Kaspersky-Studie

Ein Sicherheitsvorfall verursacht Schäden von einer halben Million Dollar

Ronald Wiltscheck widmet sich bei ChannelPartner schwerpunktmäßig den Themen Software, KI, Security und IoT. Außerdem treibt er das Event-Geschäft bei IDG voran. Er hat Physik an der Technischen Universität München studiert und am Max-Planck-Institut für Biochemie promoviert. Im Internet ist er bereits seit 1989 unterwegs.
551.000 Dollar muss ein großes Unternehmen durchschnittlich in Folge eines IT-Sicherheitsvorfalles aufbringen. Guter Ansatzpunkt für IT-Dienstleister, um ins Geschäft zu kommen.
 
  • Warum Konzerne stärker geschädigt werden als Mittelständler
  • Welche Folgekosten drohen
  • Ausgaben für Anwälte und externe Dienstleister
  • Schäden durch Produktionsausfälle

Bei mittelständischen Unternehmen betragen die Kosten pro Sicherheitsvorfal im Schnitt 38.000 Dollar. Dies geht aus einer aktuellen von Kaspersky Lab bei B2B International beauftragen Studie hervor. Zu den kostenintensivsten IT-Sicherheitsvorfällen gehören Mitarbeiterbetrug, Cyberspionage, Netzwerkeinbrüche (Network Intrusions) sowie Fehler von Drittanbietern.

Klassische Ausgaben als Folge eines Sicherheitsvorfalls sind der Mehraufwand für professionelle Dienstleistungen - wie externe IT-Experten, Anwälte oder Berater - sowie Umsatzverluste aufgrund verloren gegangener Geschäftsoptionen oder von IT-Ausfällen. Neben den oben genannten direkten Kosten kommen noch indirekte Ausgaben - beispielsweise für Personal, Trainings und Infrastrukturaktualisierungen - hinzu, die durchschnittlich zwischen 8.000 (KMUs) und 69.000 Dollar (große Unternehmen) betragen.

Ein Vorfall im unternehmenseigenen IT-Sicherheitssystem kann erhebliche Folgen nach sich ziehen. Für die betroffenen Firmen ist es allerdings schwer, einen vollständigen Überblick der Folgekosten zu erhalten. Die Methoden, die hierfür von Kaspersky Lab verwendet wurden, basieren auf Daten der Vorjahre. Damit können Ausgaben oder Vermögensverluste in Folge von IT-Sicherheitsvorfällen rekonstruiert werden.

Zu den direkten Ausgaben für Security-Vorfälle kommen noch Folgekosten.
Zu den direkten Ausgaben für Security-Vorfälle kommen noch Folgekosten.
Foto: Kaspersky Lab

"Es gibt bisher nicht allzu viele Berichte über die Folgen von IT-Sicherheitsvorfällen, bei denen reale Geldverluste von Unternehmen rekonstruiert wurden", erklärt Holger Suhl, General Manager DACH bei Kaspersky Lab. "Es ist auch nicht einfach, verlässliche Methoden zur Erhebung dieser Daten zu finden. Wir haben dies dennoch umgesetzt, weil wir wissen wollten, wie das theoretische Wissen über die Cyberbedrohungslandschaft mit den realen Geschäftspraktiken der Firmen zusammenhängt. Als Ergebnis sehen wir eine Auflistung von Bedrohungen, die die höchsten Schäden verursachen und vor denen sich Unternehmen bestmöglich schützen sollten."

Diverse Kostenaufstellung für Großunternehmen

Die Kaspersky-Studie gibt einen detaillierten Überblick über die Kosten, die für Großunternehmen im Zuge eines Cybersicherheitsvorfalls anfallen können, mit folgenden Ausgaben für:

  • externe Services (IT, Risikomanagement oder Anwälte): bis zu 84.000 Dollar, bei einer Eintrittswahrscheinlichkeit von 88 Prozent

  • verloren gegangene Geschäftsoptionen: bis zu 203.000 Dollar, bei einer Eintrittswahrscheinlichkeit von 29 Prozent

  • IT-Ausfälle: bis zu 1,4 Millionen Dollar, bei einer Eintrittswahrscheinlichkeit von 30 Prozent

  • indirekte Ausgaben: bis zu 69.000 Dollar möglich

  • Reputationsschäden: bis zu 204.750 US-Dollar

Mittelstand versus große Unternehmen

Holger Suhl, General Manager DACH bei Kaspersky Lab: "Es gibt bisher nicht allzu viele Berichte über die Folgen von IT-Sicherheitsvorfällen, bei denen reale Geldverluste von Unternehmen rekonstruiert wurden."
Holger Suhl, General Manager DACH bei Kaspersky Lab: "Es gibt bisher nicht allzu viele Berichte über die Folgen von IT-Sicherheitsvorfällen, bei denen reale Geldverluste von Unternehmen rekonstruiert wurden."
Foto: Kaspersky Lab

Neun von zehn Unternehmen, die an der Studie teilgenommen haben, hatten mindestens einen Sicherheitsvorfall im Untersuchungszeitraum zu beklagen. Fast die Hälfte (46 Prozent) haben aufgrund einer internen oder externen Cyberbedrohung sensible Firmendaten verloren.

Allerdings führten nicht alle Vorfälle zu ernsthaften Konsequenzen oder zum Verlust sensibler Firmendaten. Am häufigsten wird ein Sicherheitsvorfall über eine Malware-Attacke, Phishing, Mitarbeiter- oder Software-Schwachstellen verursacht. Die Kostenschätzungen zeigen, wie schwerwiegend IT-Sicherheitsvorfälle für Unternehmen jeglicher Größe ausfallen können - allerdings mit unterschiedlichen Auswirkungen für mittelständische und große Organisationen.

Große Unternehmen zahlen deutlich mehr, wenn ein Cybervorfall durch einen Fehler eines vertrauten Partners beziehungsweise Drittanbieters verursacht wird. Ähnlich kostenintensiv sind Betrügereien von Mitarbeitern, Cyberspionage und Netzwerkeinbrüche (Network Intrusions). Mittelständische Firmen müssen dagegen bei allen Sicherheitsvorfällen in ähnlich hohem Maße zur Tasche greifen - egal ob es sich hier um Cyberspionage, DDoS-Attacken oder Phishing handelt. (rw)

Zur Startseite