Cybersicherheit bei Banken und Versicherungen: Gut, aber auch gut genug?

Bereits zum dritten Mal ist G DATA der Frage nachgegangen, wie es um die IT-Sicherheit in Deutschland steht. Die Ergebnisse der breit angelegten Umfrage hat das IT-Sicherheitsunternehmen in Zusammenarbeit mit Statista und brand eins in der Studie „Cybersicherheit in Zahlen“ zusammengefasst. Dabei hat die Umfrage auch einzelne Branchen untersucht. Ein Ergebnis für Banken und Versicherungen: Jeder dritte Angestellte schätzt die Gefahr von Cyberattacken auf das eigene Unternehmen als groß ein.

von Tim Berghoff Security Evangelist bei G DATA CyberDefense

Die Bedrohung im Cyberraum ist so hoch wie nie zuvor.“ Diese Aussage aus dem aktuellen Lagebericht zur IT-Sicherheit des BSI fasst die Situation (leider) perfekt zusammen. Auf unterschiedlichen Wegen gelingt es Cyberkriminellen immer wieder, Unternehmensnetzwerke zu infiltrieren. Nach Schätzungen des Branchenverbandes Bitkom lag der Schaden durch Cyberangriffe in Deutschland im Jahr 2022 bei insgesamt 202 Milliarden Euro. Vor diesem Hintergrund hat G DATA CyberDefense gemeinsam mit Statista und brand eins im Rahmen der Umfrage „Cybersicherheit in Zahlen“ eine Bestandsaufnahme zur IT-Sicherheit in Deutschland gemacht. Befragt wurden mehr als 5.000 Menschen aus allen Branchen. Auch rund 300 Angestellte aus der Finanz- und Versicherungsbranche haben sich an der Umfrage beteiligt und gewähren so einen Einblick in den aktuellen Status und zukünftige Einschätzungen. Grundsätzlich gilt:

Beim Thema IT-Sicherheit sind Banken und Versicherungen besser als viele andere Branchen aufgestellt.”

Aber die Ergebnisse sind trotzdem kein Freifahrtschein für IT-Verantwortliche. Handlungsbedarf besteht weiterhin.

Ein gutes Schutzgefühl bei Banken und Versicherungen

Bereits bei der Frage nach der persönlichen IT-Sicherheitskompetenz zeigen sich überdurchschnittliche Werte im Finanzsektor.

Mehr als 37 Prozent der Befragten schätzen ihre persönliche Kompetenz bei Thema IT-Sicherheit als hoch und sehr hoch ein.”

Über alle Branchen hinweg teilen nur 32 Prozent der Befragten diese Selbsteinschätzung. Auf der anderen Seite schreibt sich jede und jeder Zweite, der im Bereich Finanz- und Versicherungsdienstleistungen arbeitet, geringe und sehr geringe Fähigkeiten in Bezug auf IT-Sicherheit zu. Das sind zwar zehn Prozent weniger als der Durchschnitt, zeigt aber trotzdem Nachholbedarf. Wenn es solchen Mitarbeitenden an grundlegendem Wissen um IT-Sicherheit fehlt, etwa das Verständnis für Passwortsicherheit oder das Erkennen von Phishing-Nachrichten, ist die IT-Sicherheit des gesamten Unternehmens gefährdet.

Die meisten Befragten fühlen sich durch die angewendeten Sicherheits- und Schutzmaßnahmen im beruflichen Umfeld gut und sehr gut geschützt.”

Sind es im Branchendurchschnitt mehr als 72 Prozent, kommt die Banken- und Versicherungsbranche sogar auf 83 Prozent. Sehr schlecht und schlecht geschützt fühlen sich nur 4 Prozent der Angestellten in diesem Sektor (Durchschnitt: 7 Prozent). Trotz dieses hohen Schutzgefühls schätzt jede und jeder dritte Befragte das Risiko eines Cyberangriffs als hoch oder sehr hoch ein. 46 Prozent stufen das Risiko, Cyberkriminelle zum Opfer zu fallen, als gering und sehr gering ein.

IT-Sicherheit ist eine Zeitfrage

Die Studie ist auch der Frage nachgegangen, wie Angestellte und Unternehmen bei kritischen Situationen reagieren, wie beispielsweise bei der Erkennung von IT-Sicherheitslücken.

Jede und jeder zweite Befragte hat in seiner Firma schon eine IT-Sicherheitslücke erkannt und darauf hingewiesen.”

Allerdings haben Unternehmen unterschiedlich schnell darauf reagiert. Vier von fünf Mitarbeitenden in Banken und Versicherungen finden, dass ihr Arbeitgeber schnell beziehungsweise sehr schnell reagiert hat. Jeder Fünfte gibt an, dass die Verantwortlichen sehr und eher langsam reagiert haben.

Sicherlich unterscheiden sich Sicherheitslücken in ihrer Kritikalität und für manche Schwachstelle braucht es besonderes Fachwissen, um diese auszunutzen. Aber Zeit ist ein entscheidender Faktor bei der Behebung von IT-Sicherheitslücken.

Wer beim Schließen einer Schwachstelle zu langsam reagiert, läuft Gefahr, dass Tätergruppe diese bereits ausgenutzt und sich Zugang zum Netzwerk verschafft hat.”

IT-Sicherheit geht alle an

Die Umfrage belegt ein großes Vertrauen der Angestellten zu ihren Arbeitgebern in Banken und Versicherungen. Mehr als 92 Prozent haben das Gefühl, dass das Thema Cybersicherheit in ihrem Unternehmen ernst genommen wird. Nur knapp acht Prozent widersprechen der Aussage.

