Cyber-Resilienz im Fokus: KMU im Vorteil, große Unternehmen vor Herausforderungen

KMU stärken ihre Cyber-Resilienz, während große Unternehmen kämpfen

Die neueste Cyber Security Breaches Survey zeichnet ein gemischtes Bild der Widerstandsfähigkeit gegen Cyberangriffe, mit einem bemerkenswerten Unterschied zwischen kleinen und mittleren Unternehmen (KMU) und größeren Unternehmen.

Während weniger kleine und Kleinstunternehmen im Vergleich zum Vorjahr von Sicherheitsverletzungen berichteten, bleibt die Bedrohungslandschaft insgesamt herausfordernd, insbesondere für größere Organisationen, bei denen ein deutlicher Anstieg der Ransomware-Kriminalität zu verzeichnen ist.

Die vom britischen Ministerium für Wissenschaft, Innovation und Technologie (DSIT) und dem Innenministerium in Auftrag gegebene Umfrage ergab, dass etwas mehr als vier von zehn Unternehmen (43 %) und drei von zehn Wohltätigkeitsorganisationen (30 %) in den letzten 12 Monaten einen Cyber-Sicherheitsvorfall oder -angriff identifiziert haben. Dies entspricht etwa 612.000 betroffenen Unternehmen und 61.000 Wohltätigkeitsorganisationen.

KMU-Sicherheitsverletzungen rückläufig, aber große Unternehmen müssen ihre Cyber-Resilienz verbessern

Der allgemeine Rückgang der Häufigkeit von Sicherheitsverletzungen bei Unternehmen (von 50 % im Jahr 2024) ist in erster Linie darauf zurückzuführen, dass weniger Kleinstunternehmen (41 %, gegenüber 47 % im Vorjahr) und kleine Unternehmen (50 %, gegenüber 58 % im Vorjahr) Angriffe, insbesondere Phishing, identifiziert haben.

Die Prävalenz bei mittleren (67 %) und großen Unternehmen (74 %) blieb jedoch hartnäckig hoch und entsprach dem Vorjahr. Dies zeigt den dringenden Bedarf an Verbesserungen der Cyber-Resilienz.

Phishing bleibt die unangefochtene Nummer eins unter den Cyberangriffen. 85 % der Unternehmen und 86 % der Wohltätigkeitsorganisationen, die von einer Sicherheitsverletzung betroffen waren, wurden Opfer von Phishing. Dies entspricht 37 % aller britischen Unternehmen und 26 % der Wohltätigkeitsorganisationen, die im vergangenen Jahr mit Phishing-Versuchen konfrontiert waren.

Qualitative Interviews verdeutlichten den disruptiven Charakter von Phishing, das sich aufgrund des schieren Volumens und des Untersuchungsbedarfs oft als zeitaufwändig erweist. Besorgniserregend ist, dass die Organisationen ein "wachsendes Bewusstsein dafür feststellten, dass immer ausgefeiltere Methoden, wie z. B. KI-Imitation, zum Mainstream werden".

Experten betonen die zunehmende Bedrohung durch KI-gestützte Angriffe und die anhaltende Popularität von Cybercrime-as-a-Service (CaaS)-Ökosystemen, die Angreifern vorgefertigte bösartige Tools und Dienste zur Verfügung stellen. Dies erhöht die Geschwindigkeit, das Ausmaß und die Komplexität von Cyberangriffen.

Der Anstieg von Ransomware und die Auswirkungen auf Unternehmen

Während die Gesamtprävalenz der Cyberkriminalität (definiert nach dem Computer Misuse Act 1990) für Unternehmen (20 %) und Wohltätigkeitsorganisationen (14 %) im Vergleich zu 2024 stabil blieb, hebt der Bericht einen signifikanten Anstieg der Ransomware-Kriminalität hervor, die speziell auf Unternehmen abzielt.

Der geschätzte Prozentsatz aller Unternehmen, die Opfer von Ransomware-Kriminalität wurden (bei der eine finanzielle Forderung gestellt wurde), verdoppelte sich von weniger als 0,5 % im Jahr 2024 auf 1 % im Jahr 2025. Dies entspricht etwa 19.000 Unternehmen, die im vergangenen Jahr mit Ransomware-Forderungen konfrontiert waren.

Experten empfehlen den Unternehmen die Implementierung einer mehrschichtigen Sicherheitsarchitektur, die Threat-Intelligence-Feeds, heuristische Analysen und fortschrittliches maschinelles Lernen kombiniert, um Angriffe in verschiedenen Phasen zu erkennen und zu blockieren. Dazu gehört die Verhinderung der anfänglichen Infiltration durch Phishing sowie die Begrenzung der Ausbreitung von Ransomware im Netzwerk.

Obwohl die meisten Sicherheitsverletzungen (etwa 84 %) nicht zu direkten negativen Folgen wie Daten- oder Finanzverlusten führten, verschieben sich die spezifischen Auswirkungen.

