EY-Analyse Datendiebstahl in österreichischen Unternehmen

Transkript

1 EY-Analyse Datendiebstahl in österreichischen Unternehmen Ergebnisse einer Befragung von 100 österreichischen Unternehmen September 2017

2 Design der Studie Ergebnisse einer repräsentativen telefonischen Befragung von 100 Führungskräften österreichischer Unternehmen (Geschäftsführer, Leiter Konzernsicherheit oder Leiter IT-Sicherheit). Die Befragung wurde von einem unabhängigen Marktforschungsinstitut (Valid Research, Bielefeld) im Juli 2017 durchgeführt. Umsatzverteilung der befragten Unternehmen: EY Österreich Wagramer Straße 19, IZD Tower 1220 Wien Drazen Lukac Associate Partner IT Advisory Zwischen 250 Mio. und 1 Mrd. Über 1 Mrd. Zwischen 50 und 250 Mio. 32% 7% 5% 57% Unter 50 Mio. Gottfried Tonweber Leiter Cyber Services Gottfried.Tonweber@at.ey.com Benjamin Weissmann Leiter Cyber-Forensik Benjamin.Weissmann@at.ey.com Seite 2

3 Einschätzung: Wie hoch ist die Gefährdung? Wie wird sie sich in Zukunft entwickeln?

4 Gut jedes zweite Unternehmen schätzt Risiko eines Cyberangriffs als hoch ein Wie hoch schätzen Sie das Risiko für Ihr Unternehmen ein, Opfer von Cyberangriffen/Datenklau zu werden? Anteil Hoch Sehr hoch Eher hoch Branche Industrie 72 Dienstleistungen 43 Handel & Konsumgüter 33 Sonstige Niedrig Umsatzklasse < 50 Mio bis Mio. 59 > Mio. 25 Gut jedes zweite österreichische Unternehmen (53 Prozent) bewertet das Risiko, selbst Opfer von Cyberangriffen bzw. Datendiebstahl zu werden, als insgesamt hoch, rund jedes siebte Unternehmen schätzt das Risiko sogar als sehr hoch ein. Besonders hoch ist das Risikobewusstsein in der Industrie: Hier sehen gut sieben von zehn Unternehmen ein insgesamt hohes Risiko. Angaben in Prozent Seite 4

5 Und: Unternehmen rechnen mit Verschärfung des Problems Was meinen Sie, wie wird sich die Bedeutung des Problems Cyberangriff/Datendiebstahl für Ihr Unternehmen künftig entwickeln? Anteil Steigen 1 Stark steigen Branche Industrie 100 Dienstleistungen Etwas steigen Zurückgehen Handel & Konsumgüter 95 Sonstige 100 Umsatzklasse < 50 Mio bis Mio. 100 > Mio. 100 Fast alle befragten österreichischen Unternehmen gehen davon aus, dass die Relevanz des Problems Cyberangriff bzw. Datendiebstahl für das eigene Unternehmen in Zukunft steigen wird mehr als jedes zweite Unternehmen rechnet sogar mit einem starken Bedeutungszuwachs des Problems. Angaben in Prozent Seite 5

6 Spionagegefahr aus dem In- und Ausland

7 Besonders gefürchtet: organisiertes Verbrechen, Hacktivisten und ausländische Geheimdienste Wie bewerten Sie das Risiko, von folgenden Tätergruppen geschädigt zu werden? (Nennungen Großes Risiko und Sehr großes Risiko ) Organisiertes Verbrechen (z. B. Manipulation von Transaktionen) Hacktivisten (z.b. Anonymous) Ausländischer Geheimdienst/Staatliche ausländische Stelle Konkurrierendes ausländisches Unternehmen Eigene Mitarbeiter Konkurrierendes inländisches Unternehmen Ehemalige Mitarbeiter Sonstige Geschäftspartner 8 Ausländische Kunden oder Lieferanten Inländische Kunden oder Lieferanten 5 6 Unternehmen in Österreich befürchten vor allem, Spionageopfer von organisiertem Verbrechen, Hacktivisten oder ausländischer Geheimdienste/staatlicher ausländischer Stellen zu werden. Nur noch jedes sechste Unternehmen sieht hingegen ein Risiko durch konkurrierende ausländische Unternehmen oder eigene Mitarbeiter. Angaben in Prozent; Mehrfachnennungen möglich Seite 7

