Sicherheitsrisiko KI – Security risk AI

Dieses Ergebnis spiegelt die anhaltende Volatilität der Bedrohungslandschaft wider, einschließlich anhaltender geopolitischer Spannungen und der Zunahme zerstörerischer Ransomware- und Lieferkettenangriffe. Der Missbrauch von generativen KI-Tools wie ChatGPT für cyberkriminelle Zwecke wird von den Führungskräften deutlich wahrgenommen: 61 Prozent der deutschen Studienteilnehmer sehen in diesen Tools ein Sicherheitsrisiko für ihr Unternehmen. Das ist der höchste Wert aller europäischen Länder.

Die deutschen Vorstände hegen diese Bedenken, obwohl 59 Prozent (international: 73 Prozent) Cybersicherheit als Priorität ansehen, 57 Prozent (international: 72 Prozent) glauben, dass sie die Cyberrisiken, denen sie ausgesetzt sind, gut verstehen und 63 Prozent (international: 70 Prozent) davon ausgehen, dass sie ausreichend in Cybersicherheit investiert haben. Der internationale Vergleich zeigt hier, dass deutsche Unternehmensleitungen hinter dem Risikobewusstsein und der Investitionsbereitschaft der meisten ihrer internationalen Kollegen zurückbleiben.

Für den neuen Proofpoint-Report wurden weltweit 659 Vorstandsmitglieder von Organisationen mit 5.000 oder mehr Mitarbeitern aus verschiedenen Branchen befragt. Die Befragung fand im Juni 2023 in den folgenden zwölf Ländern statt (pro Land wurden mindestens 50 Führungskräfte befragt): USA, Kanada, Vereinigtes Königreich, Frankreich, Deutschland, Italien, Spanien, Australien, Singapur, Japan, Brasilien und Mexiko.

Deutsche Sonderrolle

Der Report untersucht drei zentrale Bereiche: die Cyber-Bedrohungen und -Risiken, mit denen sich Vorstände konfrontiert sehen, ihre Bereitschaft, sich gegen diese Bedrohungen zu wappnen und ihre Abstimmung mit CISOs basierend auf den Ansichten, die Proofpoint in seinem Report „Voice of the CISO 2023“ ermittelt hat. Deutsche Unternehmensleitungen und CISOs spielen in dieser Hinsicht eine Sonderrolle. Während international eine größere Übereinstimmung zwischen Vorständen und Sicherheitsverantwortlichen zu beobachten ist, gehen die Ansichten der beiden Personengruppen in Deutschland stark auseinander. So betrachten deutsche Vorstandsmitglieder die Kompromittierung von Cloud-Konten (45 Prozent), Insider-Bedrohungen (41 Prozent) und Malware (33 Prozent) als die größten Bedrohungen für ihr Unternehmen. Deutsche CISOs hingegen machen sich größere Sorgen um E-Mail-Betrug/Business Email Compromise (31 Prozent), DDoS-Angriffe (29 Prozent) und Smishing/Vishing (28 Prozent).

„Obwohl die Unternehmensleitungen im Allgemeinen zufrieden mit der Zeit und den Ressourcen sind, die sie in die Bekämpfung von Cyberrisiken investieren, hat sich die Cybersicherheitslage noch nicht wesentlich verändert“, erläutert Bert Skaletski, Resident CISO für EMEA bei Proofpoint. „Unsere Ergebnisse zeigen, dass es weiterhin schwierig ist, das erhöhte Bewusstsein in wirksame Cybersicherheitsstrategien umzusetzen, die Menschen und Daten schützen. Der Ausbau der Beziehung zwischen Vorstand und CISO wird von entscheidender Bedeutung sein, damit Direktoren und Sicherheitsverantwortliche relevantere Gespräche führen und sicherstellen können, dass sie in die richtigen Prioritäten investieren.“

Weitere wesentliche Befunde des aktuellen Proofpoint-Reports:

