Angenommen, ein Einbrecher bewegt sich monatelang unbemerkt in Ihrer Wohnung. Angenommen, er hat uneingeschränkten Zugriff auf alle Wertsachen. Und angenommen, eines Tages sperrt er Sie aus den eigenen vier Wänden aus. Dem nicht genug, verlangt er für den Schlüssel eine horrende Summe Lösegeld.

Zahllosen Unternehmen auf der ganzen Welt geht es so – zumindest metaphorisch. Cyberattacken gehören für Firmen mittlerweile schon zum Alltag, dennoch hinken viele bei den Sicherheitsvorkehrungen weit hinterher. Sogar dann, wenn der Einbrecher respektive der Hacker schon mal da war, sich "gezeigt" und Geld verlangt hat. Dabei fordern die Cyberkriminellen gewaltige Summen, wie der aktuelle "Cost of Data Breach Report" von IBM zeigt. Demzufolge kostete ein Datenleck einem deutschen Unternehmen im Vorjahr im Schnitt 4,3 Millionen Euro.

"Eigene Zahlen für Österreich gibt es keine, im Dach-Raum ist die Entwicklung aber relativ ähnlich", sagt IBM-Cybersecurity-Experte Stephan Preining im Gespräch mit dem STANDARD. Untersuchungen in Österreich von Wirtschaftsprüfern wie EY und KPMG sowie des Gläubigerschutzverbands KSV 1870 zeichnen ein sehr ähnliches Bild.

Kosten in Millionenhöhe

Überraschenderweise seien die Kosten im Dach-Raum sogar leicht gesunken von 4,41 Millionen Euro im Jahr davor. International gesehen seien die Kosten für Data Breaches, also Verletzungen der Sicherheit, der Integrität oder auch der Verfügbarkeit der eigenen Daten, aber gestiegen.

Die Angriffe nehmen zu, so viel steht fest. Die Abwehr- oder im ungünstigeren Fall die Behebungskosten steigen ebenfalls. Was tun mit dieser Entwicklung? Laut der IBM-Studie sind die Unternehmen geteilter Meinung darüber. "Fast jeder der befragten Betriebe wurde schon mindestens zwei Mal angegriffen. Fast 60 Prozent davon geben die zusätzlichen Kosten aber eher an Verbraucher weiter, anstatt ihre Sicherheitsinvestitionen zu erhöhen", erzählt Preining. Am teuersten kommt es Unternehmen zu stehen, wenn Daten zur Gänze zerstört werden, üblicherweise setzen Kriminelle aber auf Erpressung.

Cybercrime als Geschäft

Cybercrime wurde zum Geschäftsmodell, Angreifern ist es tendenziell egal, wer das Opfer ist. Bei einem Ransomware-Angriff werden Daten und/oder Systeme verschlüsselt und nur gegen eine hohe Lösegeldzahlung wieder freigegeben.

In den USA gehören mittlerweile medizinische Einrichtungen zu den beliebtesten Angriffszielen. Das ist in Mitteleuropa glücklicherweise noch nicht der Fall. Steht ein Krankenhaus still, geht es um Leben und Tod. Steht eine Fabrik, kann das zwar teuer werden, aber jeder Werksleiter kann einen Ausfall beziffern – das geht im Krankenhaus nicht.

Energieversorger alarmiert

Seit der Invasion Russlands in der Ukraine herrscht auch bei Energieversorgern eine neue Alarmbereitschaft. Die Digitalisierung von Stromzählern und -netzen, Wind- oder Solarkraftwerken eröffnet den Angreifern neue Einfallstore in die kritische Infrastruktur. Die ungeklärten Explosionen an den Nord-Stream-Pipelines in der Ostsee im September 2022 haben ein Schlaglicht auf die Verwundbarkeit von Energieanlagen geworfen.

Zurück in die Normalität

In der Vergangenheit hörte man oft, dass Betroffene lieber zahlen, anstatt sich an die Polizei zu wenden. Sie wollen schnellstmöglich zurück in den Normalmodus sowie öffentliche Aufmerksamkeit vermeiden und bezahlen. Das erhöht vor allem die Dunkelziffer solcher Erpressungsfälle. Laut IBM-Studie zahlt sich das aber nicht wirklich aus: Bei jenen Unternehmen, die Behörden nicht einschalteten, war der Zeitraum der Datenlecks im Durchschnitt 33 Tage länger als bei jenen, die zur Polizei gingen – und dieses Schweigen kostet.

Betroffene Firmen, die die Situation allein bewältigten, zahlten im Durchschnitt 470.000 US-Dollar (418.000 Euro) mehr. "Einerseits wird die Polizei besser bei der Bekämpfung, andererseits macht allein der Informationsfluss viel aus", sagt Preining. "Wird beispielsweise zehn Firmen gleichzeitig an einem Freitag angedroht, dass am Montag nichts mehr geht, und alle gehen zur Polizei, kann diese sanfte Entwarnung geben. Die anderen Firmen wissen schließlich nichts voneinander, aber die Polizei kann hier zentrale Informationen sammeln", meint der IBM-Experte. Kein Hackerkollektiv könne so viele Angriffe parallel koordinieren.

Zeit als Währung

"Zeit ist die neue Währung in der Cybersecurity", heißt es bei IBM. Hier kommen künstliche Intelligenz und Automatisierung ins Spiel. Wer auf diese Technologien setzt, löst laut Bericht ein Datenleckproblem im Schnitt um 108 Tage schneller als ohne KI und Automatisierung. Zudem meldeten jene Unternehmen "deutlich geringere Kosten für solche Vorfälle". (Andreas Danzer, 25.7.2023)