Cyberkriminalität: Der beste Schutz ist Multi-Prävention

Im Internet kann jedes Unternehmen zur Zielscheibe werden. Egal wie groß es ist, egal welche Branche. Diese Beobachtung machen Gerlinde Macho und Manfred Pascher immer häufiger. Die beiden haben 1999 gemeinsam das Wiener Unternehmen MP2 IT-Solutions gegründet - heute ein IT-Komplettdienstleister mit 67 Mitarbeitenden, die sich in Teams strukturiert um praktisch alle IT-Belange von Betrieben kümmern, von IT-Sicherheit über Software-Entwicklung bis Online-Shops und IT-Trainings. „In den Unternehmen ist das Bewusstsein viel größer geworden, dass Cyberkriminalität ein ernstes Thema ist”, berichtet Macho aus ihrer Erfahrung.

Dennoch gebe es immer noch Betriebe, die meinen, eher nicht im Visier von Kriminellen zu stehen, weil sie nur wenige Mitarbeitende hätten. „Das ist eine Fehleinschätzung. Denn die Angriffe werden heute nicht mehr manuell gemacht, sondern KI-gesteuert und automatisiert. Wenn es eine Sicherheitslücke gibt, ist man in Gefahr”, sagt Macho. Jedes Unternehmen sei daher gut beraten, ein Cybersecurity-Konzept zu haben. „Die zentralen Fragen sind: Was muss ich alles schützen und was würde es mich kosten, wenn ich tagelang auf meine Daten nicht zugreifen oder sie nicht wiederherstellen kann?”, so die Expertin. Die Systeme sollten daher gut abgesichert, Backups nicht veraltet sein. „Cybersecurity ist eine wichtige Management-Aufgabe geworden, nicht mehr nur die Angelegenheit einer IT-Abteilung oder eines externen Dienstleisters. Die Unternehmensführung muss wissen, welche Bedrohungen bestehen, welche Daten geschützt werden müssen, welche Maßnahmen zu setzen sind, und es müssen die Budgets dafür freigegeben werden. Es geht dabei auch um die Haftung für Schäden”, weiß die Expertin. IT-Sicherheit sei als laufender Prozess zu sehen, nicht als Einmal-Aktion, weil sich Technik und Angriffsarten rasant entwickeln.

Viele kleine Betriebe nicht gut gesichert

Wenn es darum geht, sich der Gefahren nicht nur bewusst zu sein, sondern auch aktiv in die Abwehr zu investieren, gebe es bei Betrieben noch Verbesserungsbedarf, schildert Pascher: „Bei manchen muss man viel Überzeugungsarbeit leisten. Dabei ist es wie eine Versicherung: Wenn man nie einen Schadensfall hat, denkt man, wieso brauche ich das. Bis etwas passiert.” Wer die Tragweite eines Cyberangriffs erkennt, bleibt dran. Sehr gut aufgestellt seien derzeit vor allem größere Unternehmen ab 100 Mitarbeitenden sowie Betriebe, die viele sensible Daten haben wie Rechtsanwälte oder Steuerberater. Im Handwerk, dem Gewerbe, Handel oder auch im Tourismus seien viele aber nicht optimal gerüstet. „Hier sollte es zumindest ein Mindestmaß an Cybersecurity geben, das zum Unternehmen und seinem Datenbestand passt”, sagt Pascher. Dieses nachweisen zu können, sei wichtig wegen des gesetzlichen Datenschutzes und wegen des Gesetzes zur Netz- und Informationssicherheit (NISG 2026), das in Österreich ab 1. Oktober zehntausende Unternehmen betreffen wird.

Zahlreiche Branchen werden dann verpflichtet sein, bestimmte Cybersecurity-Standards einzuhalten - vom Energie-Sektor über das Gesundheitswesen bis zur öffentlichen Verwaltung. Auch Zuliefernde dieser Branchen können indirekt betroffen sein, wenn es um sicherheitsrelevante Daten geht. Ab 1. Oktober kann eine Behörde des Innenministeriums Betriebe prüfen, die als „wesentlich” eingestuft werden. Wer die Standards nicht einhält oder nicht nachweisen kann, dem drohen empfindliche Strafen.

„Dem Großteil der betroffenen Unternehmen war ihr Handlungsbedarf schon früh bewusst, denn es ist schon lange klar, dass das kommen wird. Sie sind gut vorbereitet. Einige wenige warten aber noch ab, schauen sich das einmal an und haben noch nicht investiert”, sagt Pascher. Bis zum Start in vier Wochen würden sie es nicht mehr schaffen, wenn sie jetzt von Null beginnen, ist sich der Experte sicher. Und: Viele Zuliefernde würden vermutlich erst nach dem 1. Oktober von ihren Kunden erfahren, dass sie Teil der Vertrauenskette und daher indirekt betroffen sind.

