Umfrage zu Ransomware: Nur 54 % der deutschen KMU halten ihre Software aktuell

Die Gefahr von Cyberattacken ist für nahezu jedes Unternehmen eine allgegenwärtige Bedrohung. Wie schützen sich deutsche KMU vor Ransomware-Angriffen? Wir haben die Meinungen von IT-Fachkräften untersucht.

Jedes Unternehmen kann ein potenzielles Opfer von Ransomware-Angriffen sein, insbesondere dann, wenn ihre IT-Sicherheit Lücken aufweist. KMU verfügen im Vergleich zu großen Unternehmen oftmals über geringere Budgets, die in die Abwehr von Ransomware-Angriffen investiert werden können. Ein Mangel an Personal und fehlendes Wissen kann eine weitere Herausforderung darstellen, wenn man sich als KMU gegen Angriffe dieser Art rüsten will. Nicht jeder kleiner oder mittelständischer Betrieb kann es sich leisten, Mitarbeiter zu beschäftigen, die sich ganz der Aufgabe widmen, stets auf dem neuesten Stand in Sachen IT-Security zu sein. 

Wir wollten herausfinden, wie gut deutsche KMU auf Ransomware-Angriffe vorbereitet sind. Dazu fragte GetApp insgesamt 637 IT-Fachkräfte aus Deutschland (203 Teilnehmer), Frankreich und der UK unter anderem dazu, welche Maßnahmen sie in ihren Unternehmen einsetzen, welche Softwareprogramme sie verwenden und ob sie einen Notfallplan für den Fall eines Ransomware-Angriffs hätten. Abgesehen von den Vergleichen mit Frankreich und der UK beziehen wir uns im Artikel auf die deutschen Daten. Die vollständige Methodik findest du am Ende der Seite.

Ransomware-Angriffe sind kritisch für die Integrität von Unternehmen

Die Digitalisierung hat zweifellos große Vorteile: die Automatisierung und Optimierung von Prozessen. Allerdings kann sie wie jede technologische Entwicklung missbraucht werden, um zu schaden. Ransomware-Angriffe, eine Form von Cyberattacken, sind für Cyberkriminelle ein lukratives Geschäft und eine nicht zu unterschätzende Bedrohungen für jedes Unternehmen.

Wie gefährlich sind Ransomware-Angriffe für KMU?

Je komplexer eine Technologie und ihre Schutzvorkehrung wird, desto ausgefeilter werden auch die Bemühungen, diese zu umgehen. Während Ransomware früher größtenteils willkürlich über Spam-Mails verteilt wurden, geschehen die Angriffe heute wesentlich gezielter auf identifizierte Sicherheitslücken in der Security-Strategie eines Unternehmens. Mittlerweile setzen Cyberkriminelle vermehrt auch bösartige Botnets ein, um Schadsoftware zu verbreiten oder Nutzerdaten zu stehlen, womit sie ihre Reichweite erheblich erhöhen können.

Ransomware-Attacken können ein Unternehmen teuer zu stehen kommen. Zu unterscheiden ist dabei zwischen kurz- und langfristigen Schäden:

• Unmittelbare Kosten: Lösegeldforderung. Um die Ransomware wieder loszuwerden, verlangen Hacker zum Teil horrende Summen, obwohl es keinerlei Garantie dafür gibt, dass Unternehmen nach der Bezahlung wieder Zugriff auf ihre Daten bekommen. Als Zahlungsmittel wird häufig eine Kryptowährung angegeben, da die eigene Identität dahinter versteckt werden kann.
• Mittel- und langfristige Folgen: Unternehmen haben möglicherweise noch Wochen oder Monate nach dem Angriff damit zu tun, ihre Systeme wieder herzustellen. Neben Daten können sie zudem Arbeitszeit sowie Umsatz verlieren. Sind Computer blockiert und Systeme lahmgelegt, stehen auch Produktion und Dienstleistungen still. Ganz abgesehen vom Reputationsverlust, mit dem Firmen zu rechnen haben, wenn sie Opfer eines Cyberangriffs werden.

Arne Schönborn, Chef des Bundesamts für Sicherheit und Informationstechnik (BSI), geht so weit, Ransomware als „eine der größten Bedrohungen für die IT von Unternehmen und Organisationen” einzuschätzen.   

Die Teilnehmer der Umfrage scheinen dies ähnlich zu sehen. So gaben 76 % an, dass ein Ransomware-Angriff  „etwas” bis „sehr” kritisch für die Integrität ihres Unternehmens wäre. Auf britische KMU trifft dies scheinbar noch mehr zu. Dort erklärten sogar 90 %, dass ein Ransomware-Angriff „etwas” bis „sehr” kritisch für die Integrität ihres Unternehmens wäre. Frankreich weist mit 79 % dagegen ähnliche Zahlen wie Deutschland auf.

