbst noch am Prototypen schraubt? Und wieso wusste der Wettbewerber, mit welchem Angebot man in eine Ausschreibung gegangen ist?
Eine Studie gibt darauf deutliche Antworten: Mehr als jedes zweite Unternehmen in Deutschland wird demnach attackiert, ausspioniert, sabotiert, bestohlen. Der Schaden ist immens. 55 Milliarden Euro muss die Wirtschaft hierzulande für die Folgen der Angriffe aufbringen. Die Abwehr wird von Jahr zu Jahr teurer.
Die Zahlen, die vom Digitalverband Bitkom und dem Bundesamt für Verfassungsschutz (BfV) vorgelegt wurden, sind alarmierend. Befragt wurden mehr als 1.000 Geschäftsführer und Sicherheitsverantwortliche quer durch alle Branchen. Demzufolge sagten 53 Prozent der Unternehmen, dass sie in den vergangenen zwei Jahren von Datendiebstahl, Industriespionage oder Sabotage betroffen waren.
Firmen tun zu wenig
Doch die Dunkelziffer dürfte noch deutlich höher liegen. Denn jeder vierte Befragte hegt einen Verdacht und ist der Meinung, „vermutlich betroffen“ zu sein. Damit ist nur jedes fünfte Unternehmen in Deutschland davon überzeugt, nicht Opfer geworden zu sein. Bei Unternehmen mit mehr als 500 Mitarbeitern schrumpft der Anteil auf gerade einmal acht Prozent zusammen.
„Die Gefahr für Unternehmen aller Branchen und jeder Größe ist real“, sagte Bitkom-Präsident Achim Berg zu den Ergebnissen. Jeder könne Opfer werden. „Unternehmen müssen viel mehr für ihre digitale Sicherheit tun.“
Auch der Bundesverfassungsschutz drängt zur Eile. „In Zeiten von Digitalisierung und Industrie 4.0 müssen wir unser besonderes Augenmerk auf die Abwehr von Spionageangriffen auf die deutsche Wirtschaft richten“, sagte BfV-Präsident Hans-Georg Maaßen.
Die Studie gibt Aufschluss darüber, wo die Täter zu suchen sind. Mehr als sechs von zehn Angriffe gehen von aktuellen oder ehemaligen Mitarbeitern aus. Damit bestätigt sich die Vermutung vieler Experten.
Unzufriedene Mitarbeiter oder ehemalige Angestellte, die sich ungerecht behandelt fühlen oder aus dem Unternehmen herausgedrängt wurden, rächen sich häufig mit Diebstahl, Sabotage oder auch Spionage. Nicht selten nutzen offenbar Konkurrenten diese Situation aus und machen mit Ehemaligen gemeinsame Sache.
Mehr als die Hälfte aller Attacken kommt aus dem Osten
Gut 40 Prozent der Attacken gehen auf das unternehmerische Umfeld zurück. Damit sind neben Konkurrenten auch Kunden, Lieferanten oder Dienstleister gemeint. Nur einer von fünf Angriffen wird Hobby-Hackern zugeordnet. Die organisierte Kriminalität steckt den Zahlen zufolge hinter sieben Prozent der Fälle.
Auch wenn Cyberangriffe, die von ausländischen Nachrichtendiensten durchgeführt werden, immer große Aufmerksamkeit bekommen, so sind davon der Studie zufolge doch nur drei Prozent der Fälle betroffen.
Die meisten Attacken kommen aus dem Ausland, berichten die Unternehmen. Nur gut jeder dritte Fall konnte Tätern in Deutschland zugeordnet werden. 23 Prozent der Angriffe kamen aus Osteuropa, 20 Prozent aus China und 18 Prozent aus Russland. Die USA waren für 15 Prozent der Fälle verantwortlich.
Meist sind es Kommunikationsdaten, darunter E-Mails, die den Unternehmen abhandenkommen. Bei vier von zehn Diebstählen ist das so. Mit 36 Prozent folgen aber schon Finanzdaten und mit 17 Prozent die Kundendaten. Insgesamt waren 38 Prozent der befragten Unternehmen in den vergangenen zwei Jahren Opfer eines Diebstahls von sensiblen digitalen Daten und Informationen.
Doch oft ist nicht klar, ob es Kriminelle auf Daten oder Geräte abgesehen haben. So mussten mehr als 40 Prozent der Unternehmen eingestehen, dass ihnen IT- oder Telekommunikationsgeräte gestohlen wurden, auf denen ebenfalls Daten gespeichert waren. Oft scheint es auch nur darum zu gehen, Schaden anzurichten.