Neue Studie legt Schwachstellen offen

Wie sehr Wiener Unternehmen von Cyberkriminalität betroffen sind, hat das Beratungsunternehmen KPMG in Zusammenarbeit mit der Wirtschaftskammer Wien aktuell zum vierten Mal erhoben. Knapp 500 kleine und mittelständische Betriebe wurden dafür befragt. Die Ergebnisse sind - erneut - besorgniserregend. So hat vor allem Künstliche Intelligenz (KI) die Bedrohungslage für Unternehmen erheblich verschärft. „KI wird beispielsweise dafür eingesetzt, um mittels Sprachmanipulation einen Geschäftspartner vorzuspielen oder um technologische Schwachstellen zu finden und auszunutzen”, sagt Robert Lamprecht, Cybersecurity-Partner bei KPMG und seit vielen Jahren Analyst von Cyberkriminalität in Österreich. „KI-Modelle sind bereits in der Lage, selbstständig Angriffe durchzuführen. Dadurch sind die Kosten für Angreifende relativ gering geworden. Sie nutzen KI als Schrotflinte im digitalen Raum und haben damit eine gute Trefferquote”, sagt Lamprecht.

Weitere aktuelle Trends: Erstens, immer öfter kann nicht ermittelt werden, woher der Angriff kommt - das wird erfolgreich verschleiert. Zweitens, immer mehr Dritte lassen sich für cyberkriminelle Handlungen bezahlen, ohne eigene Interessen zu haben - es hat sich ein Dienstleistungsmarkt entwickelt. Drittens, bereits jeder fünfte Angriff kommt über die Lieferkette in Wiener Unternehmen - das schwächste Glied der Kette wird damit zum Einfallstor, über das sich Kriminelle ausbreiten. Und viertens: Tourismusbetriebe sind zu einem der Top-Ziele von Angreifenden aufgestiegen. „Die Cyberkriminellen haben erkannt, dass es hier viele kleine, nicht gut geschützte Unternehmen gibt, die über hochinteressante Daten verfügen, die etwa für Identitätsdiebstahl genutzt werden können, wie Reisepässe oder Kreditkartendaten”, erklärt Lamprecht. Das Beispiel zeige, wie notwendig es auch für kleinere Unternehmen sei, die eigenen IT-Systeme bestmöglich abzusichern und einen praxistauglichen Notfallplan zu haben. „Die Krisenfähigkeit der Betriebe ist verbesserungswürdig. Es muss in ihre DNA übergehen, dass Vorfälle passieren werden und was dann sofort zu tun ist”, sagt der Berater.

WK Wien sieht Handlungsbedarf

Laufenden Handlungsbedarf bei allen Unternehmen ortet auch Martin Heimhilcher, Spartenobmann für Information & Consulting in der WK Wien. „Wir trommeln das Thema seit Jahren, und das zeigt auch Wirkung: Die meisten bereiten sich heute besser auf einen Cyberangriff vor als vor ein paar Jahren.” Für ganz entscheidend hält er, die Mitarbeitenden in den Betrieben intensiv zu schulen - sie sind die größte Schwachstelle bei Datendiebstahl, der Verbreitung von Schadsoftware, Geldabflüssen und Erpressung. KI erleichtere den Weg über den Faktor Mensch erheblich. Heimhilcher appelliert an Unternehmen, jede Cyberattacke den Behörden zu melden, damit die staatliche Abwehr mitlernen und auch das Rechtssystem reagieren kann. Er empfiehlt Betrieben zudem, möglichst bald eine Cybersecurity-Versicherung abzuschließen und die kostenlose Rufnummer der Cybersecurity-Hotline der Wirtschaftskammer - 0800 888 133 - stets griffbereit zu haben.

Wie wichtig Prävention für die Zukunftsfähigkeit des Wirtschaftsstandorts Wien ist, betont Margarete Kriz-Zwittkovits, Präsidentin der WK Wien. „Cyberkriminalität ist ein Phänomen, das nicht verschwinden wird - ganz im Gegenteil. Es zeigt sich, dass vor allem Europa im Visier der Kriminellen steht. Wie gut wir uns dagegen absichern und wehren, ist daher eine entscheidende Zukunftsfrage. Hier ist auch die Politik gefragt.”