[datensicherheit.de, 11.08.2025] Obwohl das Bundesamt für Sicherheit in der Informationstechnik (BSI) die IT-Sicherheitslage in Deutschland im aktuellen Lagebericht 2024 als „besorgniserregend“ einstuft, ist in der Wirtschaft die Verantwortlichkeit für die Abwehr der Cyberkriminalität weitgehend „chaotisch“ organisiert: Diese Diskrepanz ist eine Erkenntnis aus dem „Cyber Security Report DACH 2025“ des Sicherheitsunternehmens Horizon3.ai, basierend auf einer Umfrage unter 300 Führungskräften überwiegend mittel­ständischer Firmen. Demnach ist die Frage, wer für die firmeninterne IT-Sicherheit zuständig ist, in der Wirtschaft weitgehend ungeklärt.

Foto: Horizon3.ai

Dennis Weyel gibt zu bedenken: Das Gros der Unternehmen verlässt sich noch immer auf herkömmliche passive Sicherheit – Pentesting steht hingegen für offensive Sicherheit und wird damit der wachsenden Bedrohungslage deutlich gerechter

IT-Sicherheit mit Nachrang: Nur 13% der Unternehmen verfügen über CISO

Bei knapp einem Viertel der Unternehmen (22%) liege die Verantwortung beim „Teamleiter IT“, bei 16 Prozent sei der „Chief Technology Officer“ (CTO) dafür verantwortlich und bei 14 Prozent der „Chief Information Officer „(CIO).

• Nur 13 Prozent der Unternehmen verfügten über einen „Chief Information Security Officer“ (CISO), welcher sich hauptverantwortlich um die betriebliche Informationssicherheit kümmert.

Bei einem Viertel der befragten Firmen liege die Zuständigkeit für die Abwehr von Cyber­kriminellen bei untergeordneten Positionen wie jener des IT-Managers, Administrators oder System­architekten. Bei einem guten Fünftel (21%) trage die Gesamtverantwortung für die IT-Sicherheit der IT-Einkaufsleiter.

Widerspruch zwischen Bedrohungslage der IT-Sicherheit und chaotischer Abwehr

„Der Widerspruch zwischen der sich verschärfenden Bedrohungslage durch Hacker-Angriffe und dem Verantwortungschaos bei der Abwehr auf Unternehmensseite ist unübersehbar“, warnt Dennis Weyel, „Inter­national Technical Director“ bei Horizon3.ai.

• „Angesichts der potenziell fatalen Folgen eines Cyberangriffs bis hin zum Betriebsstillstand und letztlich der Insolvenz wären alle Unternehmen gut beraten, einen ,Chief Information Security Officer’ als zentrale Sicherheitsinstanz zu etablieren!“, legt Weyel nahe.

Die unübersichtlich geregelten Verantwortlichkeiten seien vermutlich auch der Grund dafür, dass beinahe ca. ein Drittel (30%) der im Rahmen der Umfrage kontaktierten Unternehmen keine Cyberangriffe auf sich in den letzten 24 Monaten hätten feststellen können. Er kommentiert: „Niemand kann ernsthaft glaubten, zwei Jahre lang von Hackern verschont geblieben zu sein.“

Täglich mehr als 300.000 neue Schadprogramme auf ihrem Weg durch den Cyberspace

Weyel verweist auf BSI-Untersuchungen, wonach täglich mehr als 300.000 neue Schadprogramme ihren Weg durch den Cyberspace auf der Suche nach Opfern antreten. Ein Schwer­punkt liegt laut BSI auf automatisierten Angriffen auf den Mittelstand mit Ransomware, die Firmendaten verschlüsselt und erst gegen Lösegeldzahlungen wieder freigibt.

• „Erpressungen mit verschlüsselten oder gestohlenen Daten entwickeln sich zum Massengeschäft“, berichtet Weyel.

Die Cyberkriminellen professionalisierten ihre Vorgehensweise, seien technisch auf dem neuesten Stand und gingen aggressiv vor.

