Cyberkriminalität ist in Deutschland, internationale erst recht bereits ein Markt mit Milliardenschäden. Sind die Verantwortlichen in den Unternehmen mittlerweile angesichts der Bedrohungen aufgewacht?   
Im Moment sickert das Thema immer noch sehr langsam durch. Gerade in kleineren Unternehmen ist es noch nicht angekommen. Die Zahlen bilden daher generell nur die Spitze des Eisbergs ab. Schätzungsweise werden immer noch 90 Prozent der Angriffe nicht gemeldet. Daher rechnen wir beim Bitkom mit weiter steigenden Zahlen im Bereich Cyberkriminalität. Wir reden von rund 150 Mia. Jahresumsatz 2023 allein in Deutschland, expotenziell steigend. Dieses illegale „Geschäft“ ist derzeit zu lukrativ und in vielen Bereichen auch zu einfach umzusetzen

Wie kann der Bitkom im Rahmen seiner Möglichkeiten entgegenwirken?
Wir versuchen, mit viel Kommunikation entgegenzuwirken, bieten Seminare und Workshops mit der Polizei an, um Transparenz in die Unternehmen zu bringen, die Mitarbeiter zu schulen und zu sensibilisieren. Wir haben bereits sogar ein Livehacking angeboten, um drastisch vorzuführen, wie einfach es die Kriminellen oft haben. Zudem arbeiten wir mit dem Bundeskriminalamt, Landeskriminalamt und anderen Behörden zusammen und schließen weitere Allianzen.

Können sich die für Datensicherheit zuständigen Mitarbeiter in den Unternehmen nicht richtig durchsetzen, oder woran liegt es, dass das Thema nicht so ernst genommen wird?
Zunächst einmal gehört das Thema IT-Sicherheit auf den Chefschreibtisch. Und selbst dort fehlt es oft noch an der Vorstellungskraft, was rein technisch möglich ist. Da sind noch Mythen vom Cyberkriminellen im Hoodie präsent, der im Keller sitzt, rumhackt und Spaß daran hat, Unternehmen zu ärgern. In den Unternehmen, so mein Eindruck, wird das Thema eher an die Technik-Nerds abgeschoben. Das muss sich ändern.  

Dann legen Sie doch jetzt den Finger in die Wunde.
In der Realität ist der Cyberkriminelle mit einem Geschäftsmann vergleichbar, der sich in seiner Welt professionell aufgestellt hat, dabei von IT selbst nicht so viel verstehen muss und sich als Koordinator alle erforderlichen Tools im Dark Net zusammenkauft. Er kann andere mit einem groß angelegten Angriff beauftragen, Menschen, die er selbst nicht kennt. So stehen ihm ohne Abwehrmaßnahmen alles offen – bis zum Thema Geldwäsche. Ich spreche hier gerne von Cybercrime as a Service. Die kriminellen Aktionen können sehr klein anfangen. Mit ein paar Euro kann man Kreditkartendaten inklusive Freigabenummer kaufen und damit auf Kosten der Konteninhaber shoppen gehen.

Auf den Punkt gebracht: Jedes Unternehmen, jeder Mensch kann betroffen sein.
Es ist tatsächlich mittlerweile nur eine Frage der Zeit, bis man selbst betroffen ist. Und die Einfallstore sind sehr versteckt: Zum Beispiel auf LinkedIn ganz praxisnah über eine Bewerbung mit einem entsprechend bearbeitetem Lebenslauf etc. Vor allem KMUs unterschätzen die Gefahr, weil das Management davon ausgeht, für die Cyberkriminellen nicht attraktiv genug zu sein. Dazu muss man wissen: Es werden oft nicht einzelne Unternehmen angegriffen, vielmehr ist es eine Art digitales Fischernetz, das ausgeworfen wird. Und wer hängenbleibt und nicht für Sicherheit gesorgt hat, hat Pech. Da sind beispielsweise auch Zahnarztpraxen und Malergeschäfte dabei, denn auch diese KMUs sind Teil eines großen Ökosystems und dienen als Einfallstore für größere Unternehmen, die sich ggf. bereits besser schützen und das Risiko für einen direkten Angriff senken.

Cybercrimeschutz kostet Geld. Ist das Ganze einfach zu teuer?
Wir empfehlen, das Ganze nicht als Kosten, sondern als Investition zu betrachten. 15 bis 20 Prozent des IT-Budgets sollten für die Sicherheit ausgegeben werden. In Anbetracht der Konsequenzen, die bis zur Insolvenz führen können, ist das noch überschaubar. Ein möglicher Vertrauensverlust der Abonnenten bzw. Kunden ist natürlich auch schon schlimm genug, aber eben nur die Vorstufe der Schadenskala.

Brauchen Unternehmen künftig eigene Sicherheits-Manager bzw. eine Cyperabwehrabteilung?
Viele werden sich das nicht leisten können. Daher kann man das Thema auch gut an Sicherheitspartner und Rechenzentren auflagern. In den kommenden Jahren wird auf beiden Seiten, der kriminellen und der Unternehmen weiter digitalisiert. Das verändert auch noch einmal vieles.

Wo sitzt die Bedrohung – mal rein örtlich gedacht?
Nebenan und auf der ganzen Welt. Rund 61 Prozent des Cybercrime wird dem organisierten Verbrechen zugeordnet. Da die Verbrecher international aufgestellt und gut organisiert sind, ist es sehr schwer, diese zu ermitteln. Sie können überall herkommen. Mit großem Aufwand kann die Forensik zwar erkennen, woher der Angriff kommt, aber dann ist es meist zu spät. Diesem Ermittlungsergebnis erfordert zum Teil jahrlange Arbeit und die Zusammenarbeit vieler Behörden im In- und Ausland. Sitzt der Cyberkriminelle in Nordkorea oder Russland, wo es keine Zusammenarbeit mit den Behörden gibt, wird es noch schwieriger.

Daraus ergeben sich für die Gefahrenabwehr wiederum attraktive Geschäftsmodelle, oder?
Absolut richtig. Es gibt mittlerweile Anbieter, die u. a. in den USA im Auftrag angegriffener Banken und anderer Unternehmen einen Gegenschlag ausführen – mit dem Ziel, erbeutete Daten zurückzuholen oder soviel Rechenzentrumkapazität der Cyberkriminellen wie möglich zu zerstören. So müssen die Kriminellen abwägen, ob sich ein Angriff auf ein Unternehmen, das für Gegenschläge bekannt ist, wirtschaftlich lohnt.

Es ist also eine Art Wettrüsten mit Abschreckungsszenarien. In Deutschland könnten sich Manager auch mit Gegenschlag-Prävention schützen?
Zumindest noch nicht. Von Deutschland aus darf man nicht agieren.

Wie sehen – ganz praktisch – die ersten Schritte für Unternehmen aus, die noch nicht ausreichend geschützt sind?
Auf unserer Website www.bitkom.de haben wir die Maßnahmen übersichtlich zusammengestellt. In jedem Bundesland gibt es zudem eine zentrale Stelle, die sich CAC nennt. Dort wird gerne kostenfrei beraten und informiert. Das alles kann eine Basis für weitere Schritte sein.