Zunehmend häufiger geraten Server und weitere IT-Systeme von Unternehmen in das Visier von Cyber-Kriminellen. Trotzdem werden die damit verbundenen Risiken von den Verantwortlichen viel zu oft unterschätzt. Sind die Angreifer erfolgreich, ist der Schaden groß, für betroffene Unternehmen kann es richtig teuer werden – und das gleich in mehreren Bereichen.
Anzahl der DDoS-Attacken erheblich gestiegen
Cyber-Kriminelle können auf unterschiedlichstem Wege angreifen. Einer der am meisten verbreiteten Angriffe ist die DDoS (Distributed Denial of Service) Attacke. Hierbei wird das eigentliche Ziel (z.B. eine Datenbank auf einem Webserver) mit unzähligen Anfragen über das Netzwerk überhäuft.
Die zahlreichen Anfragen können das System verlangsamen und bei einer zu hohen Last sogar zu dessen Zusammenbruch führen. Die Folge kann sein, dass eine Website nicht mehr erreichbar ist oder auch das Netzwerk des angegriffenen Unternehmens lahmgelegt ist.
Auswertungen von Experten für IT-Sicherheit zeigen, dass die Anzahl der gezielten DDoS-Attacken im vergangenen Jahr drastisch angezogen hat. In Deutschland, Österreich und der Schweiz ereignen sich pro Tag ca. 150 gezielte Angriffen. Laut Bericht eines Spezialversicherers findet rund ein Drittel dieser Angriffe an Wochenenden statt. Dies geschieht nicht grundlos. An Wochenenden werden die IT-Systeme oftmals unzureichend oder gar nicht überwacht, wodurch die Chancen auf einen erfolgreichen Angriff steigen und das Ausmaß des Schadens steigt.
Allerdings müssen Angriffe nicht zwangsläufig direkt auf Netzwerke oder andere Server der Opfer gerichtet sein. Bei gezielten Angriffen greifen Cyber-Kriminelle auch gerne zum Telefonhörer, um sich via Social Engineering direkten Zugriff auf Daten zu schaffen. Teilweise werden auch Systeme von Cloud-Anbietern, bei denen Unternehmen einen Teil ihrer Daten speichern, zielgerichtet angegriffen.
Ziele der Cyber-Kriminellen
Die Angreifer können ganz verschiedene Ziele verfolgen. Nicht selten wird versucht, die IT der Opfer lahmzulegen, um diese erpressen zu können. Den Opfern wird in Aussicht gestellt, dass die Angriffe aufhören, nachdem Geld bezahlt wurde. Krypto-Währungen, wie z.B. Bitcoin, werden gerne eingesetzt, um solche Zahlungen abzuwickeln.
In manchen Fällen sind Cyber-Angriffe wiederum als Auftragsarbeiten einzustufen. Die Angreifer werden bezahlt, um beispielsweise Websites lahmzulegen, die von Konkurrenten der Auftraggeber betrieben werden.
Ein vollkommen anderes Ziel der Angreifer kann darin bestehen, Daten zu erbeuten. Die erlangten Daten werden dann für eigene Zwecke missbraucht, beispielsweise um Gelder von Bankkonten abzuheben oder schlichtweg um die Datensätze weiterzuverkaufen. Einige Angreifer erpressen ihre Opfer wiederum, d.h. sie fordern Geld, damit sie den Datendiebstahl nicht publik machen.
Diese Schäden erleiden betroffene Unternehmen
Aus Sicht betroffener Unternehmen sind die Folgen eines erfolgreichen Angriffs enorm. Es droht vor allem ein erheblicher finanzieller Schaden. Sollten Angreifer erfolgreich sein, gilt es Experten für IT-Sicherheit hinzuziehen, die sich auf Ursachenforschung begeben. Sie ermitteln was die Angreifer gemacht haben und wie es da zu kommen konnte. Diese Kosten können sich durchaus auf einen sechsstelligen Betrag summieren.
Eine nachhaltige Schließung der Sicherheitslücke zieht weitere Kosten nach sich. Weitere Kosten können z.B. auch aus einer notwendigen Datenrettung resultieren, weil keine Backups erstellt oder diese von den Angreifern ebenfalls zerstört wurden.
Nicht außer Acht zu lassen sind weitere Kosten, die aus möglichen Umsatzverlusten resultieren. Angenommen der Webshop war an einem verkaufsstarken Wochenende nicht erreichbar, so kann der Schaden einen Umsatzverlust in Millionenhöhe bedeuten.
Einige Unternehmen lassen sich auf die Erpressung ein, d.h. die von den Cyber-Kriminellen geforderten Beträge werden bezahlt. Entsprechend können auch hier sehr hohe Kosten entstehen – und das ohne Gewissheit, ob die Angreifer ihr Wort halten oder anschließend noch mehr Geld fordern.
Datenschutz: Zuständige Aufsichtsbehörde kann sich einschalten
Ein weiterer Punkt ist der Datenschutz. Sollte es Angreifern gelungen sein, personenbezogene Daten einzusehen oder zu erbeuten, ist solch ein Vorfall fristgerecht der zuständigen Aufsichtsbehörde zu melden. Mitarbeiter der Behörde werden den Vorfall untersuchen. In Abhängigkeit von der jeweiligen Situation droht womöglich ein Bußgeld. Angenommen ein Datendiebstahl oder ein ähnlicher Vorfall wurde verspätet gemeldet und die getroffenen Sicherheitsmaßnahmen waren unzureichend, so ist die Verhängung eines Bußgeldes nicht auszuschließen.
IT-Sicherheit ist wichtiger denn je
In Anbetracht solcher Risiken ist es entscheidend, IT-Sicherheit und Datenschutz sehr ernst zu nehmen. Der Schlüssel zum Erfolg besteht in vorsorglichem Handeln. Ein maßgeschneidertes Datenschutzkonzept bildet die Grundlage, um den Anforderungen an den betrieblichen Datenschutz gerecht zu werden. Zugleich bedarf es individuell abgestimmter Maßnahmen aus dem Feld der IT-Sicherheit.
Als externer Datenschutzbeauftragter unterstützen wir Unternehmen beim betrieblichen Datenschutz. Gerne stehen wir auch Ihrem Unternehmen beratend zur Seite. Für weitere Informationen erreichen Sie uns telefonisch unter 0800 – 5600831 (gebührenfrei) oder über unser Kontaktformular.