Ransomware-Attacken: Sind KMU die bevorzugten Ziele?

Ein Artikel von Gisa Kimmerle, Head of Cyber bei Hiscox Deutschland

Egal, ob kleiner Handwerksbetrieb oder multinationaler Automobilzulieferer – die Bedrohung durch Cyberrisiken betrifft jedes einzelne Unternehmen und dominiert deshalb mittlerweile zu Recht die Risikoagenda. Laut dem aktuellen Hiscox Cyber Readiness Report (hiscox.de/crr2022) stufen die befragten Unternehmensexperten in sieben von acht Nationen Cyberangriffe aktuell als die größte Bedrohung für ihre Organisation ein.

In diesem Zusammenhang stellen Angriffe mit Ransomware immer noch die häufigste und schädlichste Form von Cyberattacken dar: Aktuellen Hiscox-Zahlen zufolge wurde im Jahr 2022 weltweit knapp ein Fünftel der Unternehmen Opfer eines Ransomware-Angriffes. Dabei sehen sich deutsche Unternehmen im internationalen Vergleich bei einer erfolgreichen Attacke mit den höchsten Lösegeldforderungen konfrontiert. Sie zahlten mit durchschnittlich 46.000 US-Dollar knapp doppelt so viel an Cyberkriminelle wie den weltweiten Mittelwert von 24.000 US-Dollar. Dass diese Ausnahmesituation gerade kleinere Unternehmen vor immense Herausforderungen stellt, wird im Cyber Readiness Report 2022 ebenfalls deutlich: Mehr als ein Viertel der Opfer (26 %) gab an, dass der Angriff erhebliche finanzielle Auswirkungen hatte, da er die Zahlungsfähigkeit und Rentabilität ihres Unternehmens bedrohte. Obwohl bei Ransomware-Angriffen die Zahlung des Lösegelds gerade kleineren Unternehmen einen vermeintlich simplen und schnellen Ausweg bietet, gleicht diese Taktik in der Realität einem Glücksspiel: Von allen Betroffenen, die wie gefordert zahlen, können 34% die Daten nur teilweise wiederherstellen, 36% werden erneut attackiert und 43% müssen ihr System gänzlich neu aufbauen.

Sind KMU ein bevorzugtes Ziel von Angreifern?

Vor diesem Hintergrund liegt die Vermutung nahe, dass vor allem KMU eine bevorzugte Zielscheibe für Ransomware-Angriffe darstellen. Mit ihrer Kombination aus vergleichsweise niedrigen Cybersicherheitsmaßnahmen sowie fehlendem Know-how im Ernstfall scheint sich der Aufwand für professionelle Hacker in Grenzen zu halten, während die Wahrscheinlichkeit für eine erfolgreiche Lösegeldzahlung hier höher liegen dürfte. Tatsächlich hält diese These einem Blick in die Hiscox-Schadenpraxis nicht uneingeschränkt stand, da die Bedrohungslage für KMU differenzierter betrachtet werden muss.

So werden sie tatsächlich häufiger Opfer von ungezielten Angriffswellen, insbesondere durch massenhaft verschickte Schadsoftware, die auf möglichst viele Unternehmen parallel abzielt. Die Charakteristik dieser Angriffe nutzt die Schwachstellen von kleinen und mittleren Unternehmen optimal aus, da sie vergleichbar mit einem Raster-Test eine große Menge an Unternehmen gleichzeitig auf etwaige Schwachstellen „abklopfen“. Die Chance für vereinzelte, aber hochprofitable Treffer ist damit entsprechend hoch, auch wenn die geforderte Lösegeldhöhe an die Finanzkraft von KMU angepasst werden muss.

Große Unternehmen und Konzerne werden hingegen häufiger Opfer zielgerichteter Angriffe, da aufgrund der ausgereifteren IT-Sicherheitsinfrastruktur sehr viel mehr Aufwand nötig ist, um hochqualitative Datensätze abzugreifen. Entscheidende Faktoren sind dabei vor allem die höhere Awareness bei Mitarbeitern, deutlich schnellere Exit-Strategien und die Unterstützung externer Dienstleister im Ernstfall.

