TÜV-Studie : Cybersecurity: Der Staat ist gefordert
04.11.2019 Iris Stroh
© vchal | shutterstock.com
»TÜV Cybersecurity Studie« in Berlin vorgestellt
Der TÜV-Verband hat eine repräsentative Ipsos-Umfrage unter 503 Unternehmen ab 10 Mitarbeitern durchgeführt, die ergab, dass knapp die Hälfte der Unternehmen in Deutschland strengere staatliche Vorgaben für die IT-Sicherheit fordern.
Konkret fordert 47 Prozent der Unternehmen höhere gesetzliche Anforderungen an die IT-Sicherheit in der Wirtschaft. Befragt wurden IT-Sicherheitsverantwortliche, IT-Leiter und Mitglieder der Geschäftsleitung. Demnach stimmen zudem 59 Prozent der Aussage zu, dass Regulierung durch den Gesetzgeber wichtig ist und zu einer besseren IT-Sicherheit ihres Unternehmens beiträgt. »Die Unternehmen geben ein überraschend starkes Votum für eine stärkere gesetzliche Regulierung der IT-Sicherheit in der Wirtschaft ab«, sagt Dr. Michael Fübi, Präsident des TÜV-Verbands (VdTÜV), bei Vorstellung der »TÜV Cybersecurity Studie« in Berlin.
Die wichtigsten Gründe für den Wunsch nach strengeren staatlichen Vorgaben seien eigene Erfahrungen mit Cyberkriminalität und die digitale Transformation. In der Umfrage geben drei von vier Unternehmen an (77 Prozent), dass die Bedeutung der IT-Sicherheit in den vergangenen fünf Jahren für sie gestiegen ist. Als Gründe für das Umdenken nennen 78 Prozent der Befragten die zunehmende Digitalisierung, 41 Prozent Berichte über immer neue Cyberangriffe und 29 Prozent einen IT-Sicherheitsvorfall im eigenen Unternehmen. »Sehr viele Unternehmen nehmen Cyberangriffe nicht mehr als abstrakte Gefahr wahr, sondern sind direkt betroffen«, sagt Fübi. In dieser Situation würden Unternehmen nach Möglichkeiten suchen, wie sie sich besser schützen können. Gesetzliche Vorgaben sowie Normen und Standards helfen dabei. Fübi: »Mit dem geplanten IT-Sicherheitsgesetz 2.0 in Deutschland und dem Cybersecurity Act in der EU stehen Instrumente zur Verfügung, mit denen die Politik den Schutz vor Cyberangriffen in der Wirtschaft wirksam verbessern kann.«
Zur IT-Sicherheit in der Wirtschaft sagt Arne Schönbohm, Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI): »Ransomware wie zum Beispiel Emotet ist eine der großen Bedrohungen für die Wirtschaft in unserem Land. Angriffe auf Regierungsnetze konnten wir als BSI erfolgreich abwehren. Viele Betriebe und Unternehmen jedoch mussten sich mit der Verschlüsselung ihrer Daten und einer anschließenden Lösegelderpressung auseinandersetzen. Es wird nie eine hundert prozentige Sicherheit vor Cyberangriffen geben, aber man kann sich schützen. Das BSI mit seiner integrierten Wertschöpfungskette der Cyber-Sicherheit, bietet hier unter anderem mit dem seit 1994 erfolgreichen IT-Grundschutz Lösungen und Maßnahmen zum Schutz für Staat, Wirtschaft und Gesellschaft an. Die TÜV-Organisationen als ein Audit-Anbieter sind dabei ein kompetenter Partner für mehr Cyber-Sicherheit in Deutschland.«
Nach den Ergebnissen der Umfrage hatte gut jedes achte Unternehmen (13 Prozent) in den vergangenen 12 Monaten vor der Befragung einen IT-Sicherheitsvorfall. Jedes vierte betroffene Unternehmen (26 Prozent) berichtet von Phishing-Angriffen, bei denen – in der Regel per E-Mail – Schadsoftware in die Organisation eingeschleust wird. An zweiter Stelle steht Ransomware (19 Prozent), mit deren Hilfe Cyberkriminelle die IT-Systeme einer Organisation lahmlegen und die Unternehmen dann erpressen. Ein weiteres weit verbreitetes Phänomen ist Social Engineering (9 Prozent). Mitarbeiter werden gezielt manipuliert, um sich Zugang zu den IT-Systemen des Unternehmens zu verschaffen. Weitere Angriffsszenarien sind Man-in-the-middle-, Passwort- und DDoS-Angriffe. »Die Folgen sind Systemausfälle, eine geringere Produktivität und nicht zugängliche Dienste für Kunden – der Worstcase für jedes Unternehmen«, sagt Fübi. Die Vorfälle führten zu finanziellen Schäden, aber häufig auch zu einem Schaden für die Reputation des Unternehmens oder zu anderen Wettbewerbsnachteilen.