8 Attacken werden vor allem aus China und Russland erwartet Gibt es Regionen, von denen aus Ihrer Sicht ein besonders hohes Gefährdungspotenzial hinsichtlich Industriespionage und Datendiebstahl ausgeht? Wenn Ja : Um welche Länder/Regionen handelt es sich dabei? China Russland Ja Nein Asien (ohne China) Osteuropa (ohne Russland) USA Alle wirtschaftsstarken Länder 14 Süd-Korea 8 Mehr als jedes dritte befragte Unternehmen (38 Prozent) geht davon aus, dass es Länder/Regionen gibt, von denen ein besonders hohes Gefährdungspotenzial ausgeht. Als Länder/Regionen mit besonders hohem Gefährdungspotenzial werden vor allem China und Russland sowie Asien und Osteuropa eingeschätzt. Angaben in Prozent; Mehrfachnennungen möglich Seite 8

9 Konkrete Erfahrungen: Wer wurde Opfer? Wer sind die Täter?

10 Fast die Hälfte der Unternehmen wurde in den vergangenen fünf Jahren angegriffen Gab es in ihrem Unternehmen bereits konkrete Hinweise auf Cyberangriffe bzw. einen Datendiebstahl innerhalb der vergangenen fünf Jahre? Anteil Ja Branche 30 Ja, mehrfach Industrie 69 Handel & Konsumgüter Ja, einmal Nein Dienstleistungen 26 Sonstige 30 Umsatzklasse < 50 Mio bis Mio. 47 > Mio Prozent der Unternehmen haben in den vergangenen fünf Jahren konkrete Hinweise auf Spionageattacken gefunden, 30 Prozent sogar mehrfach. Besonders hoch ist der Anteil der entdeckten Attacken bei Industrieunternehmen (60 Prozent). Achtung: Die Dunkelziffer dürfte bei Datendiebstahl sehr hoch sein. Angaben in Prozent Seite 10

11 Drei von fünf Attacken auf österreichische Unternehmen sind Hackerangriffe Welche konkreten Handlungen fanden statt? Hackerangriff auf die EDV-Systeme 61 Belauschen/Abfangen von Faxen, Telefonaten, s 20 Vorsätzliches Stören/Lahmlegen der IT-Systeme Manipulation von Finanzdaten Patentrechtsverletzungen Social Engineering bzw.'fake President Fraud' 5 5 Datendiebstahl durch eigene Mitarbeiter Diebstahl von Kunden- oder Arbeitnehmerdaten Diebstahl von geschäftskritischem Know-how Die mit Abstand meisten Cyberangriffe sind Hackerangriffe auf die EDV-Systeme. Nur jeder fünfte Angriff zielt auf das Belauschen oder Abfangen von Faxen, Telefonaten oder s und nur jeder siebte auf das vorsätzliche Lahmlegen von IT-Systemen. Angaben in Prozent; Basis: Unternehmen, die bereits geschädigt wurden; Mehrfachnennungen möglich Seite 11

12 Jedes sechste Unternehmen wurde bereits Opfer von Erpressungsversuchen Gab es jemals Erpressungsversuche gegenüber Ihrem Unternehmen im Zusammenhang mit Angriffen? Wenn Ja : Haben Sie gezahlt? 17 Ja Keine Angabe Nein Es gab keine Angriffe Nein Ja Prozent der befragten Unternehmen wurden im Zusammenhang mit Cyberangriffen bzw. Datendiebstahl Opfer von Erpressungsversuchen. Die Mehrheit der betroffenen Unternehmen möchte allerdings keine Angaben zu möglichen Zahlungen in diesem Zusammenhang machen. Angaben in Prozent Seite 12

13 Tatorte: Personalbereich und Vertrieb Welcher Bereich war vom Datendiebstahl betroffen bzw. wo ergab sich dieser Verdacht? Personal Vertrieb Finanzwesen, Rechnungslegung, Kreditabteilung Fertigung Management/Geschäftsleitung Keine Angabe Forschung & Entwicklung in allen Bereichen allgemein M&A IT-Bereich Die mit Abstand meisten Attacken gab es in den vergangenen fünf Jahren im Bereich Personal: Gut zwei von fünf betroffenen Unternehmen berichten von Angriffen auf diese Abteilung. Auch der Bereich Vertrieb ist eine besonders heikle Stelle in den Unternehmen. Angaben in Prozent; Basis: Unternehmen, die bereits geschädigt wurden; Mehrfachnennungen möglich Seite 13