Maßnahmen, mit denen sich KMU gegen Malware schützen

Auf Unternehmensebene gibt es viele Möglichkeiten, sich gegen Malware zu schützen, wie zum Beispiel Anti-Ransomware-Software, Sicherheits-Updates, die Nutzung von Patches und Backups sowie Mitarbeiterschulungen. 

Wir wollten wissen, welche Sicherheitsmaßnahmen Unternehmen bereits ergreifen. Die top fünf sind: Antivirus-Software (81 %), Anti-Malware-Software (64 %), VPN (61 %), Software aktuell halten (54 %) und Anti-Spam-Software (53 %). Interessant ist hier zu sehen, dass selbst vergleichsweise einfache Maßnahmen wie die Aktualisierung von Software, die größtenteils über Updates erreicht werden kann, nur von etwas mehr als der Hälfte der Firmen ergriffen werden.

20 % der Unternehmen haben keinen Notfallplan für den Fall eines Ransomware-Angriffs

Antiviren-Programme, VPN, Firewalls und Co. sind essentiell, um mögliche Ransomware-Attacken von vornherein zu vermeiden, aber es ist immer sinnvoll, auf den Fall der Fälle vorbereitet zu sein. Sollte ein Unternehmen Opfer von Ransomware werden, hilft nur noch ein gutes Backup sowie ein Disaster Recovery Plan, um den Betrieb schnellstmöglich wieder aufnehmen zu können und Schaden zu minimieren.  

Backups stehen dabei als letzte Verteidigungslinie im Fokus von Hacker-Angriffen. Sind die Kopien erst einmal zerstört und die Originaldateien verschlüsselt, lässt sich ein Unternehmen eher unter Druck setzen, als wenn es auf Backups zurückgreifen kann. Deswegen ist es wichtig, Daten Offline zu speichern und sie so für Hacker schwer bis gar nicht zugänglich zu machen. Während Online Backups in der Cloud gemacht werden, gibt es für Offline Backups mehrere Möglichkeiten, wie zum Beispiel externe Festplatten.

Die meisten der von uns befragten KMU verfügen über eine Offline-Backup-Infrastruktur, wobei 40 % angaben, dass sie ihre Daten nur offline sichern, und 29 %, dass sie sowohl eine Online- als auch eine Offline-Backup-Struktur haben. Ebenfalls 29 % sichern ihre Daten dagegen nur online. Auch hier ist der internationale Vergleich aufschlussreich. Französische und deutsche Firmen entscheiden sich überwiegend für eine einzige Backup-Strategie, entweder On- oder Offline. Während französische Unternehmen mit 39 % eher auf Online setzen, sichern deutsche Firmen wie oben erwähnt ihre Daten vorzugsweise offline. Die größte Gruppe der britischen KMU dagegen wählen beides und sind damit im Vergleich zu Deutschland und Frankreich besser gerüstet. 41 % gaben an, dass in ihrem Unternehmen sowohl eine Online- als auch eine Offline-Backup-Struktur vorhanden ist.

Backups als Präventionsmaßnahme sind ein grundlegender Teil der Disaster Recovery eines Unternehmens, um Geschäftskontinuität zu gewährleisten und den insgesamten Schaden gering zu halten. Ausfallzeiten können damit auf ein Minimum reduziert werden und Daten wiederhergestellt werden, ohne dass die Firma ein Lösegeld dafür zahlen muss, was keine Garantie dafür bietet, dass sie die Daten tatsächlich zurückbekommen. Umso erstaunlicher ist es, dass ein unternehmensweiter Notfallplan nicht für alle Unternehmen selbstverständlich zu sein scheint. 20 % unserer Befragten gaben an, keinen Notfallplan für den Fall eines Ransomware-Angriffs zu haben und 7 % waren sich nicht sicher. 

Mitarbeiterschulungen als essentielle Tools zum Schutz gegen Ransomware

Maßnahmen wie eine Ransomware-Software zu installieren und die internen Systeme regelmäßig zu aktualisieren liegen als Schutzvorkehrungen gegen Cyberangriffe auf der Hand. Eine weitere wirksame Methode ist die Mitarbeiterschulung. Besonders die Angestellten können aufgrund von Unwissenheit und Gedankenlosigkeit ein Sicherheitsrisiko darstellen und der Malware Tür und Tor zu einem Unternehmen öffnen, zum Beispiel durch das Klicken auf Links in Phishing-E-Mails oder das Öffnen gefährlicher Dateianhänge.

