TÜV-Studie: Unternehmen fordern strengere gesetzliche Vorgaben für IT-Sicherheit

Berlin (ots) - Besserer Schutz vor Cyberangriffen in der Wirtschaft notwendig
+++ Phishing, Erpressung, Manipulation: 13 Prozent hatten kürzlich einen
IT-Sicherheitsvorfall +++ Unternehmen nutzen verstärkt Künstliche Intelligenz
für Angriffserkennung oder Authentifizierung +++ "TÜV Cybersecurity Studie" in
Berlin vorgestellt +++

Fast jedes zweite Unternehmen in Deutschland (47 Prozent) fordert höhere
gesetzliche Anforderungen an die IT-Sicherheit in der Wirtschaft. Das hat eine
repräsentative Ipsos-Umfrage im Auftrag des TÜV-Verbands unter 503 Unternehmen
ab 10 Mitarbeitern ergeben. Befragt wurden IT-Sicherheitsverantwortliche,
IT-Leiter und Mitglieder der Geschäftsleitung. Demnach stimmen zudem 59 Prozent
der Aussage zu, dass Regulierung durch den Gesetzgeber wichtig ist und zu einer
besseren IT-Sicherheit ihres Unternehmens beiträgt. "Die Unternehmen geben ein
überraschend starkes Votum für eine stärkere gesetzliche Regulierung der
IT-Sicherheit in der Wirtschaft ab", sagte Dr. Michael Fübi, Präsident des
TÜV-Verbands (VdTÜV), bei Vorstellung der "TÜV Cybersecurity Studie" in Berlin.

Die wichtigsten Gründe für den Wunsch nach strengeren staatlichen Vorgaben seien
eigene Erfahrungen mit Cyberkriminalität und die digitale Transformation. In der
Umfrage geben drei von vier Unternehmen an (77 Prozent), dass die Bedeutung der
IT-Sicherheit in den vergangenen fünf Jahren für sie gestiegen ist. Als Gründe
für das Umdenken nennen 78 Prozent der Befragten die zunehmende Digitalisierung,
41 Prozent Berichte über immer neue Cyberangriffe und 29 Prozent einen
IT-Sicherheitsvorfall im eigenen Unternehmen. "Sehr viele Unternehmen nehmen
Cyberangriffe nicht mehr als abstrakte Gefahr wahr, sondern sind direkt
betroffen", sagte Fübi. In dieser Situation würden Unternehmen nach
Möglichkeiten suchen, wie sie sich besser schützen können. Gesetzliche Vorgaben
sowie Normen und Standards helfen dabei. Fübi: "Mit dem geplanten
IT-Sicherheitsgesetz 2.0 in Deutschland und dem Cybersecurity Act in der EU
stehen Instrumente zur Verfügung, mit denen die Politik den Schutz vor
Cyberangriffen in der Wirtschaft wirksam verbessern kann."

Zur IT-Sicherheit in der Wirtschaft sagte Arne Schönbohm, Präsident des
Bundesamts für Sicherheit in der Informationstechnik (BSI): "Ransomware wie zum
Beispiel Emotet ist eine der großen Bedrohungen für die Wirtschaft in unserem
Land. Angriffe auf Regierungsnetze konnten wir als BSI erfolgreich abwehren.
Viele Betriebe und Unternehmen jedoch mussten sich mit der Verschlüsselung ihrer
Daten und einer anschließenden Lösegelderpressung auseinandersetzen. Es wird nie
eine hundert prozentige Sicherheit vor Cyberangriffen geben, aber man kann sich
schützen. Das BSI mit seiner integrierten Wertschöpfungskette der
Cyber-Sicherheit, bietet hier unter anderem mit dem seit 1994 erfolgreichen
IT-Grundschutz Lösungen und Maßnahmen zum Schutz für Staat, Wirtschaft und
Gesellschaft an. Die TÜV-Organisationen als ein Audit-Anbieter sind dabei ein
kompetenter Partner für mehr Cyber-Sicherheit in Deutschland."

