Cyber-Risiko und die C-Suite beim Stand der E-Mail-Sicherheit

Welche Risiken für ihr Geschäft belasten die Unternehmensleiter am stärksten? Eine informelle Umfrage von Forbes aus dem Jahr 2022 versuchte, diese Frage zu beantworten. Neben dem Klimawandel, der Inflation und der Möglichkeit einer weiteren Finanzkrise stand das Risiko einer Datenschutzverletzung ganz oben auf der Liste.[1]

Ein führender Think Tank drückt es so aus: "Die Risikolandschaft verändert sich schnell. Die täglichen Schlagzeilen erinnern uns daran, dass die Zukunft vor der Tür steht, und manchmal hat man das Gefühl, dass an jeder Ecke neue Risiken und Reaktionsstrategien lauern." Zu den wichtigsten Herausforderungen, die Deloitte nennt, gehören die Störungen, die sich aus den neuen Technologien ergeben, und die gemeinsamen Risiken, die mit der vernetzten Wirtschaft verbunden sind.[2]

Diese wachsende Besorgnis über Cyber-Risiken unter den Vorstandsmitgliedern und Top-Führungskräften von Unternehmen bildet den Hintergrund für Mimecasts neu veröffentlichten State of Email Security 2023 (SOES 2023) Bericht. Auf der Grundlage von Interviews mit 1.700 CISOs und anderen Fachleuten der Informationstechnologie aus 12 Industriesektoren und 13 Ländern dokumentiert der Bericht die genaue Art dieser Risiken und die Schritte, die zu ihrer Bewältigung unternommen werden.

Die Cyber-Risikolandschaft

Die Bedrohungen aus dem Internet, die die Aufmerksamkeit von Unternehmensleitern auf sich gezogen haben, sind erschreckend. Im Jahr 2023:

• Es wird erwartet, dass etwa 33 Milliarden elektronische Datensätze gestohlen werden.[3]
• Es wird erwartet, dass Cyberkriminalität die Welt 8 Billionen Dollar kosten wird. Wirtschaftlich gesehen ist dies mehr als das BIP aller Länder außer den USA und China.[4]
• Weltweit belaufen sich die durchschnittlichen Kosten für eine Datenschutzverletzung auf 4,35 Millionen Dollar. Die durchschnittlichen Kosten in den USA sind mit 9,44 Millionen Dollar mehr als doppelt so hoch.[5]
• Im Jahr 2022 wird es einen Anstieg von 13 % bei Ransomware geben - ein Anstieg, der so groß ist wie in den letzten fünf Jahren zusammen.[6] 
• Im Durchschnitt dauert es 212 Tage, um eine Datenschutzverletzung zu entdecken und weitere 75 Tage, um sie einzudämmen.[7]

Schwachstellen in der Lieferkette, die Zunahme der Online-Zusammenarbeit und das Wachstum des digitalen Arbeitsplatzes sind die Hauptgründe dafür, dass die Cyberlandschaft immer tückischer wird, aber für Cyberkriminelle bleibt die E-Mail der wichtigste Angriffsweg. SOES 2023 zeigt, dass die Abhängigkeit der Unternehmen von E-Mails weiter zunimmt und dass mehr E-Mails zu mehr E-Mail-Bedrohungen führen: Drei von vier (76 %) der SOES-Befragten geben an, dass diese in den letzten 12 Monaten zugenommen haben.

Die zunehmende Raffinesse von E-Mail-Angriffen ist ein noch größeres Problem, und weit mehr als die Hälfte (59 %) der SOES-Befragten aus dem Jahr 2023 bezeichneten dies als ihre größte Herausforderung. Drei von vier Befragten (76 %) erwarten, dass ein Angriff per E-Mail im kommenden Jahr schwerwiegende Folgen für ihr Unternehmen haben wird. Von diesen glaubt fast jeder Zehnte (9 %), dass ein solcher Angriff "unvermeidlich" ist, während weitere vier von zehn ihn für "äußerst wahrscheinlich" halten.

