IT ist Grundlage kritischer Unternehmensprozesse
Die IT ist heute für nahezu alle Produktions- und Administrationsprozesse zwingende Voraussetzung. Häufig gibt es aufgrund der zu verarbeitenden Datenmengen, vielfältigen Systemschnittstellen und Verarbeitungslogiken sowie Anforderungen aus Governance und Compliance keine alternativen Umgehungslösungen, um einen IT-Ausfall abzufedern. IT-Ausfälle oder z. B. Datenverlust durch Ransomware führen so unmittelbar zum Ausfall kritischer Administrations- und/oder Produktionsprozesse. Auf der einen Seite ist die Abhängigkeit von IT-Anwendungen, IT-Systemen und Daten der Prozesse deutlich gestiegen, während auf der anderen Seite die Risiken eines IT-Ausfalls stark zunehmen. Zu diesen Risiken zählen neben menschlichen Fehlern (z. B. Programmierfehler, Fehler beim Systembetrieb), Versäumnissen (z. B. Unterlassen von Patches und Updates) und technischen Fehlern (z. B. Systemabstürze) insbesondere auch Risiken durch Cyber-Attacken. Diese müssen nicht zwingend gezielt gegen das Unternehmen gerichtet sein. So gilt das Argument, ein Unternehmen sei zu klein oder zu unbekannt, um als Angriffsziel ins Visier von Angreifern zu geraten, nicht für Cyber-Attacken. Zahlreiche weltweit durchgeführte Ransomware-Attacken mit schwerwiegenden Folgen in der jüngsten Vergangenheit zeigen, dass jedes Unternehmen jederzeit Opfer werden kann.

Zunehmende Angriffsflächen für Cyber-Attacken
Die stark zunehmende Digitalisierung z. B. durch das Internet of Things (IoT) und die Vernetzung von technischen und IT-Systemen – auch über Unternehmensgrenzen hinweg – führt zu einer erhöhten Exposition der IT gegenüber diesen IT-Risiken. Steuerungssysteme für die Regelung und Überwachung von technischen Anlagen verfügen mittlerweile über gängige Betriebssysteme – mitsamt deren Schwachstellen – und Internetanbindung zur Fernadministration. Die Angriffsfläche und damit die Verwundbarkeit der IT steigen mit dem Grad der Digitalisierung und Vernetzung. Nicht erkannte oder nicht behobene Schwachstellen ermöglichen es Angreifern, tief in die IT-Systeme einzudringen und schwerwiegende Schäden für das Unternehmen anzurichten. Bei den Angreifern handelt es sich um ein breites Täterspektrum vom Einzeltäter bis hin zur arbeitsteilig agierenden organisierten Kriminalität und ausländischen staatlichen Diensten. Die Angreifer reagieren zudem extrem flexibel auf neue technische Entwicklungen. Toolkits zur Ausnutzung von Schwachstellen (z. B. Zero-Day-Exploits), Schadsoftware und Services können einfach nach Bedarf über das Internet bezogen und nutzungsabhängig abgerechnet werden (Cybercrime as a Service). Das Risiko einer Cyber-Attacke, bestehend aus der Eintrittswahrscheinlichkeit und zu erwartender Schadenshöhe, ist in der Folge entsprechend hoch.

Verwundbarkeit der Unternehmen
Die Statistiken zeigen die große Verwundbarkeit der Unternehmen deutlich: „Knapp 70 % der Unternehmen und Institutionen in Deutschland sind in den Jahren 2016 und 2017 Opfer von Cyber-Angriffen geworden. In knapp der Hälfte der Fälle waren die Angreifer erfolgreich und konnten sich zum Beispiel Zugang zu IT-Systemen verschaffen, die Funktionsweise von IT-Systemen beeinflussen oder Internet-Auftritte von Firmen manipulieren. Jeder zweite erfolgreiche Angriff führte dabei zu Produktions- bzw. Betriebsausfällen. Hinzu kamen häufig noch Kosten für die Aufklärung der Vorfälle und die Wiederherstellung der IT-Systeme sowie Reputationsschäden”. „Nur knapp 42 % gingen davon aus, dass der Betrieb im Fall eines Cyber-Angriffs durch Ersatzmaßnahmen aufrechterhalten werden könnte. Als besonders gefährdet betrachteten sich große Konzerne. Von diesen glaubten nur knapp 38 %, dass der Betrieb im Fall eines Cyber-Angriffs fortgeführt werden könnte.”, so der Lagebericht 2018 des Bundesamtes für Sicherheit in der Informationstechnik [1]. In der ersten Jahreshälfte 2018 waren bereits 4,5 Milliarden Datensätze durch Cyber-Attacken kompromittiert. Dies entspricht 291 betroffenen Datensätzen je Sekunde. Dies ist die höchste jemals gemessene Schadensfrequenz (Gemalto's Breach Level Index [2]).