Resilienz-Stärkung: Automatisierte Pentest-Plattform zur IT-Sicherheit

Horizon3.ai betreibt nach eigenen Angaben unter dem Namen „NodeZero“ eine automatisierte Pentest-Plattform, über die Firmen Cyberangriffe auf ihre IT-Infrastruktur („Penetrationstest“) durchführen können, um die Resilienz gegenüber Hacker-Attacken auf die Probe zu stellen.

• Eine Auswertung von über 50.000 über „NodeZero“ durchgeführten Testangriffen habe zutage gefördert, dass es bei 71 Prozent der Unter­nehmen für professionelle Hacker vergleichsweise leicht sei, an Zugangsdaten zum Firmennetzwerk zu gelangen.

In beinahe 100.000 Fällen habe „NodeZero“ über Sicherheitslücken eindringen können, „die längst bekannt, aber bei den entsprechenden Unternehmen noch nicht gestopft waren“.

Pentesting steht für offensive Sicherheit

Weyel führt aus: „Das Gros der Unternehmen verlässt sich auf herkömmliche passive Sicherheit, die im wesentlichen auf einem mehrschichtigen Schutzwall rund um die IT-Systeme basiert.“ Sogenanntes Pentesting stehe hingegen für offensive Sicherheit und werde damit der wachsenden Bedrohungslage deutlich gerechter.“

• Er erläutert die Unterschiede anschaulich: „Passive Sicherheitssysteme sind wie eine vielschichtige Alarmanlage rund um ein Haus, von der niemand weiß, ob sie im Falle eines Einbruchs tatsächlich funktioniert, weil sie niemals getestet wird. Aktive Sicherheit hingegen bedeutet, dass jede Nacht über alle denkbaren Wege ein Einbruchsversuch unternommen wird, um eventuelle Sicherheitslücken aufzudecken, die am nächsten Tag behoben werden können.“

Er rät Unternehmen, mindestens einmal im Monat einen solchen „Einbruch“ zu simulieren, also einen Pentest auf die IT-Infrastruktur durchzuführen.

Unter­schiede im Sicherheitsniveau: manuelles vs. automatisiertes Pentesting

Dennoch führt laut Studie nur gut die Hälfte (51%) der 300 befragten Unternehmen Pentests durch. Lediglich 13 Prozent verwendeten hierzu automatisierte Systeme, was die Voraussetzung sei, um eine der Bedrohungslage angemessene Regelmäßigkeit zu erhalten. 38 Prozent setzten auf manuelles Pentesting, davon 21 Prozent auf externe Sicherheitsdienstleister.

• „Gleichgültig, ob externe oder interne Ressourcen zum Einsatz kommen, ist manuelles Pentesting viel aufwändiger und damit teurer als die Verwendung einer automatisierten Pentestingplattform“, gibt Weyel zu bedenken. Dabei gehe es nicht in erster Linie um die Kosten, sondern um die Unter­schiede im Sicherheitsniveau.

Je kostengünstiger und automatisierter die aktive Überprüfung der IT-Sicherheit sei, desto häufiger werde sie von den Unternehmen durchgeführt. „Und die Regelmäßigkeit ist angesichts von täglich beinahe 70 neuentdeckten Schwachstellen in Computerprogrammen ein entscheidenden Faktor, um IT-Organisationen sicher zu halten“, unterstreicht Weyel abschließend.

Weitere Informationen zum Thema:

HORIZON3.ai
Our Vision: The Future of Security

TECHNIK UND WISSEN / TECHNISCHE RUNDSCHAU, 30.06.2025
Cyberkriminalität: Der Mittelstand segelt im Nebel / Zwei Drittel der Unternehmen in der DACH-Region wurden gehackt – oft ohne es zu merken

datensicherheit.de, 27.06.2025
CISO-Reifeprüfung – in fünf Stufen zur Cyberresilienz / Angesichts zunehmender Bedrohung stehen CISOs unter stärkerem Druck, die Sicherheit ihres Unternehmens ganzheitlich neu zu denken

