Kleine und mittlere Unternehmen: Warum sind sie das Ziel von Cyberangriffen?

Cybersicherheit ist für Unternehmen jeder Größe zu einer unverzichtbaren Realität geworden. Ransomware, Phishing, BEC-Angriffe und DDoS-Attacken können jeden treffen. Keine Organisation ist vor Angriffen gefeit. Auch kleinere Strukturen nicht – doch warum sind gerade sie ein bevorzugtes Ziel für Cyberangriffe?

Es ist offensichtlich, dass die Zahl der Cyberangriffe auf kleine und mittlere Unternehmen (KMU/Kleinstunternehmen) zunimmt, da deren Sicherheitssysteme aufgrund fehlender Ressourcen, mangelnder Informationen oder unzureichender Schutzmaßnahmen oft weniger ausgereift sind. Führungskräfte müssen sich der Risiken und Herausforderungen bewusst werden, indem sie geeignete Lösungen implementieren, kostspielige Investitionen tätigen und ihre Teams entsprechend schulen.

1. Warum sind kleine und mittlere Unternehmen das Ziel von Cyberangriffen?
2. Risikominimierung
3. Reifegrad der Cybersicherheit
4. Fachkräftemangel
5. Budgetproblematik

Warum sind kleine und mittlere Unternehmen das Ziel von Cyberangriffen?

Beginnen wir diese Bestandsaufnahme mit einer klaren Definition der Begriffe KMU, Kleinstunternehmen und mittelständische Unternehmen.

KMU: "Kleine und mittlere Unternehmen sind solche, die einerseits weniger als 250 Mitarbeiter beschäftigen und andererseits einen Jahresumsatz von höchstens 50 Millionen Euro erzielen."

INSEE

• KMU: „Kleine und mittlere Unternehmen sind solche, die einerseits weniger als 250 Mitarbeiter beschäftigen und andererseits einen Jahresumsatz von höchstens 50 Millionen Euro erzielen“ (INSEE)
• Kleinstunternehmen steht für „sehr kleine Unternehmen“; „sie haben nicht mehr als zehn Mitarbeiter und einen Jahresumsatz von höchstens zwei Millionen Euro.“ (Infonet)
• Mittelständische Unternehmen sind „Unternehmen mittlerer Größe mit weniger als 5.000 Mitarbeitern und einem Jahresumsatz von höchstens 1,5 Milliarden Euro“ (écono Gouv.fr)

Sind KMU angesichts dieser Angriffe gut vorbereitet, ausgestattet und geschützt?

Ein Blick auf die unten stehenden Zahlen verdeutlicht die wichtigsten Fakten und ermöglicht es uns, diese Fragen bereits teilweise zu beantworten. Es zeigt sich nach wie vor ein Mangel an Wissen über Cyber-Risiken und ein geringer Reifegrad in Sicherheitsfragen, auch wenn sich dieses Thema allmählich weiterentwickelt.

Der Fachkräftemangel in technischen Teams, die meist Großkonzerne bevorzugen, sowie das knappe Budget für Cybersicherheit ergänzen die Liste der zu berücksichtigenden Verbesserungsansätze.

Einige Zahlen:

• 95 % der Unternehmensleiter geben an, ein gutes Verständnis von Cybersicherheit zu haben.*
• 1/3 der Kleinst- und Kleinunternehmen (KKU) gibt an, einen IT-Spezialisten für die Cybersicherheit im Unternehmen zu beschäftigen.*
• Für 6 von 10 Unternehmenübersteigt das für Cybersicherheit bereitgestellte Budget kaum 1.000 € pro Jahr.**
• Nur jeder zweite Unternehmensleiter nutzt ein VPN.**

*IFOP-Umfrage 2021

**Studie veröffentlicht von Europe 1 im Jahr 2021

Risikominimierung

Kleine und mittlere Unternehmen priorisieren die Prävention von Angriffen nicht immer. Lösegeldforderungen, Reputationsschäden, Denial-of-Service-Attacken oder Sabotage – all diese Risiken werden von kleinen Strukturen oft kaum oder gar nicht in Betracht gezogen. Sie gehen davon aus, dass Angreifer es eher auf große Unternehmen abgesehen haben.

54 % der KMU halten sich für sicher vor Cyberangriffen, da sie glauben, ihre Unternehmensgröße sei nicht bedeutend genug.

