Cyber-Sicherheits-Umfrage Ergebnisse, Stand

Transkript

1 Cyber-Sicherheits-Umfrage 2016 Ergebnisse, Stand

2 Allianz für Cyber-Sicherheit Die Allianz für Cyber-Sicherheit ist eine Initiative des Bundesamtes für Sicherheit in der Informationstechnik, die 2012 in Zusammenarbeit mit dem Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.v. (BITKOM) gegründet wurde. Die Allianz hat das Ziel, die Cyber-Sicherheit in Deutschland zu erhöhen und die Widerstandsfähigkeit des Standortes Deutschland gegenüber Cyber-Angriffen zu stärken. Sie richtet sich vorrangig an Unternehmen und Behörden, darüber hinaus aber auch an sonstige Institutionen und Organisationen in Deutschland. Interessenten haben die Möglichkeit, sich in verschiedenen Rollen als Teilnehmer, Partner oder Multiplikator an der Allianz beteiligen. Weitere Informationen zur Allianz für Cyber-Sicherheit: Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 2

3 Eine Gemeinschaftsaktion der Allianz für Cyber-Sicherheit Die Cyber-Sicherheits-Umfrage 2016 wurde durchgeführt im Auftrag des Bundesamt für Sicherheit in der Informationstechnik In Kooperation mit Bundesverband der Deutschen Industrie (BDI) Bundesverband Informationswirtschaft, Telekommunikation und neue Medien (BITKOM) Deutscher Industrie- und Handelskammertag (DIHK) Gesellschaft für Informatik e.v. (GI) Verband Deutscher Maschinen- und Anlagenbau (VDMA) Verband der IT-Anwender e.v. (VOICE) Zentralverband Elektrotechnik- und Elektronikindustrie (ZVEI) Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 3

4 Angaben zur Datenbasis und zum Teilnehmerfeld

5 Rahmendaten und Datenbasis Öffentliche Online-Umfrage vom bis , Ausschließlich geschlossene Fragestellung mit vorgegebenen Antwortalternativen, kein Freitext Die Umfrage wurde anonym durchgeführt. Datenbasis nach Ende der Umfrage 338 Datensätze wurden insgesamt angelegt (abgeschlossene Fragebögen) 007 Datensätze entfallen nach Plausibilitätsprüfung 331 Datensätze gehen in die Auswertung ein Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 5

6 In welchem Wirtschaftsfeld sind die Institutionen der Befragten überwiegend tätig? Top 16, alle Weiteren jeweils < 6 Befragte Branche Anzahl in % IT-Dienstleister 70 21% Öffentlicher Dienst 47 14% Banken / Börsen / Finanzdienstleistungen 28 8% Beratungsdienstleistungen 23 7% Maschinen- und Anlagenbau 22 7% Produzierendes Gewerbe / Industrie (sonst.) 15 5% Sonstige Dienstleistungen 14 4% Chemische Industrie 12 4% Branche Anzahl in % Medien / Rundfunk / Kunst / Unterhaltung 11 3% IT-Hersteller 10 3% Handel 9 3% Medizinische Versorgung / Pharmaindustrie 8 2% Bildung / Forschung / Wissenschaft 8 2% IT/TK-Provider 8 2% Elektroindustrie 7 2% Automobilindustrie und Zulieferer 6 2% Frage 11 Basis: n = 331, darin enthalten 4x keine Angabe Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 6

7 Wie viele Mitarbeiter beschäftigen die Institutionen der Befragten? 80 Anzahl der Institutionen n=62 n=47 n=53 n=24 n=36 n=59 n=40 n= bis 9 10 bis bis bis bis bis und mehr keine Angabe Mitarbeiter Frage 12 Basis: n = 331, darin enthalten 10x keine Angabe Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 7

8 Betroffenheit der Institutionen durch Cyber-Angriffe

9 War die Institution der Befragten in den Jahren 2015 und 2016 das Ziel von Cyber-Angriffen? 65,6% 7,9% 65,6% der Institutionen waren Ziel erfolgreicher oder erfolgloser Cyber-Angriffe 7,9% der Befragten gaben unbekannt an 26,6% konnten keine Angriffe feststellen Ja unbekannt Nein 26,6% Werte der Cyber-Sicherheits-Umfrage 2015 Ja: 58,5% Unbekannt: 11,3% Nein: 30,3% Frage 1a Basis: n = 331 Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 9

