KMU und IT-Security

Es ist weder wirtschaftlich noch technisch sinnvoll, alle Gefährdungen gleichermaßen zu bewerten und zu versuchen, alle Risiken auszuschalten. Deshalb sollten KMU zunächst ein persönliches Risikoprofil erstellen, um die wirklich wichtigen Verteidigungslinien zu identifizieren.

• Welche Prozesse sind unternehmenskritisch? 
• Wie abhängig sind diese Prozesse von der IT?
•  Wo sind die größten Sicherheitslücken und Gefahren?
• Welche wirtschaftlichen Folgen hat ein erfolgreicher Angriff?
• Welche Maßnahmen können ergriffen werden, um die größte Wirkung zu erzielen?

Das sind die wichtigsten Fragen, die sich Unternehmen in diesem Prozess stellen sollten. Tools wie das Secureworks Risk Assessment Quiz oder die Quicktests des VdS-Prüfinstituts bieten eine erste Orientierung.

Ein Beispiel kann das Vorgehen verdeutlichen: Wenn ein Handwerksbetrieb seine Website nur als Internet-Visitenkarte nutzt und fast alle Bestellungen telefonisch oder persönlich abwickelt, ist der Verlust eines fehlerhaften Internetauftritts minimal. Wenn ein Händler jedoch mehr als 50 % seines Umsatzes über einen Online-Shop generiert, kann bereits ein kleiner Fehler das Ergebnis erheblich negativ beeinflussen. Die Webpräsenz ist hier viel größer als im ersten Fall.

Der bereits erwähnte „DsiN-Praxisbericht 2020 Mittelstand@IT-Sicherheit“ zeigt, wie das Risiko je nach Größe und Branche variiert. Mehr als 30 Prozent der befragten kleinen Unternehmen mit weniger als 10 Mitarbeitern gaben an, dass ihr Geschäft direkt von der IT-Sicherheit abhängt, verglichen mit nur 14 Prozent der Unternehmen mit mehr als 50 Mitarbeitern. Bei den Auswirkungen von Sicherheitsvorfällen zeigen sich erhebliche Branchenunterschiede. Während zwei Drittel der Befragten im Dienstleistungssektor keinen ernsthaften Schaden erlitten haben, mussten 63 % der Industrie und sogar 89 % des Einzelhandels mit den Folgen eines Cyberangriffs fertig werden.

Praxisberichte zeigen leider auch, dass noch zu viele KMU den Wert der Risikoidentifikation und -bewertung unterschätzen. Mehr als ein Drittel der Befragten lehnen ein Screening auf Risikofaktoren überhaupt ab, 30 Prozent führen eine einmalige Untersuchung durch und mehr als 18 Prozent ermitteln ihr Risiko jedes Jahr. Angesichts der kontinuierlichen Bedrohungsänderung  ist eine kontinuierliche Bewertung der Risikobewertung empfehlenswert.

Kleinen und mittelständischen Unternehmen fehlt es oft an Budget und Expertise, um sich gegen immer ausgefeiltere Cyberattacken zu wehren. Trotz begrenzter Ressourcen gibt es jedoch einige einfache Schritte, mit denen KMU ihre IT-Sicherheit verbessern können.