| Laut einer Cohesity-Studie ist das Sicherheitsbewusstsein in deutschen Unternehmen unterentwickelt. Sicherheitstrainings sind dringend erforderlich. | According to a Cohesity study, German companies have underdeveloped security awareness. Security training is urgently needed. |
| Security Awareness mangelhaft: Laut einer Cohesity Umfrage unter 1.000 Mitarbeitenden in Deutschland hatten 30 Prozent im letzten Jahr kein IT-Sicherheitstraining an ihrem Arbeitsplatz. Deshalb ist das Wissen über IT-Sicherheit sehr lückenhaft: 32 Prozent der Befragten kennen beispielsweise den Begriff „Ransomware” nicht. Die Konsequenzen sind fatal, denn wer die Gefahren nicht einschätzen kann, wird schneller Opfer gängiger Angriffsmethoden wie Phishing-Mails. Somit ist der Mensch die größte Schwachstelle in puncto IT-Sicherheit – und Unternehmen müssen ihre Mitarbeitenden intensiver schulen.
„Während viele Mitarbeitende das Risiko durch Cyberangriffe kennen, gibt es immer noch eine beträchtliche Minderheit, die Gefahren nicht sieht“, sagt Olivier Savornin, EMEA Group Vice President bei Cohesity. „Schulungen zur Cybersicherheit sind vielleicht an ihnen vorbeigegangen, oder sie haben gar keine erhalten. Wenn sie auf einen Cyberangriff hereinfallen, bemerken sie das nicht oder geben ihren Fehler oft nicht zu. Dann erhalten die Angreifer jedoch mehr Zeit und der langfristige Schaden vergrößert sich.“ Mehr als die Hälfte der Befragten (55 Prozent) sagen, dass ihr Unternehmen schon angegriffen wurde – oder glauben es zumindest. Gleichzeitig ist sich jeder Vierte nicht sicher, ob er einen Cyberangriff auf sein Unternehmen erkennen würde. Einen möglichen Verdacht melden nur 69 Prozent an die IT-Abteilung, 53 Prozent dem Cybersecurity-Team, 48 Prozent dem direkten Vorgesetzten, 29 Prozent der Führungsebene und 15 Prozent der Personalabteilung. Von allen Befragten in Deutschland geben 6 Prozent zu, dass sie niemanden im Unternehmen informieren. Davon nennt jeder Fünfte als Grund, dass er keinen Ärger will. Fast ebenso viele haben Angst vor Fehleinschätzungen oder Schuldzuweisungen. Viele falsche Vorstellungen Auch bei der Frage nach möglichen Angriffspunkten existieren gefährliche Wissenslücken: so nennen nur 36 Prozent Mac-Geräte, 41 Prozent Mobiltelefone, 49 Prozent USB-Geräte und je 52 Prozent Collaboration-Plattformen sowie WiFi. Selbst bei PCs und Websites bleiben die Nennungen unter zwei Drittel, obwohl sich grundsätzlich alle diese Wege für Angriffe nutzen lassen. „Das geht mich nichts an!“ Die wichtigsten Aufgaben für Unternehmen sind daher:
„Viele Unternehmen trainieren zwar bereits ihre Belegschaft, doch sie müssen nun auch das schwächste Glied in der Kette mitnehmen: den Teil der Mitarbeitenden, die hier noch gefährliche Lücken ausweisen Risiken nicht erkennen oder ignorieren“, so James Blake, VP of Cyber Resiliency Strategy Cohesity. „Zusätzlich ist sicherzustellen, dass Prozesse so strukturiert und durchgängig wie möglich auf- und umgesetzt werden. Denn unabhängig von der eingesetzten Technologie sind Menschen sonst eine große Schwachstelle in Sachen IT-Sicherheit.“ |
Security awareness is lacking. A Cohesity survey of 1,000 German employees revealed that 30 percent had not received any IT security training at their workplace in the past year. Consequently, their knowledge of IT security is very limited. For example, 32 percent of those surveyed are unfamiliar with the term „ransomware.“ Those who cannot assess the dangers are more likely to fall victim to common attack methods, such as phishing emails, which can have dire consequences. This makes humans the biggest weak point in IT security, and companies need to train their employees more intensively.
„While many employees are aware of the risk posed by cyberattacks, there is still a significant minority who do not see the dangers,“ says Olivier Savornin, Cohesity’s EMEA Group Vice President. „Cybersecurity training may have passed them by, or they may not have received any at all. When they fall for a cyberattack, they often don’t notice or admit their mistake. This gives attackers more time and increases the long-term damage.“ More than half of those surveyed (55 percent) say their company has already been attacked — or at least believe it has. At the same time, one in four is unsure whether they would recognize a cyberattack on their company. Only 69 percent report possible suspicions to the IT department, 53 percent to the cybersecurity team, 48 percent to their direct supervisor, 29 percent to management, and 15 percent to human resources. Six percent of all respondents in Germany admit that they do not inform anyone in the company. One in five of these cite not wanting any trouble as the reason. Almost as many are afraid of misjudgments or getting blamed. There are many misconceptions. In addition to uncertainty, employees have many misconceptions about the effects of cyberattacks. For instance, 53 percent of Germans do not believe that their company could be paralyzed by a ransomware attack. Twenty-four percent see no potential damage to their image, and 18 percent see no impact on sales. Fifteen percent assume that only large companies are attacked. However, recent cases show that ransomware attacks can affect German medium-sized companies and even cause them to become insolvent. There are also dangerous knowledge gaps when it comes to potential points of attack. Only 36 percent mention Mac devices; 41 percent, mobile phones; 49 percent, USB devices; and 52 percent, collaboration platforms and Wi-Fi. Even for PCs and websites, fewer than two-thirds mention them, although all of these channels can be used for attacks. „That’s none of my business!“ A lack of awareness of responsibility is an important reason for the lack of knowledge: most respondents see the IT (39 percent) or cybersecurity (34 percent) team as primarily responsible for protecting the company. Only 10 percent are aware that everyone in the company is equally responsible for security. The most important tasks for companies are therefore:
Promoting a culture of shared responsibility and open communication – Enforcing structured security processes and debunking common myths James Blake, VP of Cyber Resiliency Strategy at Cohesity, says: “Many companies already train their workforce, but they now need to address the weakest link in the chain: employees with dangerous knowledge gaps who fail to recognize or ignore risks.” „In addition, it is important to ensure that processes are structured and implemented as consistently as possible. Otherwise, regardless of the technology used, people will remain a major weak point in IT security.“ |
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Dr. Jakob Jung is Editor-in-Chief of Security Storage and Channel Germany. He has been working in IT journalism for more than 20 years. His career includes Computer Reseller News, Heise Resale, Informationweek, Techtarget (storage and data center) and ChannelBiz. He also freelances for numerous IT publications, including Computerwoche, Channelpartner, IT-Business, Storage-Insider and ZDnet. His main topics are channel, storage, security, data center, ERP and CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de