10 War die Institution der Befragten in den Jahren 2015 und 2016 das Ziel von Cyber-Angriffen? Ergebnis aufgeschlüsselt nach Anzahl der Mitarbeiter %-Anteil an der jeweiligen Gruppe 100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% 1 bis bis bis bis Mitarbeiter Ja, es wurden Angriffe festgestellt unbekannt ob Angriffe erfolgten Nein, es wurden keine Angriffe festgestellt Frage 1a Basis: n = 331 Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 10

11 Waren die in den Jahren 2015/2016 festgestellten Cyber-Angriffe erfolgreich? 7% 1% 1% 47% der Institutionen waren Opfer eines erfolgreichen Cyber-Angriffs 47% 44% 7% stellten einen Schaden (z.b. externe Veröffentlichung interner Daten) fest, dessen Ursache ein Cyber-Angriff sein könnte Insgesamt vermutlich mehr als jede 4. Institution betroffen Ja unklar unbekannt keine Angabe Nein 44% gaben an, alle Angriffe erfolgreich abgewehrt zu haben Frage 1b Basis: n = 217 Institutionen, die 2015/2016 das Ziel von Cyber-Angriffen waren (Frage 1a) Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 11

12 Waren die in den Jahren 2015/2016 festgestellten Cyber-Angriffe erfolgreich? Vergleich der Werte aus den Umfragen 2016 und 2015 Umfrage 2016 Umfrage % 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Angriffe erfolgreich unklar unbekannt Angriffe abgewehrt Frage 1b Basis: Cyber-Sicherheits-Umfrage 2016 n = 217 Institutionen, die 2015/16 das Ziel von Cyber-Angriffen waren (Frage 1a), 1x keine Angabe Cyber-Sicherheits-Umfrage 2015 n = 247 Institutionen, die 2014/15 das Ziel von Cyber-Angriffen waren Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 12

13 Welcher Art waren die 2015/2016 festgestellten Angriffe? Von 217 Befragten gaben folgende Arten von Angriffen an Hacking: Defacement von Webseiten Hacking: Sabotage von Industriellen Steuerungssystemen Hacking: Sabotage von Büro-IT / allgemeine Serversysteme Hacking: Manipulation von Webseiten zur Malware-Verteilung Hacking: Missbrauch von Systemen für weitere Angriffe Hacking: Datendiebstahl Hacking: APT - langfristige Infiltration für komplexe Angriffe Malware: Gezielte Infektion mit sonstiger Malware Malware: Ungezielte Infektion mit sonstiger Malware Malware: Infektion mit Ransomware (gezielt/ungezielt) (D)DoS-Angriffe auf andere Netzinfrastrukturen (D)DoS-Angriffe auf Internetauftritte Andere Frage 1c Basis: n = 217 Institutionen, die 2015/2016 das Ziel von Cyber-Angriffen waren (Frage 1a), Mehrfachauswahl war zulässig Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 13

14 Fand in der Institution der Befragten innerhalb der letzten sechs Monate eine Infektion durch Ransomware statt? 5% 2% 32% 61% 32% der Institutionen waren in den letzten 6 Monaten durch eine Ransomware-Infektion betroffen 2% waren bereits durch eine Ransomware- Infektion betroffen, diese könnte aber bereits mehr als 6 Monate zurückliegen 61% der Befragten verneinten die Frage 5% gaben nicht bekannt an Ja Evtl. ja Unbekannt Nein Frage 2 Basis: n = 331 Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 14

15 War die Institution der Befragten (überhaupt schon einmal) das Ziel eines erfolgreichen Cyber-Angriffs? 39% 12% 12% der Institutionen waren bereits Opfer eines Cyber-Angriffs mit relevanten Folgen 39% waren bereits durch erfolgreiche Cyber- Angriffe betroffen, diese blieben aber ohne relevante Folgen 37% 37% der Befragten verneinten die Frage 12% 12% gaben nicht bekannt an Ja - mit relevanten Folgen unbekannt Ja - ohne relevante Folgen Nein Frage 3a Basis: n = 331, 1x keine Angabe Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 15