datensicherheit.de, 19.02.2025
2025 als Jahr gute IT-Security-Vorsätze: Vier CISO-Prioritäten auf der Agenda / 44 Prozent der CISOs machtlos – zwischen 2023 und 2024 waren sie nicht in der Lage, Sicherheitsvorfälle rechtzeitig zu erkennen

datensicherheit.de, 25.11.2024
Marco Eggerling gibt CISO-Tipps für effektive E-Mail-Sicherheit / Klassische E-Mail bleibt primärer Bedrohungsvektor im Cyberspace

datensicherheit.de, 16.10.2024
DACH-Region: Alarmierende Zunahme der DDoS-Angriffe /Deutschland laut „NETSCOUT DDoS Threat Intelligence Report“ am stärksten von DDoS-Attacken betroffen

datensicherheit.de, 11.10.2023
Predictive-Text-Technologien: Veritas gibt CISOs Tipps zu Sicherheit und Datenschutz / Veritas-Stellungnahme soll mit fünf gängigen Missverständnissen aufräumen

[datensicherheit.de, 01.07.2025] Dennis Weyel, „International Technical Director“ bei Horizon3.ai, kommentiert in seiner aktuellen Stellungnahme die aktuelle Cyberbedrohungslage für Unternehmen: „Viele Unternehmen segeln durch den Cyberspace wie ein Schiff bei Dunkelheit durch den Nebel. Sie wissen, dass Gefahren lauern und haben Vorsichtsmaßnahmen getroffen, aber sie wissen nicht, ob ihr Schiff einem Angriff standhalten würde.“

Cyberattacken auf heimische Unternehmen immer heftiger

Cyberattacken auf die heimische Wirtschaft werden offenbar immer heftiger – diese Entwicklung lässt sich jedenfalls dem „Cyber Security Report DACH 2025“ der Sicherheitsfirma Horizon3.ai entnehmen.

• „Laut einer Umfrage unter 300 Führungskräften überwiegend mittelständischer Firmen, die dem Berichtsband zugrunde liegt, sind zwei Drittel der Unternehmen in Deutschland, Österreich und der Schweiz (DACH-Region) in den letzten zwei Jahren mindestens einmal Opfer eines Cyberangriffs geworden.“

Dies entspreche einer Ausweitung um sechs Prozentpunkte gegenüber der Vergleichsstudie von Horizon3.ai ein Jahr zuvor (60%). „Die Angriffe werden aber nicht nur häufiger, sondern auch zunehmend heftiger und aggressiver“, berichtet Weyel.

Nur 23% der Unternehmen konnten Cyberangriffe erfolgreich abwehren

So habe nicht einmal ein Viertel (23%) der Unternehmen die Angriffe erfolgreich abwehren können. 44 Prozent der Firmen hätten laut eigenen Angaben einen Schaden hinnehmen müssen.

• „Am häufigsten kam es zu Ausfallzeiten (58%), gefolgt von (Mehrfachnennungen waren erlaubt) negativen Auswirkungen auf das Geschäft (46%), Datenverlust (37%) oder rechtlichen Konsequenzen (31%).“

Ein Drittel der attackierten Unternehmen seien aufgefordert worden, Lösegeld zu zahlen, um die von Cyberkriminellen verschlüsselten eigenen Firmendatenbestände wieder freizukaufen. „Wahrscheinlich liegt die Dunkelziffer deutlich höher“, vermutet Weyel.

In einigen Fällen werden infizierte Computer unbemerkt zu „Zombies“

Ein gutes Zehntel (11%) der befragten Unternehmen sei sich eigenen Angaben zufolge sicher, in den letzten zwei Jahren keinem einzigen Angriff ausgesetzt gewesen zu sein. „Das ist so gut wie ausgeschlossen!“, so Weyel und führt hierzu aus: „Vermutlich wurden die Angriffsversuche einfach nicht bemerkt, was per se gut aussieht, weil sich augenscheinlich keine Schäden bemerkbar gemacht haben.“

• Er warnt eindringlich: „Es gibt zahlreiche Formen von Cyberkriminalität, die sich über Monate oder Jahre hinziehen können, ohne dass sie auffallen.“ So könnten Angreifer beispielsweise dauerhaft und unbemerkt im Netzwerk eines Unternehmens Fuß fassen, was zu einer Datenexfiltration oder Systemkompromittierung führe.