Mit Künstlicher Intelligenz gegen kriminelle Hacker
In den vergangenen 24 Monaten haben die Unternehmen zahlreiche Maßnahmen ergriffen, um die IT-Sicherheit zu verbessern. 71 Prozent lassen sich von externen Sicherheitsspezialisten beraten. Zwei von drei Unternehmen (64 Prozent) haben neue Software für IT-Sicherheit eingeführt und 60 Prozent Schulungen für die Belegschaft durchgeführt. Immerhin fast jedes dritte Unternehmen (32 Prozent) hat sein Budget für IT-Sicherheit in den vergangenen zwei Jahren erhöht und 17 Prozent zusätzliche IT-Mitarbeiter für diesen Zweck eingestellt. Nur jedes vierte Unternehmen hat Notfallübungen durchgeführt. Das ist aus Sicht des TÜV-Verbands viel zu wenig. »Wir wissen heute, dass selbst die besten Schutzmaßnahmen nicht ausreichen, um Cyberangriffe zu verhindern«, sagt Fübi. »Organisationen müssen sich auch darauf konzentrieren, erfolgreiche Cyberangriffe möglichst schnell zu erkennen und in den Griff zu bekommen.« Dabei helfen Notfallübungen sowie Penetrationstests und spezielle Software für die Erkennung von Angriffen.
Bei Systemen für die Angriffserkennung kommt häufig Künstliche Intelligenz (KI) zum Einsatz. Laut Umfrage nutzt bereits jedes achte Unternehmen (12 Prozent) Künstliche Intelligenz für seinen eigenen Schutz. Unter den großen Unternehmen ab 250 Mitarbeitern sind es sogar 38 Prozent. Die Unternehmen nutzen KI derzeit vor allem, um Schad-Software (90 Prozent) oder Anomalien in Datenströmen (70 Prozent) zu erkennen. Eine weitere Anwendung sind moderne Authentifizierungsverfahren, zum Beispiel Gesichts- oder Spracherkennung, die 37 Prozent der KI-Nutzer einsetzen. Allerdings sind sich nur relativ wenige Unternehmen dieser Möglichkeiten bewusst. Nur 29 Prozent stimmen der Aussage zu, dass sich ihr Unternehmen mit Hilfe von Künstlicher Intelligenz besser schützen kann. Dagegen sagen fast zwei Drittel (63 Prozent), dass KI in den Händen von Cyberkriminellen eine steigende Gefahr für die IT-Sicherheit ihres Unternehmens darstellt. Mit KI lassen sich Cyberangriffe zum Beispiel automatisieren und personalisieren.
Laut Umfrage spielen auch Normen und Standards wie DIN-ISO 27001 oder der IT-Grundschutz des BSI eine wichtige Rolle für die IT-Sicherheit von Unternehmen. »Normen und Standards geben Regeln und Verfahren vor, wie eine Organisation digitale Sicherheit in der Praxis gewährleisten kann«, sagt Fübi. Unternehmen könnten sich dann von einer unabhängigen Stelle mit einem Zertifikat bestätigen lassen, ob sie eine bestimmte Norm einhalten. Damit dokumentieren sie – zum Beispiel gegenüber Kunden oder Zulieferern – dass ihre IT-Systeme bestmöglich gesichert sind. Zwei von drei Unternehmen orientieren sich bereits an Normen und Standards oder erfüllen diese sogar vollständig (64 Prozent).
Aus Sicht des TÜV-Verbands können gesetzliche Regelungen entscheidend dazu beitragen, den Schutz von Unternehmen und Privatanwendern vor Cyberangriffen zu verbessern. Dazu gibt der TÜV-Verband unter anderem folgende Empfehlungen ab:
Anwendungsbereich des IT-Sicherheitsgesetzes erweitern – KRITIS-Fokus aufgeben: Mindeststandards für die IT-Sicherheit sind in allen Wirtschaftsbereichen notwendig. Bisher betrifft das IT-Sicherheitsgesetz nur die Betreiber kritischer Infrastrukturen (KRITIS) und innerhalb dieser Gruppe nur wenige Unternehmen – deutschlandweit etwa 1.700. Bestimmte Branchen wie Entsorger, Fahrzeughersteller, Maschinenbauer oder die Chemieindustrie sind nicht erfasst. »Es wäre nur konsequent, den Anwendungsbereich des geplanten IT-Sicherheitsgesetzes 2.0 auszudehnen und die Einschränkung auf KRITIS-Branchen aufzugeben«, sagt Fübi.
