KMU als Ziel von Cyberattacken: Wer sich nicht vorbereitet, ist ein leichtes Opfer

Dr. Thomas Stubbings, CEO der Cyber Trust Services GmbH und Vorsitzender der Cyber-Security-Plattform der österreichischen Regierung

Dr. Thomas Stubbings sieht die Situation der Cybersicherheit in Österreichs Unternehmen als differenziert. Große Unternehmen, insbesondere diejenigen, die unter die NIS 1-Richtlinie fallen, haben laut Dr. Stubbings bereits erheblich in ihre Cybersicherheit investiert und sind gut aufgestellt. Auch viele mittlere und kleinere Unternehmen, die sich um ein Cyber Trust Gütesiegel bemühen, würden das Thema ernst nehmen und investieren entsprechend. „Es gibt aber auch noch immer eine große Anzahl von Unternehmen, die sich bisher noch nicht oder nicht ausreichend mit dem Thema Cybersicherheit auseinandergesetzt haben und deswegen Gefahr laufen, entweder Opfer einer Cyberattacke zu werden und/oder aufgrund der zukünftigen Regulierungen (Stichwort NIS 2, DORA) Probleme mit der Behörde oder der Auftraggeberseite zu bekommen“, so Dr. Stubbings.

Die unterschätzte Gefahr von Ransomware und ihre Folgen

Viele kleine und mittlere Unternehmen (KMU) unterschätzen laut D. Stubbings oft das Risiko von Cyberattacken, weil sie sich nicht als attraktive Ziele für Angreifer sehen. „Die Annahme das man zu ‚klein‘ oder zu ‚unwichtig‘ wäre ist leider trügerisch. Die Angreifer suchen sich immer die leichtesten Opfer aus und auch bei einem KMU ist etwas zu holen. Wenn man nicht vorbereitet ist, ist man immer ein leichtes Opfer“, warnt Dr. Stubbings.

Die größte aktuelle Bedrohung im Bereich Cybersicherheit ist laut Dr. Stubbings Ransomware: „Das ist äußerst erfolgreich und daher nach wie vor weit verbreitet. Die Schadenssummen steigen kontinuierlich, die Recovery Zeiten werden länger und es wird für immer mehr Unternehmen ein existenzbedrohendes Szenario. Und selbst wenn man gute Backups hat, die nicht verschlüsselt wurden (was leider noch viel zu selten ist), kommt es danach zu Double oder Triple Extortion, d.h. der Angreifer droht mit der Veröffentlichung der Daten bzw. mit Denial of Service Attacken.“

Menschliche Schwächen und technische Taktiken

Vor allem der Finanzsektor sei ein bevorzugtes Ziel für Cyberangriffe. „Beim Finanzsektor kommt das ganze Thema Überweisungsbetrug in all seinen Facetten dazu. Menschen werden dazu verleitet, Geld zu überweisen, für ihre Kinder, für ihren Hund oder einfach für eine vermeintlich ‚tolle Anlagemöglichkeit‘. Das Problem dabei ist, dass das gar kein technisches Problem ist, denn diese Menschen wollen ja tatsächlich die Überweisung durchführen. Natürlich gibt es auch die Variante Überweisungstrojaner, der den PC und oder das Handy infiziert und so Überweisungen umleitet. Auch diese Methoden werden immer ausgeklügelter. Aber am einfachsten ist meist der Mensch selbst angreifbar“, ist Dr. Stubbings überzeugt.

Ransomware-Herausforderungen und Regulierungsanforderungen in Österreich

Viele Unternehmen zeigen nach einem Ransomware-Angriff Bereitschaft, das geforderte Lösegeld zu zahlen, um ihre Daten zurückzuerhalten. „Die Daten bekommen fast alle zurück, die bezahlen, denn die Angreifer wollen sich ja nicht ihr Geschäftsmodell kaputtmachen. Wenn die Vermutung umgeht, dass zahlen nicht hilft, dann zahlt auch keiner mehr“, erläutert Dr. Stubbings.

Doch die Wiederherstellung von Daten nach einem Ransomware-Angriff stellt Unternehmen vor erhebliche Herausforderungen. „Die Wiederherstellung dauert oft viel länger als vermutet, selbst bei einem funktionstüchtigen Backup. Das Problem ist, dass die Wiederherstellungsvorgänge oft komplex und vielschichtig sind und diese oft nicht umfassend getestet wurden. Das Problem ist oft auch die Hardware: wenn die verschlüsselten Daten auf der ursprünglichen Hardware nicht gelöscht werden sollen, und das traut sich fast niemand, wird neue Hardware benötigt, die oft erst besorgt werden muss. Da gibt es oft keine Pläne dazu geschweige denn wurde es getestet“, so Dr. Stubbings.

In Bezug auf die regulatorischen Anforderungen müssen Unternehmen in Österreich speziell Vorschriften wie NIS 2 und die Lex Spezialis DORA im Finanzbereich beachten. „Dazu kommen aber auch Regelungen wie der Cyber Resilience Act, der sichere digitale Produkte betrifft und damit die Unternehmen indirekt trifft, die RKE Richtlinie, welche den physischen Schutz betrifft und auch der AI Act, der alle Unternehmen, die auf AI setzen, mitbetrifft“, informiert Dr. Stubbings.

Das gesamte Interview lesen Sie in der AssCompact August-Ausgabe!