Ursachen für Cyber-Vorfälle
Zu den häufigsten Ursachen für Cyber-Vorfälle zählen laut Cyber Resilience Report 2018 des britischen Business Continuity Instiute BCI [3]:

NotPetya-Attacke
Eine der bislang ökonomisch folgenschwersten Cyber-Attacken war die Ransomware Petya/NotPetya. Die Ransomware wurde ab April 2017 in mehreren Wellen über die Update-Funktion der in der Ukraine weit verbreiteten Buchhaltungssoftware M. E.Doc verteilt. Ausgehend von Russland und der Ukraine verbreitete sich die Schadsoftware über Europa, die USA und Asien. Zahlreiche Unternehmen waren durch IT-Ausfälle betroffen. Das dänische Unternehmen Maersk, die weltweit größte Containerschifflinie der Welt, musste nach dem erfolgreichen Angriff die gesamte IT-Infrastruktur mit 4.000 Servern, 45.000 PC und rund 2.500 Programmen komplett neu aufsetzen. Die Neuinstallation der IT benötigte zehn Tage. Während dieser Zeit mussten die Geschäftsprozesse vollkommen analog bearbeitet werden. Eine enorme Herausforderung, denn alle 15 Minuten entlädt ein Schiff von Maersk zwischen 10.000 und 20.000 Container in einem Hafen. Erst nach drei Wochen konnte der Normalbetrieb für die Containerlogistik wieder gewährleistet werden. Der von Maersk bezifferte Schaden betrug zwischen 200 und 300 Millionen Dollar. Auch in Deutschland waren Unternehmen betroffen. Der Konsumgüterkonzern Beiersdorf bestätigte, er sei Ziel des Angriffs geworden, IT und Telefonsysteme seien ausgefallen.

WannaCry-Attacke
Im Mai 2017 hat die WannaCry-Ransomware-Attacke rund 300.000 Computer in 150 Ländern betroffen und ist bis dato damit die weltweit größte Cyber-Attacke. Die Schäden werden auf 4 Milliarden Dollar geschätzt.

Indirekte Schadensfolgen
Neben den direkten Auswirkungen auf die Verfügbarkeit der IT führen Cyber-Attacken zu weiteren indirekten Schadensfolgen:

Durchschnittliche finanzielle Schäden
Die durchschnittlichen finanziellen Schäden von Cyber Incidents betragen laut Cyber Readiness Report 2018 des Spezialversicherer Hiscox [4] 229.000 Dollar in zwölf Monaten. Die durchschnittliche jährliche Schadenshöhe wie auch die Höhe der Einzelschäden von Cyber Incidents nimmt mit der Größe des Unternehmens zu. In Deutschland betrug für große Unternehmen mit mehr als 1.000 Mitarbeitern die durchschnittliche Schadenssumme in zwölf Monaten 640.000 Dollar, jedoch mit Einzelwerten von bis zu 20 Mio. Dollar. Für kleinere und mittlere Unternehmen (< 1.000 Mitarbeiter) betrug die durchschnittliche jährliche Schadenssumme zwischen 55.000 (bis 249 Mitarbeiter) und 400.000 Dollar (250 bis 999 Mitarbeiter). Zu diesen direkten finanziellen Schäden addieren sich finanzielle Folgeschäden aus dem Verlust von Kunden und Verträgen.