In einigen Fällen würden infizierte Computer zu „Zombies“ in einem sogenannten Botnet, „die ferngesteuert werden, um bösartige Aktivitäten wie die Verbreitung von Spam oder koordinierte Angriffe auszuführen“. Ein knappes Fünftel (19%) der überwiegend mittelständischen Führungskräfte gibt demnach zu: „Es sind uns keine Angriffe bekannt, denen wir ausgesetzt waren“ – es könnten aber dennoch welche stattgefunden haben.

Die Frage für Unternehmen lautet nicht „ob“, sondern „wie oft“…

„Viele Unternehmen segeln durch den Cyberspace wie ein Schiff bei Dunkelheit durch den Nebel“, so Weyels bildhafter Vergleich. Er erläutert: „Kapitän und Mannschaft wissen, dass da draußen Piraten lauern, die es auf sie abgesehen haben und sie haben auch eine ganze Reihe von Vorsichtsmaßnahmen ergriffen. Aber Schiff und Mannschaft haben sich noch niemals in einem ernsthaften Angriff bewährt, so dass die Unsicherheit entsprechend groß ist.“

• Auf Cyberkriminalität bezogen empfiehlt er den Unternehmen, ihre IT-Netzwerke regelmäßig sogenannten Penetrationstests zu unterziehen. „Das ist wie ein simulierter Piratenangriff mit allen Mitteln, bei dem aber sichergestellt ist, dass Mann und Maus die Sache gut überstehen. Bei einer solchen Simulation wird offengelegt, welche Schwachstellen bestehen, so dass man diese im Anschluss schnellstmöglich beheben kann.“

Dabei gehe es nicht nur um die Frage „ob“, sondern auch „wie oft“: Über die Hälfte (51%) aus der Stichprobe von 300 Unternehmen habe in den letzten zwei Jahren zwei oder mehr Angriffsversuche ausgemacht. Ein Drittel sei sogar dreimal oder noch häufiger attackiert worden. Bei der Vorjahressstudie habe „lediglich“ ein knappes Viertel drei oder mehr Attacken binnen zwei Jahren festgestellt. „Die Bedrohungslage spitzt sich zu“, verdeutlicht Weyel die Situation.

Unternehmen im Blindflug: „Prinzip Hoffnung“ statt Planung und Vorsorge

Dennoch verfügten laut Umfrage nicht einmal ein Fünftel (18%) der überwiegend mittelständischen Unternehmen über einen getesteten Notfallplan, um nach einem Cyberangriff den ordnungsgemäßen Betrieb wieder herzustellen. Weitere 19 Prozent bewahrten laut Eigenangabe zwar einen solchen Plan „in der Schublade“ auf, hätten ihn aber noch nicht ein einziges Mal in der Praxis getestet. „Das ist wie eine Feuerwehrtruppe, die noch nie im Leben ein Feuer gelöscht hat“, moniert Weyel und führt aus: „Es kann gutgehen, aber die Wahrscheinlichkeit, dass es schief geht, ist um ein Vielfaches höher.“

• Mehr als ein Drittel (37%) der Firmen sei sich des Risikos offenbar bewusst: Es gebe noch keinen Notfallplan für „the day after“, aber immerhin den Plan, einen solchen Plan aufzustellen. Ein knappes Viertel (24%) habe gar keine Vorkehrungen für den „schlimmsten Fall“ getroffen und gehe offenbar davon aus, dass es nie zu nennenswerten betrieblichen Beeinträchtigungen durch cyberkriminelle Aktivitäten kommen werde.

„Das ,Prinzip Hoffnung’ herrscht in weiten Teilen vor allem der mittelständischen Wirtschaft vor, obgleich das ,Prinzip Vorsorge’ durch eine regelmäßige Überprüfung und Bewertung der Cyberresilienz angesagt wäre“, so Weyels ernüchterndes Fazit.