Bei Unternehmen kam es zu einem deutlichen Anstieg des vorübergehenden Verlusts des Zugriffs auf Dateien oder Netzwerke (7 %, gegenüber 4 % im Jahr 2024), während Wohltätigkeitsorganisationen einen verstärkten Verlust des Zugriffs auf Dienste Dritter verzeichneten (5 %, gegenüber 1 % im Jahr 2024).

Die durchschnittlichen selbst gemeldeten Kosten für die schwerwiegendsten Sicherheitsverletzungen wurden auf 1.600 £ für Unternehmen und 3.240 £ für Wohltätigkeitsorganisationen geschätzt (einschließlich Antworten mit 0 £). Ohne die Antworten mit 0 £ steigen diese Zahlen auf 3.550 £ bzw. 8.690 £. Die Kosten für durch Cyberkriminalität erleichterten Betrug waren mit durchschnittlich 5.900 £ pro betroffenem Unternehmen noch höher.

Bedenken hinsichtlich Cyber-Hygiene und Governance

Positiv ist, dass kleine Unternehmen Verbesserungen bei der Cyber-Hygiene zeigten, um ihre Widerstandsfähigkeit zu verbessern. So stieg die Inanspruchnahme von Risikobewertungen (48 %, gegenüber 41 % im Vorjahr), Cyber-Versicherungen (62 %, gegenüber 49 % im Vorjahr), formellen Richtlinien (59 %, gegenüber 51 % im Vorjahr) und Business-Continuity-Plänen, die Cyber-Aspekte abdecken (53 %, gegenüber 44 % im Vorjahr).

Bei Wohltätigkeitsorganisationen mit hohem Einkommen ging jedoch die Risikoidentifizierung (75 %, gegenüber 86 % im Vorjahr) und die Entwicklung formeller Strategien (39 %, gegenüber 47 % im Vorjahr) zurück, was möglicherweise mit Budgetbeschränkungen zusammenhängt. Grundlegende technische Kontrollen wie Malware-Schutz und Firewalls sind weit verbreitet, aber die Einführung von Maßnahmen wie der Zwei-Faktor-Authentifizierung (40 % der Unternehmen, 35 % der Wohltätigkeitsorganisationen) bleibt geringer.

Experten betonen die Notwendigkeit von KI-nativen Sicherheitsmaßnahmen innerhalb von mobilen Unternehmensanwendungen, um Bedrohungen proaktiv in Echtzeit zu erkennen und zu stoppen. Die Einbettung von KI-gesteuerten Abwehrmechanismen direkt in kommerzielle und kundenspezifische mobile Unternehmensanwendungen ist unerlässlich, um den immer raffinierteren Angriffen einen Schritt voraus zu sein und sicherzustellen, dass Unternehmensnetzwerke und -systeme durch mehrere Sicherheitsebenen geschützt bleiben.

Besorgniserregend ist, dass die Umfrage einen stetigen Rückgang der Verantwortung des Vorstands für Cybersicherheit und Resilienz bei Unternehmen seit 2021 ergab (von 38 % auf 27 %).

Auch das Risikomanagement in der Lieferkette bleibt ein Schwachpunkt: Nur 14 % der Unternehmen und 9 % der Wohltätigkeitsorganisationen überprüfen die Risiken ihrer unmittelbaren Lieferanten formell. Das Bewusstsein für staatliche Leitlinien wie NCSC-Kampagnen und Cyber Essentials ist nach wie vor begrenzt, insbesondere bei Kleinstunternehmen.

Experten betonen die Notwendigkeit einer regelmäßigen Überprüfung von Sicherheitsereignissen und der Nutzung von Extended Detection and Response (XDR)-Tools, um Angriffe effektiv zu untersuchen und einzudämmen. Dieser proaktive Ansatz, gepaart mit einer starken Führung und einem Fokus auf die Sicherheit der Lieferkette, ist entscheidend für den Aufbau von Widerstandsfähigkeit gegen die wachsende Bedrohung durch Ransomware und andere Cyberkriminalität. Diese Ergebnisse sollten auch in das kommende Gesetz zur Cybersicherheit und Resilienz einfließen, insbesondere im Hinblick auf KI-gestützte Angriffe.

Bibliographie:

1. https://planet.cybertzar.com/entries/492846
2. https://x.com/Gadget_Ry/status/1910380262304755889
3. https://www.marsh.com/en-gb/services/cyber-risk/insights/why-the-cybersecurity-gap-between-smes-and-large-organisations-matters.html
4. https://www.telecomstechnews.com/news/vodafone-uk-smes-losing-billions-weak-cybersecurity/
5. https://www.strategic-risk-global.com/cyber-/-technology-risks/cyber-resilience-starts-with-smes-says-ferma-ceo-beauperin/1454701.article
6. https://www.ibm.com/think/insights/cybersecurity-dominates-concerns-c-suite-small-businesses-nation
7. https://www.gov.uk/government/news/business-leaders-supported-to-bolster-online-defences-to-safeguard-growth
8. https://www.cyberdefensemagazine.com/the-sme-cybersecurity-paradox-why-smaller-businesses-are-prime-targets/
9. https://aisel.aisnet.org/cgi/viewcontent.cgi?article=1608&context=misqe