ANSSI

Der Informationsbericht Nr. 678 des Senats stellt jedoch fest, dass im Jahr 2020 „43 % der KMU einen Cybersicherheitsvorfall verzeichneten“. Die französische Agentur für die Sicherheit von Informationssystemen (ANSSI) verzeichnete im März 2020 einen Anstieg der Phishing-Versuche um 400 %. Forrester Consulting gibt an, dass „zwischen November 2020 und Januar 2021 der Anteil der KMU/KKU mit weniger als 250 Mitarbeitern, die in den letzten 12 Monaten von Cyberangriffen betroffen waren, bei 33 % lag.“

Diese Zahlen belegen eindeutig, dass sowohl große als auch kleine Strukturen Ziel von Cyberangriffen werden können. Jeder sollte sich angesprochen fühlen. Dennoch gaben laut Source IT im Jahr 2021 „von den 47 % der KMU, die Cybersicherheit nicht zur Priorität machen, 40 % an, einen Angriff erlitten zu haben, der bei 50 % von ihnen zu Umsatzverlusten und bei 23 % zu Produktionsunterbrechungen führte“. Die Bedeutung der Cybersicherheit für die Unternehmensstrategie wird nach wie vor unterschätzt.

Ein Beispiel: Die Dessous-Gruppe Lise Charmel wurde 2019 Opfer eines Ransomware-Angriffs. Die 1.150 Mitarbeiter der Gruppe waren betroffen, und das Unternehmen musste Insolvenz anmelden.[1]

Abschließend seien diese Zahlen zur Ausstattung genannt: „97 % nutzen ein Antivirenprogramm, 88 % eine Firewall, 79 % führen eine Datensicherung durch, die intern von ihren Teams verwaltet wird“1. Der Besitz eines einzigen Antivirenprogramms führt bei einigen zu der Annahme, das Risiko sei abgedeckt oder die Ausrüstung geschützt. Dabei werden Updates vergessen und die Tatsache ignoriert, dass Antivirenprogramme nur auf Basis bereits bekannter Angriffe erkennen. Dieser Mangel an digitaler Kompetenz setzt sie einem großen Risiko aus.

Seit der Pandemie und dem Aufkommen von Homeoffice lässt sich diese Einschätzung jedoch etwas relativieren. Unternehmen haben aufgerüstet und nehmen Cyberrisiken zunehmend ernst.

Reifegrad der Cybersicherheit

60 % der europäischen Technologie-KMU verfügen nicht über ausreichende Ressourcen, um ihren Cyberschutz zu gewährleisten.

Oliver Wyman - Europäische digitale Souveränität

Ein weiterer Aspekt, den wir hier beleuchten, ist die geringe Sicherheitsreife, die bei kleinen und mittleren Unternehmen (KMU/Kleinstunternehmen) zu beobachten ist.

Auch wenn „99 % der Geschäftsführer angeben, mindestens ein spezifisches Tool zum Schutz ihres Unternehmens zu nutzen“, verwendet nur „jeder zweite Geschäftsführer ein VPN“.[2].

Es zeigt sich, dass nur wenige Geschäftsführer von KMU/Kleinstunternehmen ausreichend unterstützt werden, wenn es um die Auswahl ihrer Sicherheitslösungen geht. Falls IT-Ansprechpartner vorhanden sind, handelt es sich dabei nicht zwangsläufig um Cybersicherheitsexperten.

Ein weiteres Problem: Wenn diese mittelgroßen Strukturen technisch ausgestattet sind, bleibt die Hälfte der Funktionen aufgrund mangelnden Wissens ungenutzt oder die Tools sind falsch konfiguriert, was Angreifern Tür und Tor öffnet. Es besteht also ein erheblicher Mangel an Schutzmaßnahmen.

Darüber hinaus zeigt sich deutlich, dass nicht alle kleinen Strukturen über interne Abteilungen verfügen, und hinzu kommt, dass die Mitarbeiter nicht immer in Cybersicherheit geschult sind. Dabei beginnt Sicherheitsreife auch mit der Sensibilisierung des Personals. Es ist festzustellen, dass es in diesem Punkt noch immer an Defiziten oder Schwachstellen mangelt.

Es ist wichtig, regelmäßig und auf verständliche Weise daran zu erinnern, dass das Anklicken eines infizierten Links gefährlich ist, dass das regelmäßige Ändern von Passwörtern wichtig ist, dass ein starkes Passwort unerlässlich ist, dass eine Multi-Faktor-Authentifizierung essenziell ist und dass das private Telefon nicht für berufliche Zwecke genutzt werden sollte. Diese Grundlagen müssen immer wieder ins Gedächtnis gerufen werden.

Fachkräftemangel

Wie bereits erwähnt, ist einer der Hauptprobleme, mit denen KMU/Kleinstunternehmen konfrontiert sind, der Mangel an Personal, das sich ausschließlich der Cybersicherheit widmet. Laut einem Bericht des Senats „werden die personellen Ressourcen praktisch unzugänglich“. Laut dem Wavestone-Bericht⁵sind mehr als 15.000 Stellen unbesetzt. Angesichts des Bedarfs werden Fachkräfte immer seltener, und dieser Mangel trifft insbesondere kleine Strukturen, die kaum mit den Angeboten großer Konzerne konkurrieren und Talente anziehen können. Laut der Ifop-Umfrage^[1]„hat jedes fünfte KMU keinen Mitarbeiter, der sich um die IT-Sicherheit kümmert“, und „ein Drittel der Unternehmen mit 20 bis 249 Mitarbeitern hat einen festen Ansprechpartner für diese Themen“. Somit ist es oft der Geschäftsführer selbst, der sich um Sicherheitsprobleme kümmern muss. Diese Unternehmen greifen nicht immer auf externe Experten zurück.