Aus Sicht vieler Mitarbeitenden liegt die Verantwortung für die unternehmensweite IT-Sicherheit bei den Fachleuten, die mit modernen Technologien das Netzwerk absichern.”

Allerdings denken viele Angestellte nicht daran, dass sie selbst Teil eines Sicherheitskonzepts sind. Dabei kann jeder Mitarbeitende mit dem eigenen Verhalten einen wichtigen Beitrag zur IT-Sicherheit leisten. Sei es durch den Einsatz von sicheren Passwörtern, den Schutz kritischer Daten oder durch das einfache Sperren des Rechners, wenn jemand seinen Platz verlässt. IT-Sicherheitsmaßnahmen wie diese schützen nicht nur den eigenen Arbeitsplatz, sondern das ganze Unternehmen. Doch was in der Theorie einfach klingt, zeigt in der Praxis erhebliche Lücken: Nur 64 Prozent der Befragten sagen, dass sie sich für den Einsatz sicherer Passwörter zuständig fühlen. Dabei sollte doch die Tatsache, dass sich einfache Kennwörter mittels automatisierter Tools schon innerhalb weniger Sekunden knacken lassen, bekannt sein.

Rund 60 Prozent der Befragten gehen verantwortungsvoll mit den Passwörtern um. Ebenfalls geben 60 Prozent an, dass sie beim Verlassen des Arbeitsplatzes den eigenen Rechner sperren. Für Unbefugte ist ein verlassener, nicht-gesperrter PC eine Einladung wie eine offenstehende Verandatür.

IT-Sicherheit – mit Schulungen zu mehr Wissen

Welche Relevanz das Thema IT-Sicherheit unter Angestellten hat, zeigt auch eine andere Statistik: Bei der Frage, in welchen Bereichen das eigene Unternehmen mehr investieren sollte, belegt IT-Sicherheit Platz 1 – mit 43 Prozent. Gefolgt von Mitarbeiterentwicklung (34 Prozent) und Nachhaltigkeit (32 Prozent). Sicherlich auch ein Indiz dafür, wie bedrohlich die Cybersicherheitslage aktuell ist.

Die Studie ist im Weiteren auch der Frage nachgegangen, in welchen IT-sicherheitsrelevanten Themen Angestellte mehr wissen möchten. Die Antworten nehmen die Verantwortlichen in die Pflicht und zeigen, wo wenig Wissen vorherrscht. An erster Stelle steht – wenig überraschend – Phishing und Datendiebstahl (50 Prozent). Das ist sicherlich auch der Tatsache geschuldet, dass Cyberkriminelle anstelle von einfach zu entlarvenden Massenmails immer individuellere Nachrichten verfassen. Der Aufwand, eine verdächtige E-Mail zu entlarven, wird größer, gelingt mit dem entsprechenden Know-how aber trotzdem.

Weitere Themen auf der Liste sind der Umgang mit Passwörtern (46 Prozent) und Datenschutz (36 Prozent). Die Ergebnisse belegen, wie breit das Thema IT-Sicherheit ist. Ein Handout zu Phishing-Mails reicht einfach nicht aus, um mehr Bewusstsein in der Belegschaft zu fördern. Wer das Thema nachhaltig bei seinen Angestellten verankern will, braucht also Schulungen mit einem breiten Themenspektrum.

In der Finanz- und Versicherungsbranche hat sich die Erkenntnis schon durchgesetzt, dass IT-Sicherheit auf mehrere Säulen ruhen muss und insbesondere Mitarbeitende dabei eine wichtige Rolle spielen.”

76 Prozent der Unternehmen bieten für alle Angestellten Schulungen, Trainings oder Veranstaltungen rund um das Thema Cybersicherheit an. Zum Vergleich: Über alle Branchen hinweg liegt der Anteil nur bei 54 Prozent. Die Kehrseite der Medaille: 24 Prozent der Befragten geben an, dass nicht allen Angestellten ein Schulungsangebot offensteht. Hier werden offensichtlich nur bestimmte Gruppen innerhalb der Belegschaft geschult, beispielsweise alle IT-Angestellten oder ausschließlich Führungskräfte.

Jede und jeder sollte über Cyberrisiken aufgeklärt werden, der täglich im Netzwerk arbeitet. Und wenn es nur zum Drucken von Versandetiketten ist.”

Wer ganzheitliche IT-Sicherheit will, muss die Belegschaft einbinden
Die Studie belegt, dass Unternehmen in der Finanz- und Versicherungsbranche beim Thema IT-Sicherheit überdurchschnittlich gut aufgestellt sind. Es sind aber trotzdem noch Stellschrauben erkennbar, an denen Unternehmen weiterarbeiten müssen. Eine davon: die eigene Belegschaft. Die Mitarbeitenden müssen mehr Verantwortung übernehmen beziehungsweise sich dieser bewusst werden. Dazu müssen aber zunächst Angestellte in Führungspositionen ihrer Verantwortung gerecht werden und ihre Angestellten dazu befähigen, Teil des IT-Sicherheitskonzepts zu werden. Dies gelingt beispielsweise mit Security Awareness Trainings. Dabei sollten Führungskräfte daran denken, dass IT-Sicherheit kein Sprint, sondern ein Marathon ist. Mit Schnellschüssen lässt sich Human Centered Security nicht umsetzen.

Tim Berghoff, G DATA