Der deutsche Mittelstand steht stärker denn je im Fadenkreuz von Cyberkriminellen. Doch während die Bedrohungslage durch KI-gestützte Angriffe und komplexe Attacken auf Lieferketten rasant zunimmt, wiegen sich viele Verantwortliche in falscher Sicherheit. So zeigt sich eine deutliche Diskrepanz zwischen der Selbsteinschätzung der eigenen Fähigkeiten in die Cyber-Abwehr und dem durch Benchmarks tatsächlich bestätigtem Schutzniveau. Zwar steigt das Bewusstsein für die Risiken und einige Vorreiter haben robuste Abwehrmechanismen aufgebaut. Doch in vielen mittelständischen Unternehmen reichen die investierten Budgets nicht aus, um ein professionelles Monitoring und eingespielte Notfallprozesse zu etablieren – obwohl die Schadensintensität erfolgreicher Angriffe deutlich zunimmt. Das zeigt die PwC-Studie „Trügerische Sicherheit: Der Mittelstand überschätzt seine Cyber-Resilienz“, für die 400 Führungskräfte aus mittelständischen Unternehmen befragt wurden.
Wie steht es um das Schutzniveau des eigenen Unternehmens? Die befragten Führungskräfte aus mittelständischen Unternehmen bewerten ihren Reifegrad in den meisten Bereichen als formalisiert/standardisiert oder optimiert (den zwei höchsten Stufen in einem fünfstufigen Schema). Konkrete Analysen aus PwC-Reifegrad-Assessments und Incident-Response-Mandaten im Mittelstand zeichnen aber ein anderes Bild. Die Ergebnisse aus den Benchmarks liegen in allen Bereichen ein bis zwei Reifegradstufen niedriger als die Selbsteinschätzung. Die größten Defizite bestehen in den Bereichen Policies, Governance und systematischem Risikomanagement.
„Wir sehen ein ambivalentes Bild im deutschen Mittelstand, wenn es um die Gefahr von Cyber-Angriffen geht: Das Bewusstsein für IT-Sicherheit ist gestiegen. Gleichzeitig sind die getroffenen Maßnahmen angesichts der komplexen Bedrohungslage oft nicht angemessen, um Unternehmen nachhaltig zu schützen.“
Uwe Rittmann,Partner (Familienunternehmen und Mittelstand bei PwC Deutschland)
Investitionen legen zwar zu, sind aber auf einem zu niedrigen Ausgangsniveau
Fast die Hälfte der Unternehmen plant, ihre Investitionen in Informationssicherheit im Vergleich zum Vorjahr zu erhöhen. Da das Ausgangsniveau jedoch in Teilen sehr niedrig ist, stehen die Budgets in vielen mittelständischen Betrieben in keinem Verhältnis zur Komplexität der IT-Landschaft und den regulatorischen Anforderungen. Besonders deutlich fällt dies bei Unternehmen mit 500 und mehr Mitarbeitenden auf. Einige von ihnen investieren Millionenbeträge in ihre IT-Sicherheit. Andere hingegen weniger als 50.000 Euro, womit sich weder ein kontinuierliches Monitoring noch belastbare Notfallprozesse aufbauen lassen.
Lücken in der Verteidigung: veraltete Notfallpläne und fehlendes technisches Monitoring
Die teils unzureichenden Investitionen spiegeln sich in Lücken der Abwehrfähigkeiten wider. So verfügen zwar etwa zwei Drittel der befragten Unternehmen über einen Notfall- und Incident-Response-Plan, aber nur etwa die Hälfte hat diesen auch innerhalb von zwölf Monaten in der Praxis erprobt. Im Bereich der Lieferkette haben sich viele Unternehmen zwar vertraglich mit ihren Partnern abgesichert. Es mangelt aber an technologiegestützten, datengetriebenen Ansätzen, um Bedrohungen schnell zu identifizieren. Auch eine KI-gestützte Abwehr ist meist noch in einer frühen Aufbauphase.
