Cybersecurity-Studie: Jedes siebte Unternehmen gehackt

Berlin - Die Cybersicherheitslage in der deutschen Wirtschaft hat sich verschärft: 15 Prozent der Unternehmen verzeichneten in den vergangenen 12 Monaten nach eigenen Angaben einen IT-Sicherheitsvorfall.

Dabei handelt es sich um erfolgreiche Cyberangriffe, auf die die Unternehmen aktiv reagieren mussten. Das ist das Ergebnis einer Ipsos-Umfrage im Auftrag des TÜV-Verbands unter 506 Unternehmen ab zehn Mitarbeitenden, die am Mittwoch veröffentlicht wurde. Im Vergleich zur Studie vor zwei Jahren ist der Anteil erfolgreich gehackter Unternehmen um vier Prozentpunkte gestiegen.

"Die deutsche Wirtschaft steht im Fadenkreuz staatlicher und krimineller Hacker, die sensible Daten erbeuten, Geld erpressen oder wichtige Versorgungsstrukturen sabotieren wollen", sagte Michael Fübi, Präsident des TÜV-Verbands, am Mittwoch bei Vorstellung der "TÜV Cybersecurity Studie 2025" in Berlin. "Bei ihren Cyberattacken setzen die Angreifer verstärkt auf moderne Technologien wie Künstliche Intelligenz."

Allerdings scheinen viele Unternehmen die Risiken zu unterschätzen. Neun von zehn Unternehmen (91 Prozent) bewerten ihre Cybersicherheit als gut oder sehr gut. Und jedes vierte Unternehmen (27 Prozent) gibt an, dass IT-Sicherheit für sie nur eine kleine oder gar keine Rolle spielt. Fübi: "Unternehmen sollten Cybersicherheit ernst nehmen und dafür die notwendigen Ressourcen bereitstellen."

Dennoch spricht sich eine Mehrheit für gesetzliche Vorgaben aus: 56 Prozent sind der Meinung, dass alle Unternehmen verpflichtet sein sollten, angemessene Maßnahmen für ihre Cybersecurity zu ergreifen. "Die Bundesregierung sollte die überfällige nationale Umsetzung der NIS2-Richtlinie zügig verabschieden", sagte Fübi. "Die Regelung sieht gesetzliche Mindestanforderungen für die Cybersicherheit von rund 30.000 Unternehmen sicherheitskritischer Branchen vor." Kritisch sei, dass laut Umfrage bisher nur die Hälfte der Unternehmen die NIS2-Richtlinie kennen.

BSI-Präsidentin Claudia Plattner sagte: "Die Studie des TÜV-Verbandes zeigt, dass auf dem Weg zur Cybernation Deutschland noch eine Menge Arbeit vor uns liegt. Was mich besonders besorgt, ist die geringe Bekanntheit der NIS-2-Richtlinie. Umso wichtiger ist ihre zügige Umsetzung in nationales Recht. Verständlicherweise weisen Unternehmen darauf hin, dass regulatorische Vorgaben herausfordernd sind: auch, weil sie zu Bürokratie und damit zu Mehraufwand führen können. Richtig umgesetzt können sie uns aber dabei helfen, die Resilienz unserer Wirtschaft umfassend zu erhöhen."

Laut den Ergebnissen der Umfrage ist die mit Abstand häufigste Angriffsmethode derzeit Phishing: In der Regel handelt es sich dabei um E-Mails, die zu einer Schadsoftware führen. 84 Prozent der betroffenen Unternehmen berichten von Phishing-Angriffen - zwölf Prozentpunkte mehr als vor zwei Jahren. Ein Grund für den Anstieg ist der Einsatz Künstlicher Intelligenz. "Mit Hilfe der gängigen KI-Systeme können Phishing-Mails personalisiert, Texte perfekt formuliert oder auch Sprachnachrichten gefälscht werden", sagte Fübi.

An zweiter Stelle stehen "sonstige Schadsoftware-Angriffe" (26 Prozent). Dabei handelt es sich um so genannte Malware, die zum Beispiel dazu dient, sensible Daten abzugreifen. Wie die Schadsoftware in das IT-System eines Unternehmens gelangt, lässt sich nicht immer nachvollziehen. Ransomware-Angriffe (zwölf Prozent) und andere Methoden wie Passwort-Angriffe (zwölf Prozent) sind rückläufig. Bei Ransomware-Attacken werden sensible Daten verschlüsselt oder gestohlen. Dann wird das Management erpresst.

Eine wichtige Rolle spielt Künstliche Intelligenz sowohl bei Angriffen als auch bei ihrer Abwehr. Jeder zweite IT-Sicherheitsverantwortliche beobachtet Cyberangriffe im Unternehmen, die mit Hilfe von KI erfolgt sind (51 Prozent). In großen Unternehmen ab 250 Mitarbeitenden liegt der Wert bei 81 Prozent. Nach Ansicht von 82 Prozent der Befragten ermöglicht es KI den Angreifern, gezielt Schwachstellen in den IT-Systemen ihres Unternehmens auszunutzen. Und 89 Prozent stimmen der Aussage zu, dass KI dazu beiträgt, Angriffe effizienter und zielgerichteter durchzuführen.

Auf der anderen Seite nutzen erst zehn Prozent der Unternehmen KI für die Abwehr von Cyberangriffen, weitere zehn Prozent planen den Einsatz - vor allem, um Bedrohungen besser zu erkennen (70 Prozent), Anomalien in Datenbeständen und Datenströmen zu identifizieren (59 Prozent), Schwachstellen zu analysieren (58 Prozent) oder automatisiert auf Angriffe zu reagieren (51 Prozent).

Die Unternehmen haben in den vergangenen 24 Monaten mehrere Maßnahmen ergriffen, um sich besser vor Cyberangriffen zu schützen. Hierzu zählen Investitionen in sichere Hardware (65 Prozent), Einführung neuer Cybersecurity-Software (48 Prozent), Beratung durch externe Experten (59 Prozent) oder Schulungen der Mitarbeitenden (53 Prozent). Jeweils 22 Prozent der befragten Unternehmen haben Notfallübungen oder Pentests durchgeführt. 27 Prozent der Unternehmen haben ihr Budget für die IT-Sicherheit erhöht. Zum Vergleich: Vor zwei Jahren waren es noch 52 Prozent.