16 Falls eine Institution schon einmal Schäden durch Cyber- Angriffe erlitten hat, welcher Art waren diese? Von 169 Befragten gaben folgende Schäden an Produktionsausfall bzw. Betriebsausfall sonstige Erhebliche Kosten für Aufklärung / Wiederherstellung Diebstahl eigener digitaler Identitäten Reputationsschaden Diebstahl eigener sensitiver Daten Diebstahl von Daten Dritter / Kunden Erhebliche Kosten durch Ansprüche Dritter Bußgelder und andere Strafzahlungen Frage 3b Basis: n = 169 Institutionen, die bereits von erfolgreichen Cyber-Angriffen betroffen waren (Frage 3a), Mehrfachauswahl war zulässig Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 16

17 Falls eine Institution schon einmal Schäden durch Cyber- Angriffe erlitten hat, wie bedeutend war der insgesamt schwerwiegendste Fall für die Institution? Von 169 Befragten gaben folgenden Grad an Stufe 5 - Existenzbedrohend Stufe 4 - Schwerwiegend Stufe 3 - Erheblich Stufe 2 - Begrenzt Stufe 1 - Unbedeutend Frage 3c Basis: n = 169 Institutionen, die bereits von erfolgreichen Cyber-Angriffen betroffen waren (Frage 3a), Mehrfachauswahl war zulässig, 47x keine Angabe Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 17

18 Einschätzung der Cyber-Sicherheitslage

19 Stellen Cyber-Angriffe eine relevante Gefährdung für die Betriebsfähigkeit der Institutionen dar? Mit Vergleichswerten aus den Umfragen 2015 und % 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% Ausreichende Ersatzmaßnahmen vorhanden Nur für 2016 Ja: 47% Ja, aber der Betrieb kann mittels Ersatzmaßnahmen ausreichend aufrecht erhalten werden: 42% Ja Nein unbekannt Frage 4a Basis: Cyber-Sicherheits-Umfrage 2016 n = 331, 1x keine Angabe Cyber-Sicherheits-Umfrage 2015 n = 423, 1x keine Angabe Cyber-Sicherheits-Umfrage 2014 n = 257 Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 19

20 Falls Cyber-Angriffe eine relevante Bedrohung für die Betriebsfähigkeit der Institution darstellen, wie hat sich die Risikobewertung in diesem Jahr verändert? 62% bewerten Cyber-Risiken als zunehmend 62% 19% 1%? 3% 19% sehen keine Veränderung 1% der Befragten erkennen ein sinkendes Risiko 3% gaben unbekannt an 15% machten keine Angabe Frage 4b Basis: n = 295 aus Frage 4a, 44x keine Angabe Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 20

21 Welchen Gruppen von Cyber-Angreifern messen die Befragten für die kommenden 2 Jahre das größte Bedrohungspotenzial bei? Von 331 Befragten gaben jeweils % an 70% 60% 50% 40% 30% 20% 10% 0% Organisierte Kriminalität Innentäter Externe Hacker (Einzeltäter) Wirschaftskriminalität (Konkurrenzausspähung) durch Täter Staatliche Angreifer Hacktivisten Frage 5 Basis: n = 331, Mehrfachauswahl war zulässig Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 21

22 Welchen Arten von Cyber-Angriffen messen die Befragten für die kommenden 2 Jahre das größte Bedrohungspotenzial bei? Von 331 Befragten gaben folgende Arten von Angriffen an Hacking: Defacement von Webseiten Hacking: Sabotage von Industriellen Steuerungssystemen Hacking: Sabotage von Büro-IT / allgemeine Serversysteme Hacking: Manipulation von Webseiten zur Malware-Verteilung Hacking: Missbrauch von Systemen für weitere Angriffe Hacking: Datendiebstahl Hacking: APT - langfristige Infiltration für komplexe Angriffe Malware: Gezielte Infektion mit sonstiger Malware Malware: Ungezielte Infektion mit sonstiger Malware Malware: Infektion mit Ransomware (gezielt/ungezielt) (D)DoS-Angriffe auf andere Netzinfrastrukturen (D)DoS-Angriffe auf Internetauftritte Andere Frage 6 Basis: n = 331, Mehrfachauswahl war zulässig Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 22