• Risikobewusstsein und Finanzierung führen nicht zu Bereitschaft: Für 59 Prozent der deutschen Vorstände hat Cybersicherheit Priorität, 57 Prozent glauben, dass sie die Cyberrisiken, denen sie ausgesetzt sind, klar verstehen, 63 Prozent sind der Meinung, dass sie angemessen in Cybersicherheit investiert haben, und 77 Prozent glauben, dass ihr Budget für Cybersicherheit in den nächsten 12 Monaten steigen wird. Allerdings führen diese Bemühungen nicht zu einer besseren Abwehrbereitschaft: 55 Prozent sind immer noch der Ansicht, dass ihr Unternehmen nicht auf einen Cyberangriff in den nächsten 12 Monaten vorbereitet ist.
• Unternehmensleitung und CISOs sind sich in den Bereichen Personenrisiko und Datensicherheit nicht ganz einig: Mehr deutsche Vorstandsmitglieder (59 Prozent) als CISOs (45 Prozent) glauben, dass menschliches Versagen ihr größtes Risiko darstellt, während Vorstandsmitglieder (53 Prozent) und CISOs (50 Prozent) ungefähr das gleiche Maß an Vertrauen in die Fähigkeit ihres Unternehmens haben, seine Daten zu schützen.
• Bessere Information zu Bedrohungen, Cyber-Expertise im Vorstand und bessere technische Kontrollen stehen ganz oben auf der Wunschliste der Vorstandsetagen: 47 Prozent der deutschen Vorstände glauben, dass die Cybersicherheit ihrer Organisation von besseren Informationen über Bedrohungen profitieren würde, 33 Prozent wünschen sich mehr Cybersicherheits-Expertise im Vorstand und 31 Prozent hätten gerne bessere technische Kontrollmöglichkeiten.
• Die Interaktionen und Beziehungen zwischen Vorstand und CISO sind verbesserungswürdig: 51 Prozent der deutschen Vorstandsmitglieder interagieren regelmäßig mit Sicherheitsverantwortlichen, ein Rückgang gegenüber 59 Prozent im letzten Jahr. Und wenn es zur Interaktion zwischen Vorstandsmitgliedern und CISOs kommt, verläuft diese selten optimal: 51 Prozent der Vorstandsmitglieder sagen, dass sie mit ihrem CISO einer Meinung sind, verglichen mit 39 Prozent der CISOs, die diese Ansicht teilen.
• Ihre Persönliche Haftung betrachten Vorstände und CISOs gleichermaßen lediglich als moderates Problem: 55 Prozent der deutschen Vorstandsmitglieder äußerten Bedenken hinsichtlich ihrer persönlichen Haftung nach einem Cybersicherheitsvorfall in ihrem Unternehmen, 52 Prozent der CISOs haben analoge Bedenken.

This finding reflects the continued volatility of the threat landscape, including ongoing geopolitical tensions and the rise of destructive ransomware and supply chain attacks. The misuse of generative AI tools such as ChatGPT for cybercriminal purposes is clearly perceived by executives, with 61 percent of German study participants seeing these tools as a security risk to their organizations. This is the highest figure of all European countries.

German boards harbor these concerns despite the fact that 59 percent (international: 73 percent) view cybersecurity as a priority, 57 percent (international: 72 percent) believe they have a good understanding of the cyber risks they face, and 63 percent (international: 70 percent) believe they have invested sufficiently in cybersecurity. The international comparison here shows that German company managements lag behind the risk awareness and willingness to invest of most of their international colleagues.

For the new Proofpoint report, 659 board members of organizations with 5,000 or more employees from various industries were surveyed worldwide. The survey took place in June 2023 in the following 12 countries (at least 50 executives were surveyed per country): United States, Canada, United Kingdom, France, Germany, Italy, Spain, Australia, Singapore, Japan, Brazil and Mexico.

Germany’s special role

The report examines three key areas: the cyber threats and risks faced by boards of directors, their preparedness to defend against those threats, and their alignment with CISOs based on views identified by Proofpoint in its Voice of the CISO 2023 report.

German corporate boards and CISOs play a special role in this respect. While internationally there is greater agreement between board members and security officers, the views of the two groups of people diverge sharply in Germany. For example, German board members consider cloud account compromise (45 percent), insider threats (41 percent) and malware (33 percent) to be the biggest threats to their company. German CISOs, on the other hand, are more concerned about email fraud/business email compromise (31 percent), DDoS attacks (29 percent) and smishing/vishing (28 percent).

„While business leaders are generally satisfied with the time and resources they are investing in combating cyber risks, the cybersecurity landscape has not yet changed significantly,“ explained Bert Skaletski, Resident CISO for EMEA at Proofpoint. „Our findings show that it remains difficult to translate increased awareness into effective cybersecurity strategies that protect people and data. Strengthening the relationship between the board and CISO will be critical to help directors and security leaders have more relevant conversations and ensure they are investing in the right priorities.“