Security as a Service – ein Ausweg aus trügerischer Selbsteinschätzung

Mehr als 70 Prozent der befragten Unternehmen in Deutschland, Österreich und der Schweiz fühlen sich gut gewappnet gegen Angriffe auf ihr Unternehmen, die Daten und die Infrastruktur, zeigt die jetzt veröffentlichte Studie „Security as a Service 2023“ von A1 Digital in Kooperation mit Foundry. Demgegenüber berichten 48 Prozent der Verantwortlichen von nennenswerten Schäden nach Cyberattacken. Im Ernstfall vergehen nach eigenen Angaben vom Erkennen und Bewerten bis zum Auslösen des Krisenmanagements in 62 Prozent der befragten Unternehmen Stunden und Tage. Oder schlimmer noch, die Betroffenen können die Lage nicht einschätzen. Die fatale Erkenntnis: Ein umfassendes Abwehrkonzept existiert in den betroffenen Unternehmen nicht.

Security as a Service: Risikofaktor Selbsteinschätzung

In der Umfrage zeichnen die Unternehmen ein positives Selbstbild ihrer Sicherheitskompetenzen. Insgesamt bewerten 73 Prozent der Unternehmen ihre Fähigkeiten zur Erkennung von Cyberrisiken und Cyberangriffen als „gut“ oder „sehr gut“. Besonders selbstbewusst sind sogenannte KRITIS-Betreiber, also Unternehmen, die kritische Infrastrukturen betreiben: Von ihnen ordnen 79 Prozent ihre Fähigkeiten mindestens „gut“ ein, bei den anderenUnternehmen sind es rund 60 Prozent.

Größere Unterschiede gibt es in der Selbsteinschätzung innerhalb der verschiedenen Abteilungen von Unternehmen. 81 Prozent der Entscheider im IT-Bereich fühlen sich in der Lage, Cyberangriffe zu erkennen. Weniger zuversichtlich sind die Fachabteilungen (50 Prozent) und die Geschäftsführung (66 Prozent). Aber auch nach größeren Schadensfällen bewerten 80 Prozent der betroffenen Unternehmen ihre Abwehr als „gut“ oder „sehr gut“. Die größten technischen Herausforderungen sehen Unternehmen in der wachsenden Bedrohung durch immer komplexere Cyberangriffe. Außerdem in den fehlenden Informationen über den Wert von bedrohten Daten und Prozessen (je 45 Prozent).

„Wie die Studie zeigt, ist die Selbstwahrnehmung in der Welt der Cybersicherheit oft trügerisch und kann zu einem falschen Sicherheitsgefühl führen“, sagt Thomas Snor, Leiter Cybersecurity bei A1 Digital. „Unternehmen müssen die Komplexität und Vielschichtigkeit der Bedrohungen erkennen. Es reicht nicht aus, sich auf früheren Erfolgen auszuruhen. Stattdessen ist es entscheidend, proaktiv zu handeln, Strategien regelmäßig anzupassen und sich auf die sich ständig verändernde Landschaft der Cyberbedrohungen mittels Security as a Service einzustellen.“

CIOs haben mehr Einfluss als CISOs

Überraschenderweise haben nicht die CISOs (11,5 Prozent), sondern die CIOs (22 Prozent) den größeren Einfluss auf Sicherheitsentscheidungen. Die Entscheidungsgewalt der CIOs über Sicherheitsdienstleistungen wie Security as a Service steigt mit der Unternehmensgröße. „Nur zwölf Prozent der CISOs treffen tatsächlich Security-Entscheidungen; meist werden diese vom CIO getroffen“, so Snor. „Der CISO wäre meines Erachtens besser in der Organisation des CFOs aufgehoben. Denn dort sitzt die Expertise für Risiko-Management und -bewertung. Hier kann die brennende Frage nach dem Wert der Daten im Kontext des Gesamtrisikos des Unternehmens am kompetentesten beantwortet werden.“

Nachlässige Mitarbeiter werden von knapp 37 Prozent als Ursache für erfolgreiche Angriffe genannt. Auf der anderen Seite werden selbstkritisch die Ausbildung und mangelnde IT-Sicherheitserfahrung der Mitarbeiter mit 36,7 Prozent unter den Top drei der größten Herausforderungen genannt. Fast jeder fünfte Befragte beklagt im Zusammenhang mit organisatorischen Herausforderungen in der Zukunft einen Mangel an Fachkräften aus dem IT-Security-Bereich.

Security as a Service: Eine Frage der Organisation

Die größte organisatorische Herausforderung im Bereich der IT-Sicherheit sehen Unternehmen in der Umsetzung von Sicherheitsstandards (44 Prozent) und der Überwachung ihrer Einhaltung (39 Prozent). Die Budgets sind nur für ein Viertel ein großes Hindernis. Die Unternehmensgröße beeinflusst die Wahrnehmung. Bei großen Unternehmen mit mehr als 1.000 Mitarbeitern sieht knapp die Hälfte die Umsetzung von Standards als Herausforderung. Bei Unternehmen mit weniger als 500 Mitarbeitern sind es 44 Prozent. KRITIS-Organisationen bewerten die Herausforderung durch Standards mit 43 Prozent geringer als Nicht-KRITIS-Betreiber (48 Prozent).

Aus technischer Sicht sind komplexe Cyberangriffe (45 Prozent), fehlende Informationen über Bedrohungen (45 Prozent) und Datensicherung in der Cloud (43 Prozent) die drei größten Herausforderungen. Bemerkenswert ist auch, dass nur drei Prozent der Unternehmen keinen Dienstleister für ihre IT-Sicherheit nutzen. 28 Prozent setzen auf die Unterstützung wenigstens eines Dienstleisters, mehr als die Hälfte der Unternehmen nutzt sogar zwei bis fünf Dienstleister. Insgesamt lagern Unternehmen IT-Sicherheitsaufgaben mittels Security as a Service zunehmend aus. Knapp 40 Prozent vertrauen auf Dienstleister für die Überwachung von Sicherheitsrichtlinien, die Umsetzung von Sicherheitsprozessen und technischer Systeme. Wichtig ist in diesem Zusammenhang die Vertrauenswürdigkeit des Serviceanbieters, und 47 Prozent der Befragten erwarten, dass das Unternehmen seinen Sitz in Deutschland hat.

Zur Methodik der Studie: Die Datenerhebung für die Studie „Security as a Service 2023“ von A1 Digital und Foundry erfolgte vom 23. bis 30. Mai 2023 online via 373 abgeschlossene und qualifizierte Interviews unter obersten (IT-)Verantwortlichen in Unternehmen der DACH-Region. Hierzu zählen Beteiligte an strategischen (IT-)Entscheidungsprozessen im C-Level-Bereich und in den Fachbereichen (LoBs). Außerdem Entscheidungsbefugte sowie Experten und Expertinnen aus dem IT-(Security)-Bereich. (sg)

Lesen Sie auch: A1 Digital und Exoscale eröffnen zweite Public-Cloud-Zone