Cybersecurity Act umsetzen: Produktsicherheit um IT-Sicherheit ergänzen: Der Cybersecurity Act ist seit Juli 2019 in Kraft und schafft einen allgemeinen Rechtsrahmen für die IT-Sicherheit von vernetzten Produkten und Dienstleistungen. »Wir müssen den Produktsicherheitsbegriff in der EU neu definieren«, sagt Fübi. »In Zukunft muss neben der funktionalen Sicherheit auch die digitale Sicherheit fester Bestandteil eines Produkts sein.« Nur dann sollte ein Produkt in Europa auf den Markt gebracht werden dürfen. Das funktioniere aber nur, wenn die Anforderungen an die IT-Sicherheit in den Richtlinien der einzelnen Produktgruppen konsequent festgeschrieben werden – für Maschinen, Spielzeuge, Medizinprodukte, Fahrzeuge und viele andere Produkte.
Künstliche Intelligenz nach Risikoklassen prüfen: Bei hoch automatisierten Fahrzeugen hängt die körperliche Unversehrtheit eines Menschen direkt von Systemen mit Künstlicher Intelligenz ab. In diesen Fällen müssen die Funktionen selbstlernender Algorithmen von externer Stelle überprüfbar sein. Dafür benötigen die Prüfer Zugang zur Software und den Daten der Systeme. Je nach Risikoklasse eines KI-Systems können unterschiedliche Anforderungen an die Sicherheit und die Prüfungen gestellt werden. Entsprechende Vorschläge hat auch die Datenethikkommission der Bundesregierung in ihrem Abschlussbericht aufgegriffen.
© Sheila Fitzgerald | Shutterstock
Auf den sicheren Code kommt es an : Elektrofahrzeuge vor Manipulationen von außen schützen
Genauso wie ihr Pendant mit Verbrennungsmotor müssen Elektrofahrzeuge sicher vor Hackerangriffen sein. Und sie weisen etliche Einfallstore...
© Fraunhofer SIT
Codescanner : Software analysieren ohne Quellcode
Ist die zugekaufte Softwarekomponente wirklich sicher? – Diese Frage beantwortet der Codescanner VUSC. Er unterstützt Android, iOS...
© TCG
20 Jahre Trusted Computing Group : TCG beschleunigt Fokus auf IoT-Security
Die Trusted Computing Group sieht anlässlich ihres 20jährigen Bestehens »mehr Risiken als je zuvor« und will ihre Technologie in Bereiche...
© Bild: Zhao jiankang/stock.adobe.com
Das IT-Sicherheitsgesetz 2.0 : »Ein Sicherheits­­gesetz mit Internetpolizei und Beugehaft«
Im Interview erklärt IT-Security-Experte Professor Dr. Hartmut Pohl die gravierenden Umwälzungen, die das »IT-Sicherheits­gesetz 2.0«...
© Microchip
Microchip : Skalierbare IoT-Hardware-Sicherheit
Microchip Technology macht mit vorkonfigurierten Secure Elements IoT-Geräte kostengünstig sicher – auch bei kleinen Stückzahlen.
© Infineon Technologies
Thomas Rosteck, Infineon Technologies : »Die Marktdynamik zum Laufen bringen«
Der Oktober steht ganz im Zeichen der Cybersecurity – internationale Kampagnen sollen das Sicherheitsbewusstsein stärken.
© alphaspirit - Fotolia.com
Abhörvorwürfe : Huawei wirft Wall Street Journal »Lügen« vor
In einer ungewöhnichen Pressemitteilung wehrt sich Huawei gegen den Vorwurf aus den USA, »Hintertüren« zu nutzen, mit denen Telekommunikation...
© Hochschule Kempten Coronavirus : So reagiert die Elektronikbranche
Das Coronavirus und die Maßnahmen gegen seine Ausbreitung stellt die Elektronikbranche vor neue Herausforderungen. Wie sie reagieren,...
© AUMA
Verband der deutschen Messewirtschaft : Messen in Deutschland finden statt
In Deutschland finden alle Messen wie geplant statt, wie der Verband der deutschen Messewirtschaft (AUMA) mitteilt.
Premiumanbieter zum Thema
Hitex GmbH
22.-24. Juni 2020, Mövenpick Hotel Stuttgart Airport : Forum Safety & Security 2020
Melden Sie sich jetzt zum Safety & Security-Branchentreff mit Einstiegsseminar, drei Keynotes und hochkarätigen Experten an!
20.-21. Oktober 2020, Mövenpick Hotel Stuttgart Airport : Internet of Things - Vom Sensor bis zur Cloud
Die Konferenz deckt inhaltlich alle wichtigen Themen für das Internet of Things und das industrielle IoT ab. Reichen Sie Ihren Vortragsvorschlag bis zum 06. April 2020 ein!
• Steuerungs- und HMI-Technik • Kommunikationstechnik für das Industrial Internet of Things