KMU und die Krux mit dem Cyberschutz

Für den aktuellen Hiscox Cyber Readiness Report 2025 hat das Marktforschungsinstitut Wakefield Research im Auftrag von Hiscox weltweit 5.750 kleine und mittlere Unternehmen (KMU) befragt. Die Ergebnisse für Deutschland verdeutlichen, dass die Cyberresilienz vieler Firmen trotz gestiegener Investitionen und wachsender Sensibilität lückenhaft bleibt. 67% der hiesigen KMUs sind in den vergangenen zwölf Monaten einer Cyberattacke zum Opfer gefallen. Bislang haben aber lediglich 40% der befragten Unternehmen eine eigenständige Cyberversicherung abgeschlossen. 38% gaben an, dass sie Cyberrisiken im Rahmen einer anderen Police abgedeckt haben. Weitere 14% planen den Abschluss einer Cyberpolice. Damit sind aktuell sechs von zehn KMU in Deutschland nicht oder nicht ausreichend gegen Cybergefahren abgesichert.

Weiterhin Wissenslücken in puncto Cyberversicherung

„Es herrscht noch zu viel Unklarheit über den Leistungsumfang einer vollwertigen Cyberversicherung, denn Ausschnittsdeckungen oder einfache Deckungserweiterungen – wie z. B. im Rahmen einer Betriebshaftpflicht – werden oft überschätzt. Bei der Cyberversicherung ist es aber wichtig, sich seine Risiken vollumfänglich bewusst zu machen. Eine eigenständige Cyberpolice kann auf die Bedürfnisse zugeschnitten werden und bietet so einen umfangreichen und vollwertigen Schutz für den Ernstfall, zum Beispiel den Ausfall eines Cloud-Anbieters oder den Verlust kritischer Daten“, erklärt Roman Potyka, Head of Product & Underwriting von Hiscox Deutschland. Bei einer hochwertigen Cyberversicherung können Firmen bei einer Attacke neben finanzieller Unterstützung auch Unterstützung durch Experten erhalten, etwa im Bereich Cybersecurity, Datenschutz oder Krisenkommunikation.

Was KMU in Sachen Prävention unternehmen

Dass besserer Schutz not tut, darüber sind sich die meisten KMU immerhin im Klaren. 97% haben im vergangenen Jahr konkrete Maßnahmen zur Erhöhung der Cybersicherheit umgesetzt. Im Mittelpunkt stehen neue Mitarbeiterschulungen (75%), die Einstellung von spezialisiertem Personal (62%) und Investitionen in moderne Sicherheitssoftware (52%). Zudem checken 74% mindestens monatlich mögliche Schwachstellen. 72% überprüfen regelmäßig die Cybersicherheit ihrer Geschäftspartner.

Bedrohungslage weiter hoch, vielfältige Angriffsszenarien

Die Gefährdungslage ist nach wie vor hoch: 64% der deutschen Unternehmen waren in den vergangenen zwölf Monaten Ziel von mindestens einem bis zu zehn Cyberangriffen, 3% berichten sogar von mehr als zehn Attacken. Lediglich ein Drittel blieb verschont bzw. registrierte keine Angriffsversuche.

Die Angriffsvektoren sind vielfältig: Bei 81% ist eigenen Angaben zufolge die unternehmenseigene Infrastruktur – von Servern über Cloud bis hin zu mobilen und IoT-Geräten – das häufigste Einfallstor. Auch Angriffe über Zulieferer, Cloud-Server oder kompromittierte E-Mails sind von erheblicher Relevanz. Die Rangliste der Angriffsvarianten wird übrigens angeführt von Zahlungsumleitungsbetrug (Payment Diversion Fraud). Knapp ein Drittel der Befragten verlor den Zugriff auf verschlüsselte oder unverschlüsselte Daten.

KI zwischen Nutzen und Risiko

Künstliche Intelligenz betrachten laut Hiscox Report 77% der Unternehmen als Chance für die Cybersicherheit. Andererseits meinen 62%, dass sie wahrscheinlich KI-gestützte Angriffe im vergangenen Jahr erlitten hätten. In sehr vielen Fällen ist dies im Nachhinein nicht genau nachweisbar, sondern eher indirekt an der gestiegenen Qualität von Phishing-Mails, Deepfakes und Co. erkennbar.

Als größte Risiken nennen die Befragten eine unbefugte Datenübernahme durch KI (22%), kompromittierte KI-Modellen (21%) und den Missbrauch von Drittanbieter-KI-Tools (20%). Für die kommenden fünf Jahre erwarten 61%, dass KI-basierte Malware und Phishing-Attacken die größte Bedrohung darstellen werden.

Cyberkriminelle nutzen Möglichkeiten von KI

„Es besteht kein Zweifel daran, dass sich die Taktiken von Kriminellen verändert haben, was für unzureichend versicherte Unternehmen ohne das Fachwissen von Cyber-Spezialisten ein erhebliches Risiko darstellt”, erläutert Potyka. Cyber-Kriminelle würden die Möglichkeiten von KI voll ausschöpfen, was z.B. Phishing-Mails qualitativ immer hochwertiger und damit immer schwerer zu erkennen mache. Hier sei es extrem wichtig, dass Unternehmen ihre Mitarbeitenden regelmäßig über die neusten Tricks und Tipps der Hacker schulen.

„Was Mut macht: 95% der Unternehmen planen, ihre Investitionen in Cybersicherheit in den nächsten zwölf Monaten zu erhöhen. [...] Das eröffnet Chancen für Security-Anbieter und Versicherer, zeigt aber auch die dringende Aufgabe aller Beteiligten, die Awareness und das Know-how im Umgang mit digitalen Risiken weiter zu stärken“, so Potyka weiter. (tik)