Unternehmen investieren immer weniger IT-Budget in Sicherheit und bezahlen eher Lösegeldforderungen bei Ransomware-Attacken (FOTO)

Ismaning (ots) -

Nicht einmal jedes zweite deutsche und österreichische Unternehmen
stuft seine eigenen kritischen Daten als "vollständig sicher" ein. So
lautet ein beunruhigendes Ergebnis des aktuellen Risk:Value-Reports
von NTT Security. Die Investitionen in die IT-Sicherheit bleiben aber
ungeachtet dessen weiterhin auf vergleichsweise niedrigem Niveau. Die
Unternehmen sind eher bereit, auf Lösegeldforderungen im Falle einer
Ransomware-Attacke einzugehen.

Den Risk:Value-Report erstellt jährlich das
Marktforschungsunternehmen Vanson Bourne im Auftrag von NTT Security,
dem auf Sicherheit spezialisierten Unternehmen und "Security Center
of Excellence" der NTT Group (NYSE: NTT). Dabei befragt es weltweit
Führungskräfte - in diesem Jahr waren es 1.800 - zu Themen rund um IT
und IT-Sicherheit.

Bei der aktuellen Untersuchung zeigt sich erneut, dass mit 41%
weniger als die Hälfte der befragten Entscheidungsträger in deutschen
und österreichischen Firmen alle unternehmenskritischen Daten als
"komplett sicher" klassifiziert. Im Vergleich zur vorjährigen
Untersuchung bedeutet dies einen weiteren Rückgang um fünf
Prozentpunkte. Ein Grund hierfür sind die nach wie vor niedrigen
Investitionen in die IT-Sicherheit.

In Deutschland und Österreich wird nur gut 13% des IT-Budgets in
Informationssicherheit investiert. Im Vergleich zur letztjährigen
Studie ist dieser Wert sogar noch weiter gesunken, 2017 lag er bei
15%. Und das Investitionsvolumen ist deutlich geringer als in
etlichen anderen Unternehmensbereichen. Im Hinblick auf die Segmente,
in denen höhere Investitionen als in der Informations- und
Datensicherheit getätigt werden, nannten

- 40% Forschung und Entwicklung

- 36% Personalwesen

- 33% Vertrieb

- 30% Betrieb und Fertigung

- 30% Rechnungswesen und Controlling

- 30% Marketing.

Die mangelnde Investitionsbereitschaft korrespondiert mit einem
weiteren zentralen Untersuchungsergebnis. 41% der befragten deutschen
und österreichischen Unternehmen würden im Fall einer
Ransomware-Attacke eher Lösegeld bezahlen, als stärker in die
Informationssicherheit zu investieren, da sie eine solche
Vorgehensweise für kostengünstiger halten. Deutschland und Österreich
nehmen hier den "Spitzenwert" ein. Auf globaler Ebene sind im
Durchschnitt nur 33% der Unternehmen bereit, auf Zahlungsforderungen
einzugehen, und in der Schweiz sogar nur 23%.

"Dieses Ergebnis ist mehr als erschreckend, gerade auch angesichts
der nicht abebbenden Gefahr von Ransomware-Angriffen. Unser kürzlich
vorgestellter Global Threat Intelligence Report hat ergeben, dass der
Anteil von Ransomware an allen Malware-Angriffen in EMEA bei hohen
29% liegt", erklärt Kai Grunwitz, Senior Vice President EMEA bei NTT
Security. "Wenn sich Unternehmen nun von der Bezahlung von Lösegeld
Kostenvorteile versprechen, ist das in unseren Augen mehr als
trügerisch. Und das böse Erwachen wird früher oder später für viele
kommen."

Die geringe Investitionsbereitschaft ist umso erstaunlicher, als -
wie auch bei der letztjährigen Untersuchung - 96% der befragten
Unternehmen in Deutschland und Österreich die Meinung vertreten, dass
ein Sicherheitsvorfall mit Datendiebstahl gravierende negative
Auswirkungen hat. Genannt wurden Verlust des Kundenvertrauens (52%),
Beeinträchtigung der Reputation (44%) und direkte finanzielle
Einbußen (41%). Die Befragten rechnen mit einem durchschnittlichen
Umsatzverlust von gut 9% und schätzen, dass die Behebung eines
entstandenen Schadens rund neun Wochen dauert und im Schnitt Kosten
in Höhe von mehr als 2,3 Millionen Euro verursacht. Die Kosten werden
dabei von den Unternehmen in Deutschland und Österreich deutlich
höher veranschlagt als in anderen Ländern. Der internationale
Durchschnittswert liegt bei nur 1,3 Millionen Euro.