14 Durchschnittliche Höhe des Schadens meist bis zu Euro Wie hoch war ungefähr der durchschnittliche Schaden pro Datendiebstahl? 23 Bis zu bis bis Die Schadenhöhe konnte nicht festgestellt werden Ich möchte keine Angabe zur Schadenshöhe machen Gut jedes zweite geschädigte Unternehmen (51 Prozent) beziffert den durchschnittlichen Schaden pro Datendiebstahl auf bis zu Euro. Sechs Prozent der betroffenen Unternehmen benennen einen Schaden in der Größenordnung von bis Euro. Knapp ein Viertel macht keine Angaben. Angaben in Prozent; Basis: Unternehmen, die bereits geschädigt wurden Seite 14

15 Spione bleiben oft unbekannt jeder dritte entdeckte Angriff geht auf Hacktivisten zurück Von welchem Täterkreis ging die Gefährdung aus? Unbekannt 45 Hacktivisten (z.b. Anonymous) 34 Organisiertes Verbrechen 23 Sonstige Geschäftspartner 2 Ausländischer Geheimdienst/ Staatliche ausländische Stelle 2 Fast jeder zweite Spionagefall bleibt unaufgeklärt: In 45 Prozent der Fälle blieb der Täterkreis unbekannt. Jede dritte entdeckte Spionageattacke geht von Hacktivisten aus, immerhin fast jeder vierte Angriff (23 Prozent) auf organisiertes Verbrechen. Angaben in Prozent; Basis: Unternehmen, die bereits geschädigt wurden; Mehrfachnennungen möglich Seite 15

16 Rund drei von vier Angriffen kommen durch das interne Kontrollsystem ans Licht Wie wurden die kriminellen Handlungen aufgedeckt? Internes Kontrollsystem 73 Hinweise Unternehmensinterner 23 Interne Routineprüfungen 20 Zufall 7 Sonderprüfung durch Dritte 2 Jahresabschlussprüfung 2 In fast drei von vier Fällen (73 Prozent) half ein internes Kontrollsystem des Unternehmens bei der Aufdeckung der Spionageangriffe. In fast jedem vierten Fall (23 Prozent) ist die Aufdeckung auf Hinweise Unternehmensinterner zurückzuführen gewesen, in jedem fünften Fall auf interne Routineprüfungen. Angaben in Prozent; Basis: Unternehmen, die bereits geschädigt wurden; Mehrfachnennungen möglich Seite 16

17 IT-Abteilung soll sich um entdeckte Angriffe kümmern Wer wurde mit der Aufklärung beauftragt? IT-Abteilung 91 Externer Dienstleister 7 Keine Angabe 2 Wird eine Cyberattacke bekannt, dann ist in gut neun von zehn Fällen die IT-Abteilung die erste Anlaufstelle (91 Prozent). Nur rund jedes 14. Unternehmen wendet sich an externe Dienstleister. Angaben in Prozent; Basis: Unternehmen, die bereits geschädigt wurden Seite 17

18 Finanzielle Vorteile als wichtigstes Spionagemotiv Was war die Motivation des Angriffs? Finanzieller Vorteil 77 Störung des Geschäftsbetriebs 11 Unwissenheit 11 Wettbewerbsvorteil 5 Keine Angabe 5 Gut drei von vier Angriffen (77 Prozent) zielten auf die Schaffung eines finanziellen Vorteils ab. Hinter jedem neunten Fall steckt der Wunsch, den Geschäftsbetrieb zu stören. Genauso viele Angriffe geschahen aus Unwissenheit. Angaben in Prozent; Basis: Unternehmen, die bereits geschädigt wurden; Mehrfachnennungen möglich Seite 18

19 Aufdeckung und Prävention: Schützen sich die Unternehmen ausreichend?

20 Acht von zehn Unternehmen fühlen sich vor Spionage sicher Sind aus Ihrer Sicht die präventiven Vorkehrungen im Unternehmen ausreichend, um sich wirkungsvoll gegen Informationsabfluss zu schützen? Nein 21 Wer kümmert sich im Unternehmen um die zentralen Belange des Schutzes wichtiger Unternehmens-Assets? IT-Abteilung 85 Ja Externer Dienstleister Kombiniert Chefsache Konzernsicherheit 7 10 Die große Mehrheit der befragten österreichischen Unternehmen (79 Prozent) fühlt sich vor Spionageakten sicher nur rund jedes fünfte Unternehmen (21 Prozent) hat nach eigener Aussage keine ausreichenden Vorkehrungen getroffen. In den meisten Unternehmen kümmert sich die IT-Abteilung um die Sicherheitsvorkehrungen. Seite 20