23 Maßnahmen zum Schutz vor Cyber-Angriffen

24 Ist in der Institution ein/e Gesamtverantwortliche/r für das Thema IT-Sicherheit benannt? 73% 73% verfügen über eine eindeutig benannte Person im eigenen Personalstamm 6% 6% realisieren die Funktion durch eine/n extern Beauftragte/n 4% 3% 14% 14% verfügen nicht über eine eindeutig benannte Person, verteilen die Zuständigkeit aber auf mehrere Personen Nein, kein MA Ja Ja, extern Nein, mehrere MA keine Angabe 4% ordnen das Thema keiner Person zu Frage 7 Basis: n = 331, 12x keine Angabe Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 24

25 Welche Maßnahmen werden in den Institutionen zum Schutz vor Cyber-Angriffen umgesetzt? (Seite 1 von 2) Von 331 Befragten gaben jeweils folgende Maßnahmen an Absicherung von Netzübergängen (Firewall, IDS, usw.) Zentraler AV Scan (am Mailserver, Gateway, usw.) Dezentraler AV Scan (auf einzelnen Clients, Servern) Regelmäßige Sensibilisierungsmaßnahmen für alle MA Netzsegmentierung Strukturiertes oder zentralisiertes Patchmanagement Verschlüsselung von Datenträgern Verschlüsselung von Kommunikation Regelmäßige Prüfung von Logdaten auf Cyber-Angriffe Minimierung von Netzübergängen Frage 8 Basis: n = 331, Mehrfachauswahl möglich Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 25

26 Welche Maßnahmen werden in den Institutionen zum Schutz vor Cyber-Angriffen umgesetzt? (Seite 2 von 2) Von 331 Befragten gaben jeweils folgende Maßnahmen an Verbindliche Regelungen zur Nutzung sozialer Netzwerke Betrieb eines strukturierten ISMS Zwei-Faktor Authentisierung für Login / Betrieb eines SIEM Einsatz von Chat-/Messenger Produkten mit Verschlüsselung von Kommunikation per Telefon Sonstige Maßnahmen Frage 8 Basis: n = 331, Mehrfachauswahl möglich Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 26

27 Sind die in der jeweiligen Institution getroffenen Maßnahmen zum Schutz gegen Cyber-Angriffe ausreichend? Mit Vergleichswerten aus den Umfragen 2015 und % 60% 50% 40% 30% 20% 10% 0% Ja, mittelfristig kein Bedarf zu Verbesserung Ja, Maßnahmen sollen reduziert werden Nein, kurzfristig dringend Verbesserung erforderlich Nein, mittelfristig keine Verbesserung möglich Nein, mittelfristig Verbesserung geplant unbekannt Frage 9 Basis: Cyber-Sicherheits-Umfrage 2016: n = 331, 13x keine Angabe Cyber-Sicherheits-Umfrage 2015: n = 423, 1x keine Angabe Cyber-Sicherheits-Umfrage 2014: n = 256, 1x keine Angabe Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 27

28 Allianz für Cyber-Sicherheit

29 War den Befragten die Allianz für Cyber-Sicherheit (ACS) bereits vor der Umfrage bekannt? 45,4% sind bereits Teilnehmer der ACS 30% 29% der Befragten war die ACS bereits ein Begriff, sind aber keine Teilnehmer 25% kannten die ACS nicht 45% 25% Ja, bereits Teilnehmer Ja Nein Frage 10 Basis: n = 331, 1x keine Angabe Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 29

30 Vielen Dank für Ihr Interesse Kontakt Geschäftsstelle der Allianz für Cyber-Sicherheit c/o Bundesamt für Sicherheit in der Informationstechnik (BSI) Godesberger Allee Bonn Tel. +49 (0) Fax +49 (0) Bundesamt für Sicherheit in der Informationstechnik Ergebnisse der Cyber-Sicherheits-Umfrage Seite 30