Weitere Informationen zum Thema:

HORIZON3.ai
… verify. Then verify again.

datensicherheit.de, 05.06.2025
Bis zu fünf Millionen US-Dollar Schaden nach Cyberangriffen auf Industrieunternehmen / Ungeplante Ausfallzeiten nach Cyberangriffen dauern bei 86 Prozent der Betroffenen bis zu 24 Stunden

datensicherheit.de, 04.06.2025
Betrugsblindheit europäischer Unternehmen: Trotz Angriffszunahme um 59 Prozent waltet Zuversicht / 74 Prozent der Unternehmen sind zuversichtlich, sich effektiv schützen zu können – obwohl nur 45 Prozent die Auswirkungen von Identitätsbetrug messen

datensicherheit.de, 11.05.2025
SANS Institute benennt Top 5 der gefährlichsten neuen Angriffstechniken / Im Rahmen der „RSA Conference“ wurden die „Top 5“ der kritischen Angriffsvektoren im Bereich der Cyber-Sicherheit vorgestellt

datensicherheit.de, 23.07.2024
Cyber-Resilienz – potenzielle Bedrohungen proaktiv erkennen und IT-Notfallplan vorbereiten / IT-Notfallkarten sollten angelegt und Sicherheitslücken fortlaufend ermittelt werden

datensicherheit.de, 26.09.2019
BSI veröffentlicht IT-Notfallkarte für KMU / Individuelle Notfall-Rufnummer sowie effektive Handlungsanweisungen auf einen Blick

[datensicherheit.de, 07.02.2025] Die Verantwortung für die Cyber-Sicherheit der Unternehmen ist häufig beim IT-Management ansiedelt, selten indes im Vorstand oder bei der Geschäftsführung – dies ist demnach eine Erkenntnis aus dem aktuellen „Cyber Security Report DACH“ des Sicherheits­­unternehmens Horizon3.ai. Dennis Weyel, dessen „International Technical Director“ mit Zuständigkeit für Europa, zeigt sich verwundert: „Den meisten Vorständen oder Geschäftsführern scheint gar nicht klar zu sein, dass sie ohne Wenn und Aber persönlich in der Haftung stehen, wenn es durch einen ernsthaften Cyber-Angriff etwa zu einer Betriebsunterbrechung kommt, personenbezogene Daten entwendet werden oder schlimmstenfalls sogar Insolvenz angemeldet werden muss!“

Oberste Leitungsebene über alle Branchen hinweg sollte regelmäßig die Cyber-Resilienz ihrer Einrichtungen überprüfen

Angesichts von täglich mehr als 4.000 Attacken allein auf deutsche Unternehmen, wie es aus dem letzten Lagebericht des Bundesamtes für Informations­sicherheit (BSI) hervorgehe, sei diese „Blindheit gegenüber der Verantwortung“ als „grob fahrlässig“ einzustufen.

Er empfiehlt daher der Obersten Leitungsebene über alle Branchen hinweg Weisung zu geben, mindestens einmal im Monat oder sogar wöchentlich durch sogenannte Penetrationstests („Pentest“) – im Finanzsektor von der EZB als „Stresstest“ bezeichnet – die Cyber-Resilienz ihrer Firmen überprüfen zu lassen.

Laut „Cyber Security Report DACH“ liege die Verantwortung für die IT-Sicherheit in den Unternehmen beim – in dieser Reihenfolge – „Chief Technology Officer“ (CTO, 24% der Firmen), „Chief Information Officer“ (CIO, 18%) bzw. IT-Einkaufsleiter (18%), Leiter der Abteilung „Digitales“ (15%), „Chief Information Security Officer“ (CISO, 13%) oder Manager für „Risiko und Compliance“ (7%). Ein knappes Zehntel (9%) habe den Verantwortungsbereich „IT-Sicherheit“ an eine externe Beratungsfirma gegeben. „In Wahrheit liegt die Verantwortung im Fall der Fälle aber bei allen Vorständen oder allen Geschäfts­führern!“, unterstreicht Weyel nachdrücklich.