21 Jedem zweiten Unternehmen stehen nur wenige Ressourcen zur Verfügung Wie viele Ressourcen (Personal, Mittel, Technologie, Budget) stehen Ihnen generell im Bereich Cybersecurity zur Verfügung? Anteil Viel und Eher viel Branche Viel Dienstleistungen 57 Handel & Konsumgüter 52 Eher viel Industrie 44 Sonstige Eher wenig Wenig Umsatzklasse < 50 Mio Mio. bis Mio. 53 > Mio. 75 Jedes zweite Unternehmen gibt an, eher wenige oder wenige Ressourcen im Bereich Cybersecurity zur Verfügung zu haben. Die andere Hälfte der Unternehmen sieht sich in diesem Bereich mit eher vielen oder sogar vielen Ressourcen ausgestattet. Bei Großunternehmen geben dies sogar 75 Prozent der Befragten an. Seite 21

22 Immerhin jedes zweite Unternehmen lässt sich regelmäßig auf Schwachstellen testen Lassen sie sich regelmäßig (extern und/oder intern) auf Schwachstellen im Hinblick auf Cyberangriffe/Datendiebstahl testen? Anteil Regelmäßig 17 Regelmäßig Branche Dienstleistungen 52 Industrie Manchmal Handel & Konsumgüter 48 Sonstige 45 Selten Umsatzklasse 22 Nie < 50 Mio bis Mio. 41 > Mio. 50 Fast jedes zweite österreichische Unternehmen (49 Prozent) gibt an, sich regelmäßig auf Schwachstellen im Hinblick auf Cyberangriffe testen zu lassen. Immerhin fast drei von zehn Unternehmen (29 Prozent) lassen sich nach eigenen Angaben hingegen selten oder nie testen. Seite 22

23 Firewall, Passwörter und Antivirenschutz sind Standard Welche Sicherheitsvorkehrungen haben Sie im IT-Bereich getroffen, um sich gegen Spionage/Informationsabfluss zu schützen? Firewall Passwortschutz auf allen Geräten Antivirensoftware Hohe Standards bei der IT-Sicherheit Kontinuierliches Monitoring von Buchhaltungsdaten Intrusion Prevention/Detection System Penetration Tests Zertifizierung nach BSI-Standard Kein Internetzugang für die Mehrheit der Mitarbeiter USB-Ports sperren, keine Brenner oder ähnliches an PCs oder Laptops anschließen SIEM (Security Information and Event Management) Security Operation Center (SOC) eingerichtet Jeweils mehr als neun von zehn der befragen österreichischen Unternehmen setzen zur Vorbeugung von Spionageakten auf Firewalls, Passwörter und Antivirensoftware. Umfassendere Schutzvorkehrungen wie das Intrusion-Prevention-System werden hingegen nur von einer Minderheit der Unternehmen benutzt. Angaben in Prozent; Mehrfachnennungen möglich Seite 23

24 Drei von vier Unternehmen lassen besonders sensible Bereiche überwachen Welche Sicherheitsvorkehrungen haben Sie im Bereich Objektsicherheit getroffen? Überwachung besonders sensibler Bereiche 75 Besonders gesicherter Serverbereich 71 Zugangskontrollen zum Firmenareal (technisch oder personell) 68 Regelmäßige Untersuchung auf Wanzen durch Spezialisten 14 Auch ein besonders gesicherter Serverbereich ist inzwischen bei einer deutlichen Mehrheit der Unternehmen (71 Prozent) zu finden. Zugangskontrollen zum Firmenareal werden bei gut zwei von drei Betrieben durchgeführt. Regelmäßige Untersuchungen auf Wanzen sind bei jedem siebten Unternehmen gängige Praxis. Angaben in Prozent; Mehrfachnennungen möglich Seite 24