Nach den Ergebnissen der Umfrage hatte gut jedes achte Unternehmen (13 Prozent)
in den vergangenen 12 Monaten vor der Befragung einen IT-Sicherheitsvorfall.
Jedes vierte betroffene Unternehmen (26 Prozent) berichtet von
Phishing-Angriffen, bei denen - in der Regel per E-Mail - Schadsoftware in die
Organisation eingeschleust wird. An zweiter Stelle steht Ransomware (19
Prozent), mit deren Hilfe Cyberkriminelle die IT-Systeme einer Organisation
lahmlegen und die Unternehmen dann erpressen. Ein weiteres weit verbreitetes
Phänomen ist Social Engineering (9 Prozent). Mitarbeiter werden gezielt
manipuliert, um sich Zugang zu den IT-Systemen des Unternehmens zu verschaffen.
Weitere Angriffsszenarien sind Man-in-the-middle-, Passwort- und DDoS-Angriffe.
"Die Folgen sind Systemausfälle, eine geringere Produktivität und nicht
zugängliche Dienste für Kunden - der Worstcase für jedes Unternehmen", sagte
Fübi. Die Vorfälle führten zu finanziellen Schäden, aber häufig auch zu einem
Schaden für die Reputation des Unternehmens oder zu anderen
Wettbewerbsnachteilen.

Mit Künstlicher Intelligenz gegen kriminelle Hacker

In den vergangenen 24 Monaten haben die Unternehmen zahlreiche Maßnahmen
ergriffen, um die IT-Sicherheit zu verbessern. 71 Prozent lassen sich von
externen Sicherheitsspezialisten beraten. Zwei von drei Unternehmen (64 Prozent)
haben neue Software für IT-Sicherheit eingeführt und 60 Prozent Schulungen für
die Belegschaft durchgeführt. Immerhin fast jedes dritte Unternehmen (32
Prozent) hat sein Budget für IT-Sicherheit in den vergangenen zwei Jahren erhöht
und 17 Prozent zusätzliche IT-Mitarbeiter für diesen Zweck eingestellt. Nur
jedes vierte Unternehmen hat Notfallübungen durchgeführt. Das ist aus Sicht des
TÜV-Verbands viel zu wenig. "Wir wissen heute, dass selbst die besten
Schutzmaßnahmen nicht ausreichen, um Cyberangriffe zu verhindern", sagte Fübi.
"Organisationen müssen sich auch darauf konzentrieren, erfolgreiche
Cyberangriffe möglichst schnell zu erkennen und in den Griff zu bekommen." Dabei
helfen Notfallübungen sowie Penetrationstests und spezielle Software für die
Erkennung von Angriffen.

Bei Systemen für die Angriffserkennung kommt häufig Künstliche Intelligenz (KI)
zum Einsatz. Laut Umfrage nutzt bereits jedes achte Unternehmen (12 Prozent)
Künstliche Intelligenz für seinen eigenen Schutz. Unter den großen Unternehmen
ab 250 Mitarbeitern sind es sogar 38 Prozent. Die Unternehmen nutzen KI derzeit
vor allem, um Schad-Software (90 Prozent) oder Anomalien in Datenströmen (70
Prozent) zu erkennen. Eine weitere Anwendung sind moderne
Authentifizierungsverfahren, zum Beispiel Gesichts- oder Spracherkennung, die 37
Prozent der KI-Nutzer einsetzen. Allerdings sind sich nur relativ wenige
Unternehmen dieser Möglichkeiten bewusst. Nur 29 Prozent stimmen der Aussage zu,
dass sich ihr Unternehmen mit Hilfe von Künstlicher Intelligenz besser schützen
kann. Dagegen sagen fast zwei Drittel (63 Prozent), dass KI in den Händen von
Cyberkriminellen eine steigende Gefahr für die IT-Sicherheit ihres Unternehmens
darstellt. Mit KI lassen sich Cyberangriffe zum Beispiel automatisieren und
personalisieren.

Laut Umfrage spielen auch Normen und Standards wie DIN-ISO 27001 oder der
IT-Grundschutz des BSI eine wichtige Rolle für die IT-Sicherheit von
Unternehmen. "Normen und Standards geben Regeln und Verfahren vor, wie eine
Organisation digitale Sicherheit in der Praxis gewährleisten kann", sagte Fübi.
Unternehmen könnten sich dann von einer unabhängigen Stelle mit einem Zertifikat
bestätigen lassen, ob sie eine bestimmte Norm einhalten. Damit dokumentieren sie
- zum Beispiel gegenüber Kunden oder Zulieferern - dass ihre IT-Systeme
bestmöglich gesichert sind. Zwei von drei Unternehmen orientieren sich bereits
an Normen und Standards oder erfüllen diese sogar vollständig (64 Prozent).