2024 über 200 Milliarden Euro Schaden durch Cyber-Kriminalität

„In der Umfrage erklärte beinahe die Hälfte (48%), dass sie sich der persönlichen Haftung auf Top-Managementebene bewusst seien. Ein Drittel gab sich von dieser Rechtsposition überrascht, zwölf Prozent behaupteten, von dieser Haftung ,noch nie gehört’ zu haben“, berichtet Weyel. Den mit Cyber-Kriminalität verbundenen Schaden habe ein gutes Drittel (34%) auf 100 bis 200 Milliarden Euro allein in Deutschland geschätzt – 28 Prozent seien von 200 bis 300 Milliarden Euro Schadenshöhe ausgegangen, 22 Prozent von 50 bis 100 Milliarden Euro, und 15 Prozent von weniger als 50 Milliarden Euro. Damit lägen knapp zwei Drittel der Befragten in der Größenordnung richtig: „Der IT-Branchen­verband geht von etwas über 200 Milliarden Euro Schadenssumme im letzten Jahr aus.“

„Obgleich dem Gros der Führungskräfte das Gefahrenpotenzial und ihre persönliche Haftung bewusst sind, gehen sie vergleichsweise lax damit um“, kommentiert Weyel und spekuliert: „Möglicherweise gehen viele Top-Manager davon aus, dass ihre ,D&O’-Versicherung zusammen mit einer Cybercrime-Versicherung schon für alle eventuellen Schäden aufkommen werden. Doch wenngleich beide Versicherungen sinnvoll sind, ist eine Schadens­regulierung im Fall der Fälle mitnichten per se gegeben!“

Eine ausreichende Absicherung vor Hacker-Angriffen und der Nachweis, dass Cyber-Attacken tatsächlich ins Leere laufen, stellten in der Regel eine wesentliche Grundlage für derartige Versicherungen dar. Spätestens bei möglichen Compliance-Verstößen etwa gegen die Netzwerk- und Informationssicherheitsrichtlinie der Europäischen Union (NIS-2) sei die Assekuranzfrage sicherlich alles Andere als geklärt.

NIS-2 betrifft Cyber-Sicherheit der gesamten Lieferkette

Rund 30.000 Unternehmen in Deutschland seien nun von den NIS-2-Bestimmungen betroffen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) habe eigens eine Website eingerichtet, auf der Firmen prüfen könnten, ob sie darunter fallen. Weyel gibt zu bedenken: „Daher umfasst NIS-2 die gesamte Lieferkette. Fällt nur ein einziges Unternehmen in einer solchen Kette unter die NIS-2-Regelungen, dann gelten diese im Grunde für alle Firmen innerhalb der Kette.“ Er gibt hierzu ein Beispiel: „Wenn eine Firma ein Krankenhaus auf der Kundenliste stehen hat, dann ist sie betroffen, weil die Klinik als Kritische Infrastruktur eingestuft wird.“

Das deutsche Gesetz zur Umsetzung der Revision der Netzwerk- und Informationssicherheits­richtlinie („NIS-2UmsuCG“) unterscheide zwischen „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“. Zur ersten Kategorie gehörten die Betreiber versorgungskritischer Anlagen ab einer bestimmten Versorgungsgröße wie beispielsweise große Telekommunikationsnetzbetreiber und Teile der Bundesverwaltung. Unter die zweite Kategorie fielen Firmen ab einer gewissen Mindestgröße aus den Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infra­struktur und Weltraum sowie zusätzlich Unternehmen der Abfallwirtschaft, der Chemieindustrie, der Lebensmittelwirtschaft, bestimmte Produkthersteller wie für Medizinprodukte oder IT-Geräte, Maschinen- und Fahrzeugbauer sowie Forschungseinrichtungen.

Weyel warnt: „Wer meint, dass nur die jeweils betriebskritischen IT-Systeme betroffen sind, irrt gewaltig!“ Er verweist abschließend darauf, dass in der Gesetzesbegründung ausdrücklich festgelegt sei, dass darunter „sämtliche Aktivitäten der Einrichtung, für die IT-Systeme eingesetzt werden“ fielen, also beispielsweise auch der übliche Bürobetrieb oder die Buchhaltung.