Das hohe Schadenspotenzial wirft die Frage auf, wie es um das
Thema Incident Response bestellt ist. Auch an diesem Punkt hat sich
im Vergleich zum Vorjahr nicht wirklich viel getan. In Deutschland
und Österreich verfügten 2017 nur 42% der Unternehmen über einen
Incident-Response-Plan. Allerdings befanden sich 36% bereits im
Implementierungsprozess und weitere 11% planten die Umsetzung
entsprechender Maßnahmen in naher Zukunft. Die jetzigen Ergebnisse
spiegeln diese Entwicklung allerdings nicht wider, im Gegenteil. Nach
wie vor ist nur bei 42% der Unternehmen ein Incident-Response-Plan
vorhanden. "Das Ergebnis zeigt leider, dass es vielfach bei reinen
Absichtserklärungen geblieben ist und der Ernst der Lage immer noch
unzureichend erkannt wird, auch wenn zahlreiche Sicherheitsvorfälle
der letzten Zeit eigentlich gezeigt haben, dass an einem gelebten
Incident-Response-Plan kein Weg mehr vorbeiführt. Denn nur mit
dedizierten Ablauf- und Notfallplänen kann auf unterschiedliche
IT-Sicherheitsvorfälle entsprechend angemessen und vor allem auch
schnell reagiert werden. Idealerweise sollten spezialisierte
Incident-Response-Tools genutzt werden, beispielsweise eine zentrale
Incident-Response-Plattform zur systematischen und koordinierten
Bearbeitung von Sicherheitsvorfällen mit fertig ausgearbeiteten
Handlungsplänen", so Grunwitz.

Allerdings hat die Untersuchung aus Sicht von NTT Security auch
positive Ergebnisse gebracht. So hat sich verstärkt die Erkenntnis
durchgesetzt, dass Sicherheitsvorfälle nicht gänzlich auszuschließen
sind. 43% der Befragten sind bereits Opfer eines solchen Vorfalls
geworden und weitere 15% zwar noch nicht, rechnen aber damit. Deshalb
gewinnen hinsichtlich der Umsetzung umfassender
Cyber-Security-Strategien auch Managed Security Services (MSS)
signifikant an Bedeutung. MSS werden derzeit zwar noch verhalten
genutzt, der Risk:Value-Report zeigt aber, dass sich gegenwärtig etwa
70% der befragten Unternehmen in Deutschland und Österreich aktiv mit
MSS-Lösungen auseinandersetzen beziehungsweise planen, es zeitnah zu
tun.

Das "Risk:Value Executive Summary" steht zum Download unter
https://www.nttsecurity.com/de-de/risk-value-2018 zur Verfügung.

Methodologie

Die Risk:Value-Studie wurde vom Marktforschungsunternehmen Vanson
Bourne im Auftrag von NTT Security im Februar und März 2018
durchgeführt. Dabei wurden 1.800 Nicht-IT-Entscheider in Deutschland
und Österreich, Benelux, Frankreich, Großbritannien, Norwegen,
Schweden, der Schweiz sowie in Australien, Hongkong, Singapur und den
USA befragt. Die befragten Unternehmen beschäftigen mehr als 500
Mitarbeiter.

Über NTT Security

NTT Security ist das auf Sicherheit spezialisierte Unternehmen und
"Security Center of Excellence" der NTT Group. Mit "Embedded
Security" ermöglicht NTT Security den NTT-Group-Unternehmen
(Dimension Data, NTT Communications und NTT DATA) die Bereitstellung
zuverlässiger Business-Lösungen für Kundenanforderungen in der
digitalen Transformation. NTT Security verfügt über 10 SOCs, sieben
Zentren für Forschung und Entwicklung sowie mehr als 1.500
Sicherheitsexperten und behandelt jährlich Hunderttausende
Sicherheitsvorfälle auf sechs Kontinenten.

NTT Security sichert eine effiziente Ressourcennutzung, indem den
Unternehmen der NTT Group der richtige Mix an ganzheitlichen Managed
Security Services, Security Consulting Services und
Security-Technologie zur Verfügung gestellt wird - unter optimaler
Kombination von lokalen und globalen Ressourcen. NTT Security ist
Teil der NTT Group (Nippon Telegraph and Telephone Corporation),
einem der größten IKT-Unternehmen weltweit. Weitere Informationen
über NTT Security finden sich auf: www.nttsecurity.com

Pressekontakt:

NTT Security

Hakan Cakar
Senior Marketing Director EMEA
Tel: +49 (0) 89 94 57 3243
hakan.cakar@nttsecurity.com

PR-COM GmbH

Hanna Greve
Account Director
Tel.: +49 (0) 89 59997 756
hanna.greve@pr-com.de

Original-Content von: NTT Security, übermittelt durch news aktuell