Cyber-Angriffe kosten die globale Wirtschaft über eine Billion US-Dollar

McAfee (Nasdaq: MCFE) hat heute seine neue „The Hidden Costs of Cybercrime”-Studie veröffentlicht, die die globalen finanziellen Schäden von Cyber-Angriffen untersucht. Aus der Studie, die in Zusammenarbeit mit dem „Center for Strategic and International Studies“ (CSIS) durchgeführt wurde, geht hervor, dass Cyber-Kriminalität die Weltwirtschaft über eine Billion US-Dollar kostet – das entspricht ungefähr einem Prozent des weltweiten BIP. Zum Vergleich: In der Studie von 2018 belief sich der weltweite Schaden auf knapp 600 Milliarden US-Dollar. Die Forscher konnten in der neuen Studie also einen Anstieg der Kosten von über 50 Prozent verzeichnen.

Schäden durch Cyber-Angriffe gehen über finanzielle Verluste hinaus

Zwei Drittel der befragten Unternehmen berichteten, in 2019 mindestens einem Cyber-Angriff zum Opfer gefallen zu sein. Dabei haben es die Kriminellen besonders auf zwei Bereiche abgesehen: Finanzdaten und geistiges Eigentum. Angriffe auf diese beiden Sektoren machen 75 Prozent aller böswilligen Aktivitäten aus. Umso beunruhigender ist es, dass 56 Prozent der Befragten angaben, keine Strategie zur Bedrohungsabwehr im Unternehmen implementiert zu haben. Finanzielle Verluste sind aber nicht die einzige Sorge der Unternehmen: 92 Prozent gaben an, unter anderen Folgen gelitten zu haben, wie beispielsweise Reputationsschäden. Die durchschnittliche Dauer von Betriebsausfällen aufgrund von Cyber-Angriffen beläuft sich weltweit auf 18 Stunden. Deutschland schneidet hier im internationalen Vergleich allerdings mit durchschnittlich 16 Stunden Downtime stärker ab als die USA und andere europäische Länder.

„Cyber-Angriffe auf Unternehmen werden immer gravierender und häufiger, was nicht zuletzt daran liegt, dass viele Mitarbeiter beim Arbeiten von Zuhause vermehrt auf private Geräte zurückgreifen und unsere Technologien immer komplexer werden“, so Steve Grobman, SVP und CTO bei McAfee. „Die Industrie und die Regierung sind sich den finanziellen Auswirkungen von Cyber-Kriminalität durchaus bewusst. Allerdings steht für Unternehmen, die Cyber-Angriffen zum Opfer fallen weitaus mehr als nur Geld auf dem Spiel: unerwartete Unterbrechungen der Betriebsabläufe, langfristige Produktivitätseinbußen und Reputationsschäden. Der Billionenschaden verdeutlicht, dass Unternehmen ein stärkeres Bewusstsein für die weitreichenden Folgen von Cyber-Risiken entwickeln müssen. Es bedarf einer effektiven Sicherheitsstrategie die rechtzeitig auf Bedrohungen reagieren und diese verhindern kann.“

Die versteckten Kosten von Cyber-Kriminalität

Unabhängig von den direkten finanziellen Verlusten durch Cyber-Angriffe, fürchten sich fast alle Unternehmen gleichermaßen vor anderen langfristigen betrieblichen Einbußen:

- Betriebsausfälle: Zwei Drittel der weltweit befragten Unternehmen gaben an, dass Cyber-Angriffe bei ihnen zu Betriebsausfällen geführt haben. In Deutschland waren es sogar 77 Prozent und die durchschnittlichen Kosten der längsten Betriebsausfälle beliefen sich in Deutschland letztes Jahr auf über eine Million US-Dollar.

- Effizienzeinbußen: Als Folge der Downtime verloren Unternehmen im Schnitt neun Arbeitsstunden pro Woche. Die Downtime an sich beträgt im weltweiten Durchschnitt 18 Stunden, in Deutschland nur 16.

- Behebungskosten: Die Studie hat ergeben, dass Unternehmen nach Erkennung des Angriffs durchschnittlich 19 Stunden brauchen, um diesen abzuwehren. Die meisten Sicherheitsvorfälle können von der Unternehmens-IT selbst gelöst werden, aber bei gravierenden Vorfällen müssen oftmals externe Berater und Experten herangezogen werden, die wiederum viel kosten.

- Reputationsschäden: Viele Unternehmen, die nach einem Cyber-Angriff unter Reputationsschäden leiden, arbeiten mit externen Beratern oder stellen neue Mitarbeiter ein, um Sicherheitsvorfälle in der Zukunft besser vermeiden zu können. Die Kosten, die dadurch entstehen sind auch ein Teil der finanziellen Schäden durch Cyber-Kriminalität. 26 Prozent der befragten Unternehmen gaben an, dass sie nach einem Betriebsausfall aufgrund von einem Cyber-Angriff an Reputationsschäden litten.

Unternehmen nicht ausreichend für Sicherheitsvorfälle gewappnet

Die Ergebnisse der Studie zeigen auf, dass viele Unternehmen noch kein ausgereiftes Verständnis für Cyber-Risiken entwickelt haben. Für Cyber-Kriminelle sind dies besonders im Hinblick auf Social-Engineering-Taktiken gute Nachrichten: Mitarbeiter erkennen oftmals zu spät, dass ihr Gerät oder Account kompromittiert wurde und der Angriff oder Datenabgriff ist dann schon längst in vollem Gange. So gaben 56 Prozent der Befragten an, dass ihr Unternehmen keiner Sicherheitsstrategie folgt, die eine schnelle Reaktion oder Abwehr auf Bedrohungen ermöglicht.

Die Studie zeigt schlussendlich Maßnahmen auf, mit denen sich Unternehmen besser vor Cyber-Kriminalität schützen können. Dazu gehören unter anderem die Implementierung einer ganzheitlichen Sicherheitsstrategie, mehr Transparenz innerhalb des Unternehmens und staatlicher Institutionen, standardisierte Koordination von Cyber-Sicherheitsanforderungen sowie Sicherheitsschulungen für Mitarbeiter.

Methodologie

McAfee beauftragte für diese Untersuchung den unabhängigen Technologie-Marktforschungsspezialisten Vanson Bourne.

Die quantitative Analyse wurde zwischen April und Juni 2020 durchgeführt, wobei weltweit 1.500 IT- und Geschäftsentscheider befragt wurden. Die Befragten kamen aus den USA (300), Kanada (200), Vereinigtes Königreich (200), Frankreich (200), Deutschland (200), Australien (200) und Japan (200). Die Unternehmen der Befragten haben 1.000 oder mehr Mitarbeiter und sind in allen Industrien angesiedelt, bis auf das Bauwesen und das Immobilienwesen. Für den staatlichen Sektor wurden allerdings ausschließlich IT-Entscheider befragt.

Die Interviews fanden online statt, wobei ein Multi-Level-Screening Prozess sicherstellte, dass nur passende Kandidaten an den Interviews teilnehmen konnten.

Zusätzlich führte CSIS eine Erhebung von öffentlichen Daten über Verluste durch, die von Interviews mit Regierungsbeamten begleitet wurde. Außerdem erforschte CSIS eine Schätzung, die anhand der nationalen Einkommensniveaus unter Verwendung der Einkommensdaten des Internationalen Währungsfonds (IWF) angepasst wurde, um die Kosten der Cyber-Kriminalität zu ermitteln.