„Oft sind es nicht die hochentwickelten Hackerattacken, die in der Breite zu erheblichen Schäden führen, sondern alltägliche Angriffe, wie zum Beispiel durch das sogenannte Phishing“, erklärt Dennis-Kenji Kipker vom Institut für Informations-, Gesundheits- und Medizinrecht (IGMR) am Fachbereich Rechtswissenschaft. Beim Phishing wird über gefälschte Webseiten, E-Mails oder Kurznachrichten versucht an persönliche Daten zu gelangen. Grundsätzlich sei die Tendenz festzustellen, dass Unternehmen unabhängig von ihrer Größe angegriffen würden, so Kipker. „Dort, wo es etwas zu holen gibt, probiert man es gerne aus.“ Darüber hinaus würden Betrüger auch nicht vor Angriffen auf Privatleute zurückschrecken.
Zweite Monitor-Umfrage
Im Rahmen der deutschlandweiten IT-Sicherheitsstudie „Monitor IT-Sicherheit Kritischer Infrastrukturen“ wurden von Oktober 2017 bis einschließlich Januar 2018 zahlreiche sogenannte Kritische Infrastrukturen befragt. Darunter versteht man zum Beispiel Flughäfen, Kontrollzentren für den Schienenverkehr, Krankenhäuser, Banken, Versicherungen, Atomkraftwerke oder Wasserwerke. Die Studie – auch Monitor-Umfrage genannt – entstand im Rahmen des vom Bundesministerium für Bildung und Forschung (BMBF) geförderten Förderschwerpunkts „IT-Sicherheit für Kritische Infrastrukturen“ (ITS|KRITIS). Die Leitung des Forschungsvorhabens hat die Universität der Bundeswehr München. Beteiligt sind neben der Universität Bremen die Friedrich-Alexander-Universität Erlangen-Nürnberg und die Deutsche Kommission Elektrotechnik Elektronik und Informationstechnik (DKE) im VDE (Verband der Elektrotechnik, Elektronik und Informationstechnik). Es handelt sich um die mittlerweile zweite Monitor-Umfrage. Die erste wurde 2017 veröffentlicht.
IT-Sicherheitsschulungen wichtig
Laut Studie konnte eine große Anzahl der befragten Betreiber Cyberangriffe verzeichnen. Bemerkenswert sei, so der Bremer IT-Experte Dennis-Kenji Kipker, dass die am häufigsten genannte Ursache für den Erfolg von Angriffen das Fehlverhalten von Mitarbeiterinnen und Mitarbeitern sei. „Dies macht den Bedarf an geeigneten IT-Sicherheitsschulungen deutlich.“ Zudem müsse beim Personal ein sensibles Bewusstsein für IT-Sicherheit geschaffen werden.“ Zwar zeigen die Ergebnisse der Studie, dass der Anteil der Organisationen, die dies machen, groß ist. Doch selten würden auch Partner und externe Mitarbeiter mit einbezogen. „Interessant ist zudem, dass die Betreiber ihre eigenen Fähigkeiten, Cyberangriffe abzuwehren, optimistischer einschätzen als für den Rest ihrer Branche oder für den Wirtschaftsraum Deutschland generell“, so Kipker. Dieser Effekt war schon in der ersten Monitor-Umfrage sichtbar und ist nun erneut festzustellen.
IT-Sicherheit muss an aktuelle Risiken angepasst werden
Erfolgen Cyberattacken durch Schadprogramme, die eine große Medienaufmerksamkeit erfahren, seien Organisationen wesentlich sensibilisierter, ihre IT-Sicherheit zu überdenken, ist ein weiteres Ergebnis der Studie. Doch auch wenn die Betreiber auf neue Bedrohungen reagieren, ergreifen nur wenige von ihnen neue Maßnahmen. Meist überprüfen Organisationen die bestehenden oder haben bereits im Vorfeld Maßnahmen getroffen, weil die Bedrohung bereits bekannt war. „Diese Ergebnisse zeigen einerseits, dass die Betreiber Kritischer Infrastrukturen ihre Verantwortung ernst nehmen und reagieren“, so Kipker. Andererseits werde deutlich, dass die IT-Sicherheit laufend an aktuelle Risiken angepasst werden müsse.
Weitere Informationen:
Fragen beantwortet:
Dr. Dennis-Kenji Kipker
Institut für Informations-, Gesundheits- und Medizinrecht (IGMR)
Fachbereich Rechtswissenschaft
Universität Bremen
Tel.: +49 151-40223163
E-Mail: kipkerprotect me ?!uni-bremenprotect me ?!.de