Weitere Informationen zum Thema:

statista in Kooperation mit bitkom
Schäden durch Datendiebstahl, Industriespionage oder Sabotage in Deutschland im Jahr 2024

Bundesamt für Sicherheit in der Informationstechnik
NIS-2-Betroffenheitsprüfung

datensicherheit.de, 20.01.2025
NIS-2: Veeam-Umfrage in Deutschland kündet von vielen Baustellen der KRITIS-Betreiber / Nur 37 Prozent der Befragten tatsächlich konform zur NIS-2-Richtlinie

datensicherheit.de, 29.11.2024
NIS-2: EU leitet Vertragsverletzungsverfahren gegen Deutschland ein / Inzwischen ist mit einer NIS-2-Umsetzung nicht vor Herbst 2025 zu rechnen

datensicherheit.de, 25.11.2024
Offener Brief an Bundestag: TeleTrusT mahnt NIS-2-Umsetzung noch in laufender Legislaturperiode an / Ende der „Ampel“-Koalition darf nicht zur weiteren Verzögerung führen

[datensicherheit.de, 20.07.2024] In seiner Stellungnahme zu den weltweiten IT-Ausfällen vom 19. Juli 2024 warnt der IT-Sicherheitsexperte Dennis Weyel: „Ein großflächiger Cyber-Angriff könnte die Welt ins Chaos stürzen!“ Was als einfacher Softwarefehler begonnen habe, „entwickelte sich in Rekordzeit zu einem globalen Desaster“. Millionen von Verbrauchern hätten die Auswirkungen der massiven IT-Panne schnell in ihrem Alltag zu spüren bekommen. „Während die einen nur mit Flugausfällen zu kämpfen hatten, fielen bei anderen geplante Operationen aus.“ Dank sofortiger Krisensitzungen seien erste Lösungen schnell umgesetzt worden. Indes: „Diesmal hat uns die Tatsache, dass es sich ‚nur‘ um eine IT-Panne handelte, vor dem digitalen Abgrund bewahrt. Im Falle eines böswilligen Hacker-Angriffs wäre die Situation für die Menschheit weitaus ernster.“

Foto: Horizon3.AI Europe GmbH

Dennis Weyel mahnt: Eine Überprüfung der Cyber-Resilienz ist dringend erforderlich!

Wenn bereits ein einziger Softwarefehler ausreicht, um für derartige Ausfälle zu sorgen, wären gezielte Cyber-Attacken noch viel schlimmer

Am 19. Juli 2024 habe eine weltweite Störung bei Computersystemen massive Probleme verursacht: „Betroffen waren Anwendungen des US-Softwarekonzerns Microsoft. Zahlreiche Branchen, einschließlich Kritischer Infrastrukturen wie Krankenhäuser, Telekommunikation, Trinkwasserversorgung und Energieversorger, waren betroffen.“ Die verheerenden Auswirkungen seien in jeder Branche und an jedem Ort zu spüren gewesen.

Weyel betont: „Wir können von Glück reden, dass ‚nur‘ ein Softwarefehler für den Ausfall verantwortlich war. Stellen wir uns vor, es wäre ein gezielter Hacker-Angriff mit böswilliger Absicht gewesen. Ein solcher Angriff hätte noch viel katastrophalere Folgen für die ganze Welt, wenn bereits ein einziger Softwarefehler ausreicht, um für derartige Ausfälle zu sorgen.“

Bei gezielten Cyber-Angriffen könnten im schlimmsten Fall ganze Infrastrukturen zusammenbrechen – BlackOuts drohen

Bei einem gezielten Cyber-Angriff könnten im schlimmsten Fall ganze Infrastrukturen zusammenbrechen, Bankensysteme angegriffen oder das Gesundheitsnetz lahmgelegt werden. Dass in einem solchen Fall Menschenleben in Gefahr sind, müsse man sich bewusst machen. „Dieses Mal ist es uns gelungen, das Ruder herumzureißen, aber die Gefahr ist groß und sehr real, dass wir im Falle eines groß angelegten Cyber-Angriffs in einen Abgrund stürzen.“