Aus Sicht des TÜV-Verbands können gesetzliche Regelungen entscheidend dazu
beitragen, den Schutz von Unternehmen und Privatanwendern vor Cyberangriffen zu
verbessern. Dazu gibt der TÜV-Verband unter anderem folgende Empfehlungen ab:

Anwendungsbereich des IT-Sicherheitsgesetzes erweitern - KRITIS-Fokus aufgeben

Mindeststandards für die IT-Sicherheit sind in allen Wirtschaftsbereichen
notwendig. Bisher betrifft das IT-Sicherheitsgesetz nur die Betreiber kritischer
Infrastrukturen (KRITIS) und innerhalb dieser Gruppe nur wenige Unternehmen -
deutschlandweit etwa 1.700. Bestimmte Branchen wie Entsorger,
Fahrzeughersteller, Maschinenbauer oder die Chemieindustrie sind nicht erfasst.
"Es wäre nur konsequent, den Anwendungsbereich des geplanten
IT-Sicherheitsgesetzes 2.0 auszudehnen und die Einschränkung auf KRITIS-Branchen
aufzugeben", sagte Fübi.

Cybersecurity Act umsetzen: Produktsicherheit um IT-Sicherheit ergänzen

Der Cybersecurity Act ist seit Juli 2019 in Kraft und schafft einen allgemeinen
Rechtsrahmen für die IT-Sicherheit von vernetzten Produkten und
Dienstleistungen. "Wir müssen den Produktsicherheitsbegriff in der EU neu
definieren", sagte Fübi. "In Zukunft muss neben der funktionalen Sicherheit auch
die digitale Sicherheit fester Bestandteil eines Produkts sein." Nur dann sollte
ein Produkt in Europa auf den Markt gebracht werden dürfen. Das funktioniere
aber nur, wenn die Anforderungen an die IT-Sicherheit in den Richtlinien der
einzelnen Produktgruppen konsequent festgeschrieben werden - für Maschinen,
Spielzeuge, Medizinprodukte, Fahrzeuge und viele andere Produkte.

Künstliche Intelligenz nach Risikoklassen prüfen

Bei hoch automatisierten Fahrzeugen hängt die körperliche Unversehrtheit eines
Menschen direkt von Systemen mit Künstlicher Intelligenz ab. In diesen Fällen
müssen die Funktionen selbstlernender Algorithmen von externer Stelle
überprüfbar sein. Dafür benötigen die Prüfer Zugang zur Software und den Daten
der Systeme. Je nach Risikoklasse eines KI-Systems können unterschiedliche
Anforderungen an die Sicherheit und die Prüfungen gestellt werden. Entsprechende
Vorschläge hat auch die Datenethikkommission der Bundesregierung in ihrem
Abschlussbericht aufgegriffen.

Zusätzliche Informationen zur Studie, eine Präsentation sowie eine druckfähige
Grafik sind abrufbar unter: www.vdtuev.de/news/cybersecurity-studie/

Die Rolle der Politik für die Verbesserung der IT-Sicherheit ist auch das
zentrale Thema der "TÜV® Cybersecurity Conference"
(http://www.tuev-sec.com/cybercon19), die heute in Berlin stattfindet.
Keynote-Speaker und Podiumsgäste sind unter anderem Daniel Domscheit-Berg,
Netzaktivist und ehemaliger Sprecher von WikiLeaks, Jochen Eisinger, Director of
Engineering bei Google, Dr. Michael Fübi, VdTÜV-Präsident und
Vorstandsvorsitzender TÜV Rheinland, Andreas Könen, Abteilungsleiter Cyber- und
IT-Sicherheit im BMI, und Arne Schönbohm, Präsident des BSI.

Methodik-Hinweis: Grundlage der Studienergebnisse ist eine repräsentative
Umfrage des Marktforschungsunternehmens Ipsos im Auftrag des TÜV-Verbands unter
503 Unternehmen ab 10 Mitarbeitern in Deutschland. Befragt wurden die
Verantwortlichen für IT-Sicherheit in Unternehmen, IT-Leiter und Mitglieder der
Geschäftsleitung.

Über den TÜV-Verband: Der Verband der TÜV e.V. (VdTÜV) vertritt die politischen
und fachlichen Interessen seiner Mitglieder gegenüber Politik, Verwaltung,
Wirtschaft und Öffentlichkeit. Der Verband setzt sich für technische und
digitale Sicherheit bei Produkten, Anlagen und Dienstleistungen durch
unabhängige Prüfungen und qualifizierte Weiterbildung ein. Mit seinen
Mitgliedern verfolgt der TÜV-Verband das Ziel, das hohe Niveau der technischen
Sicherheit in unserer Gesellschaft zu wahren und Vertrauen für die digitale Welt
zu schaffen.

Pressekontakt:
Maurice Shahd
Pressesprecher
Verband der TÜV e.V. (VdTÜV)
Friedrichstraße 136 | 10117 Berlin
presse@vdtuev.de
www.vdtuev.de | www.twitter.com/vdtuev_news

Original-Content von: VdTÜV Verband der TÜV e.V., übermittelt durch news aktuell