"Die Bedrohungslage wird besorgniserregend hoch sein"

Im Berichtszeitraum zur Lage der IT-Sicherheit 2024 haben wir beobachtet, dass die geopolitische Lage etwa in den Konflikten zwischen Israel und der Hamas sowie im russischen Angriffskrieg gegen die Ukraine zu einem erhöhten Aufkommen von Desinformation, Hacktivismus, Spionage und Sabotage auf regionaler Ebene geführt hat. Die Auswirkungen auf Drittstaaten wie Deutschland waren spürbar, aber die eingesetzten Mittel konnten gut abgewehrt werden. Es kam nicht, wie befürchtet, zum Einsatz fortschrittlicher Cybersabotage-Mittel.

Die Effekte von Cybersabotage wurden im Berichtszeitraum vor allem über Social Media begleitet und wirkungsvoller dargestellt, als es der Realität entsprach. Dieses Vorgehen verfolgte vor allem den Zweck, die Bevölkerung zu verunsichern und die Regierung inklusive der zugehörigen Behörden als schwach darzustellen. So steigt auch die Zahl der Desinformationskampagnen. Leider ist derzeit nicht davon auszugehen, dass im Bereich der Cyberangriffe mit einer Entspannung der Lage zu rechnen ist.

Das BSI sieht weiterhin Ransomware als größte Bedrohung für Unternehmen an. Diese Angriffe werden in der Regel mit krimineller Motivation durchgeführt. Die meisten Ransomwareangriffe sind technologisch nicht sehr ausgefeilt. Angriffe lassen sich im Rahmen einer kriminellen Schattenwirtschaft ohne großes Know-how durchführen. “Ransomware- as-a-Service” ist mittlerweile ein Massengeschäft geworden. Da kleine und mittlere Unternehmen häufig zu wenig zur Absicherung ihrer IT-Systeme tun, sind sie durch solche Angriffe besonders bedroht. Gerade Unternehmen mit bis zu 50 Beschäftigten verfügen meist über wenig Zeit, Geld und gut geschultes Personal, um sich um dieses Thema zu kümmern. Und so werden dann oftmals selbst einfachste Schutzmaßnahmen nicht umgesetzt, obwohl sich durch diese bereits ein Großteil der Angriffe abwehren ließe.

Um solchen Unternehmen ein Angebot zu machen, hat das BSI mit einer Reihe von Partnern die DIN SPEC 27076 “IT-Sicherheitsberatung für kleine und Kleinstunternehmen” und den darauf basierenden CyberRisikoCheck entwickelt. Das BSI empfiehlt jedem KMU, das bisher seinen Cyberschutz vernachlässigt hat, schnellstmöglich den CyberRisikoCheck durchzuführen und die Handlungsempfehlungen zeitnah umzusetzen. Bisher wurden durch uns bereits mehr als 850 ITExperten in ganz Deutschland in der Durchführung des Checks geschult.

Über Phishing-Angriffe wird etwa – häufig immer noch erfolgreich – versucht, sich Zugänge zu Unternehmensaccounts zu erschleichen. Dagegen helfen phishingresistente Authentifizierungsmethoden wie Passkeys. Auch das Ausnutzen von Schwachstellen in Softwareprodukten stellt einen gängigen Angriffsvektor dar. Oftmals werden dabei von den Angreifern Schwachstellen adressiert, die zwar vom Softwarehersteller längst geschlossen wurden, dessen Kunden allerdings die dafür bereitgestellten Updates nicht installiert hatten.

Im Jahr 2024 wurden durchschnittlich 78 neue Schwachstellen in Softwareprodukten pro Tag detektiert. Dies ist ein Anstieg um 14 Prozent. Das liegt auch daran, dass es immer mehr digitale Produkte gibt. Auch Social Engineering, DDoS-Angriffe, Brute-Force-Attacken auf Passwörter sowie CEO Frauds werden weiterhin verzeichnet.

Hierzu gibt es leider keine verlässlichen Zahlen. Dies ist einer der Gründe dafür, dass sich das BSI so sehr dafür einsetzt, zur Zentralstelle für Cybersicherheit zu werden – nicht nur für Vorfälle, die den Bund betreffen, sondern auch für solche in den Bundesländern. Ohne ein übergreifendes Cyberlagebild lässt sich die Bedrohungslage nur unzureichend erfassen. Und auf Bedrohungen unmittelbar zu reagieren, wird so ebenfalls merklich erschwert. Aber ganz grob: Die Zahlen der im Darknet geleakten Daten, welche deutschen Unternehmen beziehungsweise Personen zuordenbar sind, stiegen in den vergangenen Jahren kontinuierlich an. In Summe schätzt der Digitalverband Bitkom den jährlichen Schaden allein durch Cybercrime auf 178,4 Milliarden Euro.

Wir gehen davon aus, dass sich die Schattenwirtschaft weiterhin professionalisiert. Die Digitalisierung schreitet weiter voran, die Abhängigkeit von IT wird in allen Bereichen weiter steigen. Und Ransomware bleibt die größte Bedrohung für Unternehmen in Deutschland. Die Bedrohungslage wird also besorgniserregend hoch sein. Allerdings sehen wir auch gerade vonseiten des Gesetzgebers wirkungsvolle Maßnahmen, um die Resilienz im Cyberraum weiter zu erhöhen. So werden durch die NIS-2-Richtlinie mehr Unternehmen in die Pflicht genommen, Mindestanforderungen an Informationssicherheit umzusetzen. Und der Cyber Resilience Act legt für alle vernetzten Produkte, die auf dem EU-Markt erhältlich sind, ein Mindestmaß an Cybersicherheit fest und definiert dazu konkrete Anforderungen.

Nach wie vor gilt, dass bereits mit einfachen Maßnahmen eine große Zahl an potenziellen Bedrohungen abgewehrt werden kann. Hierfür empfehlen wir gerade KMU als Einstieg dringend die Durchführung eines CyberRisikoChecks. Außerdem hat das BSI eine ganze Reihe von auf KMU zugeschnittenen, kostenlosen Angeboten, die unter www.bsi.bund.de/kmu übersichtlich zusammengefasst sind. Ein wirklicher Renner ist unsere Broschüre Cybersicherheit für KMU – Die Top 14 Fragen. Sie richtet sich an Geschäftsführungen, setzt keinerlei IT-Wissen voraus und erklärt in angenehm zu lesenden Informationshäppchen, wie sich Unternehmen schützen können.