In Summe kann auf Basis der tatsächlichen Schadenerfahrungen bei Hiscox daher festgestellt werden, dass KMU nicht grundsätzlich gefährlicher leben als große Unternehmen oder Konzerne. Die Anfälligkeit ist schlichtweg abhängig von der Art des Angriffs.

KMU: Cyberachillesferse der Wirtschaft und Risiko für Versicherer?

Doch warum sind massenhafte, aber vergleichsweise simpel strukturierte Angriffswellen bei kleinen und mittelständischen Unternehmen derart effektiv? Ihnen wird im Zuge dieser Frage oftmals eine gewissen Naivität bei diesen Bedrohungsszenarien unterstellt, da in der öffentlichen Wahrnehmung vor allem Angriffe auf große Unternehmen dominieren. Viele kleinere Firmen betrachten sich deshalb nicht als potenzielles Ziel einer solchen Attacke und leistungsfähige Cybersicherheitsmaßnahmen nicht als Priorität im Geschäftsalltag. In der Konsequenz könnten Versicherer KMU den Versicherungsschutz verwehren, sollten gewisse Mindeststandards nicht erfüllt werden. Dazu gehört zunächst ein Ransomware-sicheres Back-up-System, ein zuverlässiges und lückenloses Patch-Management für Schwachstellen sowie die konsequente Isolation von Altsystemen. Diese Standards sind an den Status quo der aktuellen Risikolage und die Angreiferstrukturen angelehnt und passen sich ihnen fortwährend an.

Die Befürchtung einer zunehmenden Unversicherbarkeit von kleinen und mittleren Unternehmen kann nicht bestätigt werden. Durch die Zuspitzung der Cyberrisikolage wächst das Bewusstsein über die Bedeutung der eigenen IT-Sicherheit bei allen Unternehmen – auch bei KMU. Da laut Hiscox Cyber Readiness Report 2022 fast jedes zweite Unternehmen Opfer eines Cyberangriffs wurde, wird es auch für kleinere Unternehmen durch Angriffe in ihrem direkten Umfeld beinahe unmöglich, diese Bedrohungslage zu ignorieren. Ironischerweise sorgt die Zuspitzung der Bedrohungslage also für steigendes Risikobewusstsein, sodass sich in der Antragspraxis der Versicherer keine Zunahme an Ablehnungen abzeichnet. Unsere Prognose für die Zukunft der Cyberversicherung von KMU fällt positiv aus, nicht zuletzt, weil IT-Sicherheitsstrukturen in der Regel mit den Anforderungen der Versicherer mitwachsen. Tatsächlich müssen mittlerweile eher Konzerne aufgrund der Größe und Schwere potenzieller Angriffe mit Ablehnungen rechnen, weshalb es im Bereich der Großkonzerne zukünftig durchaus zu alternativem Risikotransfer außerhalb der Versicherungsbranche kommen kann.

Assistance-Leistungen als der Schlüssel zu cyberresilienten KMU

Doch auch mit wachsendem Risikobewusstsein und professionelleren IT-Sicherheitsmaßnahmen bleibt der Ernstfall die eigentliche Herausforderung für KMU. Der limitierende Faktor dabei ist und bleibt das nötige Budget, um erstens in effektive Prävention zu investieren und zweitens seinen Mitarbeitern die Expertise an die Hand zu geben, um bei Cyberangriffen richtig handeln zu können. Konzerne sind häufig mit eigener IT-Abteilung ausgestattet und können auf erfahrene IT-Dienstleister zurückgreifen. Dies verdeutlicht noch einmal, warum hochwertige Assistance-Leistungen grundsätzlicher Bestandteil jeder zukunftsfähigen Cyberdeckung sein müssen. Im Schadenfall sind Unternehmen ohne einen kompetenten Partner mit Expertise im Umgang mit Cyberattacken und Fachleuten aus dem Bereich der IT-Security, Datenschutz sowie Krisen-PR nicht mehr handlungsfähig.

Diesen Artikel lesen Sie auch in AssCompact 01/2023, S. 40 f., und in unserem ePaper.