25 Geheimhaltungsverpflichtungen in Arbeitsverträgen an der Tagesordnung Welche Sicherheitsvorkehrungen haben Sie im Bereich Personal getroffen? Geheimhaltungsverpflichtungen in Arbeitsverträgen Sensibilisierung der Mitarbeiter für die Gefahren von Spionage Personalfördernde Maßnahmen zur Steigerung der Verbundenheit Background-Checks vor der Besetzung sensibler Positionen Moderne Personaldiagnostiken bei Neueinstellungen 18 Integritätstest für neue Bewerber 15 Whistle-Blowing-System für Hinweise auf verdächtiges Verhalten 10 Pre-Employment-Screening 7 Um sich vor Datendiebstahl durch Mitarbeiter zu schützen, setzen die meisten Unternehmen auf Geheimhaltungsvereinbarungen und eine Sensibilisierung ihrer Mitarbeiter für die Gefahren der Spionage. Mehr als jedes zweite Unternehmen führt personalfördernde Maßnahmen zur Steigerung der Verbundenheit durch. Whistle-Blowing-Systeme hingegen sind nur bei den wenigsten Unternehmen zu finden. Angaben in Prozent; Mehrfachnennungen möglich Seite 25

26 Abhörsichere Kommunikation nur in jedem vierten Unternehmen Welche prozesstechnischen Vorkehrungen haben Sie getroffen, um sich vor Industriespionage zu schützen? Klare Regeln für den Umgang mit schützenswerten Informationen Geheimhaltungsverpflichtungen für Geschäftspartner Sorgfältige Auswahl der Geschäftspartner Bestellung eines Sicherheitsverantwortlichen Eindeutige Klassifizierung/ Kennzeichnung von Betriebsgeheimnissen Regelmäßige Prüfung der Prozessabläufe durch externe Spezialisten Informationsschutzkonzept Abhörsichere Kommunikation (Telefon, , Fax) 'Einen vollständigen Schutz gegen Industriespionage gibt es nicht' Clean-Desk-Policy Security Incident Management Prozess Die meisten österreichischen Unternehmen geben klare Regeln für den Umgang mit sensiblen Informationen vor und verpflichtet ihre Geschäftspartner zur Geheimhaltung. Eine abhörsichere Kommunikation ist allerdings nur in rund jedem vierten Unternehmen anzutreffen. Angaben in Prozent; Mehrfachnennungen möglich Seite 26

27 Nur jedes fünfte Unternehmen ist gegen Cyber-Risiken versichert Hat Ihr Unternehmen eine Versicherung gegen Cyber-Risiken (= Hackerangriffe etc.) abgeschlossen? Anteil Ja Branche Ja Handel & Konsumgüter 33 Dienstleistungen 22 Industrie 11 Nein Sonstige 20 Umsatzklasse Keine Angabe < 50 Mio bis Mio. 15 > Mio. 75 Nur jedes fünfte befragte österreichische Unternehmen gibt an, eine Versicherung gegen Cyber-Risiken abgeschlossen zu haben. Die Mehrheit der Unternehmen (58 Prozent) verfügt über keinen derartigen Versicherungsschutz. Besonders hoch ist der Anteil der Unternehmen mit Versicherungsschutz bei Großunternehmen. Seite 27

28 EY Assurance Tax Transactions Advisory Die globale EY-Organisation im Überblick EY ist einer der globalen Marktführer in der Wirtschaftsprüfung, Steuerberatung, Transaktionsberatung und Managementberatung. Mit unserer Erfahrung, unserem Wissen und unseren Leistungen stärken wir weltweit das Vertrauen in die Wirtschaft und die Finanzmärkte. Dafür sind wir bestens gerüstet: mit hervorragend ausgebildeten Mitarbeiterinnen und Mitarbeitern, dynamischen Teams, einer ausgeprägten Kundenorientierung und individuell zugeschnittenen Dienstleistungen. Unser Ziel ist es, die Funktionsweise wirtschaftlich relevanter Prozesse in unserer Welt zu verbessern für unsere Mitarbeiterinnen und Mitarbeiter, unsere Kunden sowie die Gesellschaft, in der wir leben. Dafür steht unser weltweiter Anspruch Building a better working world. Die globale EY-Organisation besteht aus den Mitgliedsunternehmen von Ernst & Young Global Limited (EYG). Jedes EYG-Mitgliedsunternehmen ist rechtlich selbstständig und unabhängig und haftet nicht für das Handeln und Unterlassen der jeweils anderen Mitgliedsunternehmen. Ernst & Young Global Limited ist eine Gesellschaft mit beschränkter Haftung nach englischem Recht und erbringt keine Leistungen für Mandanten. Weitere Informationen finden Sie unter In Österreich ist EY an 4 Standorten präsent. EY und wir beziehen sich in dieser Präsentation auf alle österreichischen Mitgliedsunternehmen von Ernst & Young Global Limited Ernst & Young Corporate Finance GmbH All Rights Reserved.