Erschreckende Statistiken des Bundesamts für Sicherheit in der Informationstechnik (BSI) verdeutlichten die enormen Risiken: „Täglich werden rund 70 neue Schwachstellen in Softwareprodukten registriert, was eine immense Angriffsfläche schafft. Die Zahl der Personen, die gezielt nach diesen Schwachstellen suchen, ist größer als erwartet.“ Unsere Abhängigkeit von Maschinen und Anlagen sei enorm; ein gezielter Manipulationsangriff könnte verhängnisvolle Folgen haben. Die potenziellen Auswirkungen eines solchen Ausfalls wären für uns alle katastrophal.

Kettenreaktion eines Cyber-Angriffs kann Oberste Leitung der Unternehmen in die Haftung führen

Die Kettenreaktion eines solchen Cyber-Angriffs dürfe nicht unterschätzt werden. „Sind die immensen Schäden erst einmal behoben, können Firmeninhaber, Vorstände, Geschäftsführer und Aufsichtsräte zur Rechenschaft gezogen werden, denn letztlich trägt die Unternehmensleitung die Verantwortung.“ Es drohten Schadenersatzforderungen, „die in die Milliarden gehen und Unternehmen in ihrer Existenz bedrohen können“.

Weyel hebt hervor: „Dies gilt für Unternehmen aller Branchen, die ihre Cyber-Sicherheit vernachlässigen. Auch sie müssen im Ernstfall mit erheblichen Schadensersatzforderungen rechnen.“ Die finanziellen und Reputationsschäden könnten ruinös sein. „Die Unternehmensführung muss sich jetzt aufraffen und sich bewusst machen, dass sie persönlich haftbar gemacht werden kann. Eine Überprüfung der Cyber-Resilienz ist dringend erforderlich!“, mahnt Weyel.

Zur Stärkung der Cyber-Resilienz: Dennis Weyel empfiehlt Penetration Testing

Angesichts der wachsenden Bedrohungen gibt es laut Weyel nur eine sinnvolle Lösung: Firmenbeauftragte Test-Angriffe durchzuführen, um Sicherheitslücken aufzuspüren. Dieses Verfahren, im Fachjargon als „Penetration Testing“ bezeichnet, werde nicht mehr ausschließlich von „White Hat“-Hackern durchgeführt, sondern könne mittlerweile auch durch autonome Pentests über „Cloud“-Plattformen von Unternehmen jeder Größe durchgeführt werden.

„Penetration Testing“ ermögliche es, verwundbare Software sicher zu testen und gezielt auf Schwachstellen hinzuweisen, um notwendige Maßnahmen zu identifizieren. „Selbstangriff ist die beste Verteidigung. In der aktuellen geopolitischen Lage ist es unerlässlich, potenzielle Sicherheitslücken proaktiv zu patchen. Reaktives und defensives Denken ist absolut keine Option mehr“, so Weyels Fazit.

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik, 19.07.2024
Weltweite IT-Ausfälle

datensicherheit.de, 19.07.2024
CrowdStrike: Ein IT-Update und es wackelt die ganze Welt / Alain Blaes kommentiert globale IT-Ausfälle vom 19. Juli 2024

datensicherheit.de, 19.07.2024
IT-Sicherheitsupdate sorgt für Chaos: eco kommentiert weltweite technische Probleme vom 19. Juli 2024 / Grund dafür soll ein Update einer IT-Sicherheitssoftware sein, welches offenbar zahlreiche Rechner lahmgelegt hat

datensicherheit.de, 19.07.2024
Digitale Pandemie: Chris Dimitriadis kommentiert IT-Sicherheitsvorfälle vom 19. Juli 2024 / Unter anderem Fluggesellschaften, Banken, Behörden und Medienorganisationen sind von IT-Ausfällen betroffen