Die Entwicklung ist nicht zu übersehen: durch die zunehmende Digitalisierung – auch bedingt durch die Corona-Pandemie – sahen sich in den vergangenen Jahren Unternehmen einer stark steigenden Zahl von Cyberattacken konfrontiert.

Einer aktuellen Studie des Forschungsinstitutes Sirius Campus im Auftrag der HDI Versicherung zur Folge waren 3,5 Mio. kleine und mittelständische Unternehmen betroffen. Diese Zahl basiert auf einer repräsentativen Umfrage von Versicherungs- und IT-Entscheider von mehr als 500 in Deutschland ansässigen KMU.

Insbesondere mittelständische Unternehmen mit 50 bis 250 Mitarbeiter*innen seien demnach zu mehr als 50% von einer Cyberattacke betroffen gewesen. Ebenso wurden auch knapp ein Drittel der Kleinstunternehmen mit maximal 9 Mitarbeiter*innen und ca. 40% der Kleinunternehmen (10-49 Mitarbeiter*innen) von einem Cyberangriff heimgesucht.

Nahezu 75% der erfolgreichen Angriffe haben dabei erhebliche Schäden mit durchschnittlichen Kosten von 95.000 Euro verursacht. Laut Studie mussten Freiberufler überdies Schäden i.H.v. 120.000 Euro verkraften. Die Spitze der durchschnittlichen Schadenszahlungen traf die größeren Mittelständler mit bis zu einer halben Million Euro.

Obwohl die Methoden immer ausgeklügelter werden, steht immer noch der Mensch als Schwachstelle im Mittelpunkt der Angriffe. Hierbei stehen das Vortäuschen falscher Identitäten, Spam- oder Phishing-mails oder infizierte e-mail-Anhänge an erster Stelle zusammen mit dem Versenden von Schadsoftware.

Als besonders relevant werden dabei die Schäden von Betriebsunterbrechungen klassifiziert: Mehr als 40% der befragten Unternehmen nannte diese Folge einer Cyberattacke als erheblich gefährdend. Nur der Diebstahl von Kundendaten wird als noch relevanter angesehen. Hier waren bereits fast 25% der befragten Unternehmen betroffen.

Kostentreiber sind insb. die Schäden durch eine Betriebsunterbrechung: Mehr als 50% der betroffenen Unternehmen war mindestens zwei Tage eingeschränkt, bei 15% gab es sogar eine 4 bis 7-tägige Beeinträchtigung durch Betriebsstörungen.

Insbesondere die Entfernung von Schadsoftware und die Aktualisierung der IT-Systeme ist lt. Studie extrem zeitraubend. So beschrieb ein Unternehmer seine Situation folgendermaßen: „Eine als legal propagierte Software stellte sich als Schadsoftware heraus und war extrem schwierig zu entfernen. Sämtliche Softwaretools zur Behebung waren unwirksam. Die Beseitigung war nur im abgesicherten Modus des Betriebssystems und durch manuelles Entfernen jeder einzelnen Datei möglich.“

Neben dem Diebstahl von Kundendaten und der Betriebsunterbrechung beklagten über 20% der Studienteilnehmer Image- und Reputationsschäden aufgrund der Cyberattacken. Hinzu kamen Schadensersatzanforderungen und der Verlust geheimer Daten durch Industriespionage. Ein besonderes Problem liegt in der Identifizierung einer Cyberattacke: Insb. bei Klein- und Kleinstunternehmen wurden die Angriffe nur durch Zufall entdeckt. Bei

Mittelständlern hingegen führen gezielte screenings zur Aufdeckung, so dass möglichst früh Angriffe aufgedeckt und Gegenmaßnahmen eingeleitet werden können. Hier besteht offensichtlich ein sehr großer Nachholbedarf bei kleineren Unternehmungen, die Cyberangriffe erst im Schadensfall bemerken – doch dann ist es zu spät!

War der Schaden eingetreten, so wurden in ca. der Hälfte der Fälle unternehmenseigene Mitarbeiter*innen eingesetzt, um die Schäden zu beseitigen. Etwa 40% beauftragten ihren IT-Dienstleister und knapp ein Drittel konsultierte Spezialisten einer Cyberversicherung

Nur ein Viertel der geschädigten Unternehmen waren im Vorfeld durch eine Cyberversicherung abgesichert. Ca. ein Drittel der Betroffenen war hingegen nicht abgesichert. Ein weiteres Viertel schloss nach einer Attacke eine Police ab. Christian Kussmann, Bereichsvorstand Firmen und Freie Berufe der HDI Versicherung AG, erläutert diesbezüglich abschließend: „Integrierte Präventions- und Versicherungsangebote für den Schutz gegen Cyberattacken bieten gerade für KMU einen komfortablen Rundum-Service. Denn neben dem finanziellen Ausgleich von Schäden stehen dabei auch wirksame Präventionsmaßnahmen und Mitarbeiterschulungen im Fokus, die Schadenwahrscheinlichkeit und Schadenhöhe erheblich senken können.“