45 % der Befragten gaben an, dass Angestellten in ihrem Unternehmen regelmäßige Schulungen angeboten werden, 33 % nannten ein- oder zweimalige Schulungen. Dagegen berichteten 19 %, dass keine Schulungen angeboten werden, sie aber geplant seien, und 2 % bieten keine Schulungen an und haben es auch nicht vor. Britische KMU sind da scheinbar besser vorbereitet. So gaben 47 % der Befragten an, dass ihr Unternehmen regelmäßige Schulungen anbietet, 44 % sagten, dass in ihrem Unternehmen ein- oder zweimalige Schulungen angeboten wurden und nur 6 % sagten, dass keine Schulungen angeboten werden, diese aber geplant seien. Dass Mitarbeiterschulungen einen hohen Stellenwert haben spiegelt sich auch in den Sicherheitsmaßnahmen wider, die in britischen Unternehmen bereits ergriffen werden. Bei der Frage nach aktuellen Maßnahmen wählten 66 % der Befragten „Schulungen für Mitarbeiter zum Thema Sicherheitsbewusstsein und Verhaltensmaßnahmen”. Vergleich: In deutschen Firmen waren es 37 %.

Im Falle eines Vorfalls, der mit Ransomware zusammenhängt, ist sich die Mehrheit der befragten deutschen IT-Fachkräfte sicher, dass ihre Mitarbeiter sich im Klaren darüber sind, wie sie sich verhalten sollen. Auf die Frage, ob ihre Mitarbeiter wissen, an wen sie einen Vorfall melden sollen, antworteten 89 % mit „Ja”, 6 % mit „Nein” und 5 % waren sich nicht sicher.

Was ist die Faustregel bei Trainings rund um die IT-Sicherheit eines Unternehmens? Reicht ein einmaliger Kurs aus oder sollten Schulungen regelmäßig stattfinden? Technische Möglichkeiten entwickeln sich ständig weiter, Cyberkriminelle passen ihre Strategien an. Bei einem einmaligen Training, zum Beispiel als Teil des Onboardings, kann es schnell passieren, dass Mitarbeiter kurz darauf wichtige Details vergessen oder ihr Wissen veraltet. Es kann für Firmen nur von Vorteil sein, Mitarbeitern regelmäßige Trainings rund um das Erkennen und Melden von Ransomware anzubieten. So können Angestellte mit neuen Entwicklungen Schritt halten und sind für das Thema nachhaltig sensibilisiert. 

Jeder Zweite denkt, dass sein Unternehmen einen Ransomware-Angriff innerhalb von Stunden entdecken würde

Cyberkriminelle, die unentdeckt Zugang zu fremden Netzwerken erlangen, können sich dort wochen- oder sogar monatelang aufhalten und Unmengen an Daten stehlen. Im Schnitt verbringen sie 56 Tag in ihrer Zielumgebung. Oftmals werden Unternehmen erst nach Eingang der Lösegeldforderung darauf aufmerksam, dass sie Opfer eines Angriffs geworden sind.

Dies steht im krassen Gegensatz zu den Ergebnissen der Umfrage. Nur 2 % denken, dass ihr Unternehmen Wochen benötigen würden, um einen Ransomware-Angriff zu erkennen. Mit 51 % geht die Mehrheit der Teilnehmer davon aus, dass ihr Unternehmen einen Ransomware-Angriff innerhalb von Stunden erkennen würde. 24 % denken, dafür einen Tag bis wenige Tage zu benötigen. Dagegen glauben 21 %, dass sie einen Angriff nahezu in Echtzeit bemerken würden.

Wir wollten auch wissen, ob KMU auf den Fall vorbereitet sind, dass ein Angriff am Wochenende oder an Feiertagen geschieht. Darauf antworteten 66 % mit „Ja”, 25 % mit „Nein” und 10 % waren sich nicht sicher. 

Haben IT-Fachkräfte insgesamt den Eindruck, dass ihr Unternehmen gut vor möglichen Ransomware-Angriffen geschützt ist? Die Resonanz auf diese offene Frage war überwiegend positiv. Allerdings sind nicht alle Befragten von der IT-Sicherheit ihres Unternehmens überzeugt. Einige Stimmen melden sich mit Aussagen wie den nachfolgenden skeptisch zu Wort.

Checkliste: So können sich KMU effektiv vor Ransomware-Angriffen schützen

Ransomware-Angriffe gehören mittlerweile zum Alltag für Unternehmen. Allerdings sind sie Hackern nicht hilflos ausgeliefert. Diese Checkliste hilft Firmen dabei, sich effektiv vor Attacken auf ihre Daten schützen.

• Umfassende Sicherheitssoftware auf allen Geräten installieren
• Betriebssysteme, Geräte und Software ständig updaten und patchen
• Mitarbeiter in „Awareness”-Trainings schulen
• Daten regelmäßig durch Backups sichern 
• Disaster Recovery Plan aufstellen