Studie: Das kurze Cyber-Gedächtnis

Wie stark sind kleine und mittlere Unternehmen (KMU) aktuell von Cybergefahren bedroht und wie gehen die Betriebe mit dem Risiko um? Das wollte die HDI Versicherung wissen und hat Ende 2023 erneut rund 1500 IT- und Versicherungsentscheider befragt. 

Mehr als jeder zweite Betrieb war schon Cyber-Opfer

Ein zentrales Ergebnis: Cyberkriminelle haben es offenbar verstärkt auf KMU abgesehen. So gaben 53 Prozent der Befragten an, bereits Cyberangriffe erfahren zu haben. In den beiden Vorgänger-Studien waren es nur rund 40 Prozent. Besonders ausgeprägt ist die Entwicklung bei Kleinbetrieben mit zehn bis 49 Mitarbeitern: 56 Prozent dieser Unternehmen waren schon Opfer von Cyberangriffen (2021: 37 Prozent). Der Wert ist damit fast auf das Niveau von Mittelständlern (50 bis 250 Mitarbeiter) mit 60 Prozent gestiegen. Hier beträgt das Zweijahres-Plus drei Prozentpunkte.

Kleinstbetriebe mit bis zu neun Mitarbeitern werden nun zu 39 Prozent und damit ebenfalls häufiger angegriffen (2021: 31 Prozent). „Kleinunternehmen, Kleinstunternehmen und Freiberufler werden für die Angreifer immer interessanter“, erläutert HDI-Vorstand Christian Kussmann. 

Erneute Angriffsgefahr wird schnell verdrängt

Aus Schaden wird man klug. Doch in Sachen Cyberkriminalität hat diese Einsicht offenbar nur eine begrenzte Haltbarkeit. Denn: Die Einschätzung der Befragten hinsichtlich der Risiken nimmt relativ schnell nach einem Vorfall wieder deutlich ab. So schätzen 57 Prozent der Befragten, deren Betrieb innerhalb von zwölf Monaten vor der Umfrage attackiert worden war, das Angriffsrisiko für ihr eigenes Unternehmen als „hoch“ oder „sehr hoch“ ein. Mit drei Jahren Abstand ist die Zahl der Alarmierten dann schon auf 27 Prozent geschrumpft. 

Ähnlich sieht es bei der Frage nach dem generellen Angriffsrisiko für KMU aus: Ist die Attacke höchstens ein Jahr her, schätzen 65 Prozent das Risiko als „hoch“ oder „eher hoch“ ein. Nach drei Jahren schwindet der Wert auf 39 Prozent. Offenbar wird die erneute Angriffsgefahr schon nach kurzer Zeit von anderen Themen überlagert und verdrängt. „Die Negativ-Erfahrung eines Cyberangriffs tritt relativ schnell in den Hintergrund. Von ,Cyber-Vergessen‘ zu sprechen, ist damit aus meiner Sicht nicht übertrieben”, so Kussmann.