Budgetproblematik

„Bei sechs von zehn französischen Unternehmen übersteigt das Budget für Cybersicherheit nicht 1.000 Euro pro Jahr.“

Studie Europe 1

Kleine Unternehmen werden sich zunehmend der Anstrengungen bewusst, die sie für die Cybersicherheit unternehmen müssen. Die jüngsten Ereignisse in der Ukraine und die weltweite Pandemie, die Angriffe begünstigt haben, haben das Bewusstsein geschärft. Die bereitgestellten Budgets sind jedoch noch nicht ausreichend. Die Komplexität der Angriffe erfordert die Ausstattung mit mehreren Tools, was mit Kosten verbunden ist. „Vom gesamten IT-Budget der Unternehmen entfallen 6,1 % auf die Sicherheit.“[3].

KMU statten sich oft mit kostenlosen Produkten aus und fühlen sich sicher. Sie verstehen nicht, warum sie für Schutz bezahlen sollten, wenn sie glauben, sich ohne Belastung ihres Budgets schützen zu können. Das Problem ist, dass unbekannte Bedrohungen nicht in der Signaturdatenbank eines Antivirenprogramms enthalten sind. Deshalb ist der Rückgriff auf eine hyperautomatisierte und hyperindustrialisierte Lösung erforderlich. Es besteht also ein echter Bedarf an Unterstützung für diese Zielgruppe. Es ist dringend notwendig, diese Unternehmen zu sensibilisieren, zu beraten, zu begleiten und Cybersicherheitssysteme zu etablieren. KMU verfügen noch nicht über „Produkte, die an ihr Budget angepasst sind“.

TEHTRIS EDR ist eine Lösung, die als SaaS-Modell über die Cloud bereitgestellt wird und die Fähigkeit bietet, Cybersicherheitsbedrohungen vorherzusehen, zu verhindern, zu erkennen und darauf zu reagieren. Das EDR von TEHTRIS ist souverän, hyperautomatisiert und neutralisiert bekannte oder unbekannte Bedrohungen in Echtzeit und ohne menschliches Eingreifen.

Abschließend sei darauf hingewiesen, dass das für die Sicherheit vorgesehene Budget eines Unternehmens laut ANSSI 5 bis 10 % des Gesamtbudgets ausmachen sollte.

Wir haben gesehen, dass mittelständische Unternehmen oft durch finanzielle, technologische und personelle Ressourcen begrenzt sind. Aus diesem Grund empfiehlt TEHTRIS seine TEHTRIS XDR Platform , die modular aufgebaut ist, sodass jede Organisation bei Bedarf zusätzliche Module hinzufügen kann. Die TEHTRIS XDR Platform ermöglicht den Schutz von Arbeitsplätzen, Servern, Mobilgeräten und Tablets, Netzwerken und Datenströmen vor Angriffen und neutralisiert Bedrohungen. Dieses Angebot ist besonders auf die Anforderungen von KMU ab 100 Arbeitsplätzen zugeschnitten.

Unsere Lösung ermöglicht:

• die Anpassung von Erkennungsregeln dank Cyber-Threat-Intelligence.
• betriebliche Effizienz durch hyperautomatisierte Neutralisierung.
• eine einfache Integration.

Die Stärken unserer Lösung liegen unter anderem in einem personalisierten, einfach bereitzustellenden, hyperautomatisierten und flexiblen Angebot. Diese Lösung richtet sich gleichermaßen an Großkonzerne, staatliche Stellen, Kommunen und KMU.

Kleinere Strukturen dürfen keine passiven Ziele von Angriffen sein; sie müssen reagieren und antizipieren. Es geht um ihr Überleben. TEHTRIS hat dies vorgesehen. Für Unternehmen mit weniger als 100 Arbeitsplätzen ermöglicht unser Angebot TEHTRIS Store die Ausstattung von Windows-Rechnern mit der TEHTRIS-Technologie EDR , die speziell für Unternehmen angepasst und konfiguriert ist, die sich des Risikos durch Ransomware bewusst sind.

Lesen Sie ergänzend dazu gerne auch unseren Artikel über die Herausforderungen der IT-Sicherheit und die entsprechenden Lösungen.

[1] Tribune de Lyon, 3. März 2020

[2] European Digital Sovereignty - Oliver Wyman – Oktober 2020

[3] IFOP, Führungskräfte von mittelständischen Unternehmen angesichts der Cyber-Bedrohung – Lagebericht, 2018