Fälle werden meist durch Zufall aufgedeckt
In gut 40 Prozent der Fälle ging es um die digitale Sabotage von Informations- und Produktionssystemen oder Betriebsabläufen. Fast jedes vierte geschädigte Unternehmen ist nach eigenen Angaben bei Besprechungen und Telefonaten abgehört worden.
Der Bitkom hat die Unternehmen nach einer Schätzung der Kosten gefragt. Demnach sind über den Zeitraum von zwei Jahren knapp 110 Milliarden Euro zusammengekommen. Der größte Kostenpunkt mit mehr als 20 Milliarden Euro machten die Ermittlungen und Ersatzmaßnahmen aus.
Die Umsatzeinbußen durch Verlust von Wettbewerbsvorteilen wurden auf 17,1 Milliarden Euro geschätzt. Doch auch der Imageschaden und die Kosten für Rechtsstreitigkeiten wurden hoch angesetzt. Erpressung zum Beispiel durch Ransomware, wie zuletzt bei dem WannaCry- und Petya-Angriff, bei dem Daten verschlüsselt und nur nach Geldzahlung wieder entschlüsselt werden, fällt mit Kosten von 1,3 Milliarden Euro im Vergleich kaum ins Gewicht.
Häufig ist es nur Zufall, dass ein Diebstahl oder die Sabotage entdeckt wird. 30 Prozent sind so auf ihren Fall aufmerksam geworden. Mit 37 Prozent etwas häufiger kamen die Hinweise von einzelnen Mitarbeitern. In fast 30 Prozent der Fälle entdeckte eine interne Ermittlungseinheit oder Revision den Angriff.
Gefahr erkannt, aber untätig
Genauso häufig gab es Hinweise von externen Personen. Dass Strafverfolgungs- und Aufsichtsbehörden die Unternehmen auf die Attacken aufmerksam gemacht haben, ist nur in vier von 100 Fällen geschehen.
Nach einem Diebstahl oder einer Sabotage schaltet nicht einmal jedes dritte Unternehmen staatliche Stellen ein – vor allem aus Angst vor einem Imageschaden. „Nur wenn Unternehmen Angriffe melden, können die Sicherheitsbehörden ein realitätsnahes Lagebild erstellen und Abwehrstrategien entwickeln“, sagte BfV-Präsident Maaßen.
Nur so könne die deutsche Volkswirtschaft widerstandsfähiger gegen Wirtschaftsspionage gemacht werden. Wer doch den Kontakt zu staatlichen Stellen sucht, entscheidet sich zu 84 Prozent für die Polizei. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wurde dann in jedem siebten Fall zu Rate gezogen, der Verfassungsschutz nur noch zu drei Prozent.
Wie die Studie zeigt, kennen die Unternehmen zumindest die Gefahr. Alle setzen einen technischen Basisschutz aus Firewalls, Virenscanner, Back-ups und Passwörter ein. Ob das jedoch reicht, überprüfen die wenigsten. Nur jedes fünfte Unternehmen hat ein Frühwarnsystem installiert, das innerhalb der Branche als Intrusion Detection System bezeichnet wird.
Höhere Sicherheit durch Mitarbeiterschulung
Sogenannte Penetrationstests nehmen nur 17 Prozent der Unternehmen vor. Dabei werden Angriffe simuliert, um Schwachstellen im eigenen Schutzsystem zu finden.
Offenbar werden die Unternehmen aber nicht aus Fehlern klug. Obwohl den Ergebnissen zufolge die meisten Angreifer aus dem eigenen Unternehmen stammen, überprüfen nicht einmal 60 Prozent der Unternehmen Personen, die in sensiblen Positionen arbeiten. Nur jedes zweite Unternehmen schult seine Mitarbeiter in Sicherheitsfragen.
„Wenn man bedenkt, dass Angriffe sehr oft durch aktuelle oder frühere Mitarbeiter erfolgen, so verwundert die Nachlässigkeit bei der Mitarbeiterschulung“, sagte Bitkom-Präsident Berg. Hier ließe sich die Sicherheit in den Unternehmen mit vergleichsweise geringem Aufwand und in kurzer Zeit deutlich verbessern.
Dieser Artikel stand zuerst auf Welt.de.