Tools für die Zusammenarbeit - unverzichtbar, aber riskant

Dies war das siebte Jahr in Folge, in dem Mimecast die SOES-Umfrage durchgeführt hat, und die erste Ausgabe, in der die Sicherheit von Collaboration-Tools eingehend untersucht wurde. Obwohl sie als unabdingbare Voraussetzung für die Abwicklung von Geschäften in der Post-COVID-Ära anerkannt sind, werden Tools für die Zusammenarbeit auch weithin als riskant angesehen. Drei Viertel (72 %) der CISOs gehen davon aus, dass ihr Unternehmen durch einen Angriff auf Basis von Collaboration-Tools geschädigt wird, und 75 % sind der Meinung, dass die neuen Bedrohungen durch Collaboration-Tools dringend angegangen werden müssen. 

Nahezu alle Befragten (94 %) waren sich einig, dass die von Google Workspace und Microsoft 365 gebotene Sicherheit unzureichend ist und dass zusätzliche Schutzmaßnahmen erforderlich sind.

Budgets für Cybersicherheit bleiben unterfinanziert

Trotz der zunehmenden Besorgnis in den Führungsetagen und Vorstandsetagen über die Bedrohung durch Cyberkriminalität bleiben die Budgets für Cybersicherheit immer noch hinter dem Bedarf an größerer Cyberbereitschaft zurück. Zwei Drittel (66 %) der Befragten aus dem Jahr 2023 gaben an, dass das Budget für Cybersicherheit in ihrem Unternehmen geringer ist als es sein sollte - dies ist in etwa gleich geblieben wie im Vorjahr. Die Unterfinanzierung ist jedoch relativ bescheiden - nach Angaben der Umfrageteilnehmer im Durchschnitt etwas weniger als 8 %.

Das Bild wird noch vielversprechender, wenn man die von den Unternehmen eingesetzten Cybersicherheitssysteme betrachtet. Nahezu alle SOES-Teilnehmer (98 %) haben bereits Systeme zur Überwachung und zum Schutz vor E-Mail-Angriffen eingerichtet, sind dabei, sie einzurichten, oder planen dies aktiv.

Darüber hinaus nutzen viele von ihnen die Vorteile der künstlichen Intelligenz (KI) und des maschinellen Lernens (ML), um ihren unterfinanzierten Teams zu helfen, der Zeit voraus zu sein. Nahezu die Hälfte der befragten Unternehmen (49 %) setzt bereits eine Kombination dieser Technologien ein, und die meisten anderen (43 % der Gesamtzahl) planen dies. Unter den Unternehmen, die derzeit KI/ML einsetzen, werden die drei größten Vorteile in einer genaueren Erkennung von Bedrohungen (50 %), einer verbesserten Fähigkeit zur Abwehr von Bedrohungen (49 %) und einer schnelleren Behebung nach einem Angriff (48 %) gesehen.

Die Quintessenz

Auch wenn es noch viele Herausforderungen gibt und Finanzierungsengpässe ein Thema bleiben, haben CISOs und ihre Kollegen aus dem Bereich der Cybersicherheit inzwischen die Aufmerksamkeit der Unternehmensführung. Jahrelang haben CISOs dafür gekämpft, dass ihre Vorstände die Cybersicherheit ernster nehmen. Jetzt, da sie erfolgreich sind, ist die Chance für sie, Cyberrisiken als dringende Geschäftsrisiken darzustellen, die angegangen werden müssen, größer denn je. Eine vollständige Aufschlüsselung dieser Risiken finden Sie im Bericht State of Email Security 2023 von Mimecast.

[1] "Die 10 größten Risiken und Bedrohungen für Unternehmen im Jahr 2022," Forbes

[2] "Die Zukunft des Risikos," Deloitte

[3] "Cybersecurity Breaches to Result in Over 146 Billion Records Being Stolen by 2023," Juniper Research

[4] "Cybercrime to Cost the World 8 Trillion Annually in 2023," Cybercrime Magazine

[5] "Kosten einer Datenschutzverletzung 2022," IBM

[6] "Data Breach Investigations Report 2022," Verizon

[7] "Blumira's 2022 State of Detection and Response," Blumira