Sparmaßnahmen gefährden die IT-Sicherheit deutscher Unternehmen

Trotz der jüngsten Viren-Attacken stocken deutsche Unternehmen ihre IT-Sicherheitsbudgets nicht auf. Im Gegenteil: Sieben von zehn Firmen (68 Prozent) wollen ihre Ausgaben einfrieren oder gar senken – zehn Prozent mehr als noch 2002. Ein gefährlicher Spartrend, denn mangelnde Sicherheit kommt die Unternehmen teuer zu stehen. Insgesamt stiegen die finanziellen Verluste pro Sicherheitsverstoß im vergangenen Jahr an. Das ist ein Ergebnis der Studie „IT-Security 2003“ der Informationweek. Sie wurde für Deutschland von Mummert Consulting mit ausgewertet.

Das Hauptproblem in Deutschland sind Angriffe durch Computerviren und Würmer. Auf Platz zwei bei den Sicherheitsverstößen: So genannte Denial-of-Service-Attacken, die zum Ziel haben, die angegriffenen Systeme lahm zu legen. Die Mehrzahl der Unternehmen ermittelt inzwischen, welche finanziellen Schäden die Sicherheitsverstöße anrichten. Der Anteil der Firmen, die nicht wissen, welche Verluste ein Angriff bringt, hat sich auf 18 Prozent halbiert. Der Großteil der Angriffe geht dabei für die Unternehmen glimpflich ab: 44 Prozent bleiben ohne finanzielle Folgen. Weitere 29 Prozent kos-ten umgerechnet weniger als 9.000 Euro. Daher schätzen Firmen die finanziellen Verluste bei Angriffen auch als weniger gravierend ein. Sie stehen auf der Liste der schlimmsten Auswirkungen nur an fünfter Stelle.

An erster Stelle der Auswirkungen steht der Ausfall von Geschäftsanwendungen. Top zwei ist der Ausfall des Netzwerks. Trotz der zunehmenden Attacken verstärken die Unternehmen ihre Sicherheitsmaßnahmen nicht. Gaben im Jahr 2002 noch 27 Prozent der Unternehmen an, mehr in die IT-Sicherheit investieren zu wollen, sind es jetzt nur 24 Prozent. Gleichzeitig stieg die Zahl der Firmen, die weniger oder gleich viel ausgeben werden, von 58 auf 68 Prozent. Hintergrund: Die Unternehmen treten allgemein auf die Kostenbremse, sparen somit auch bei vorbeugenden Sicherheitsmaßnahmen.

Der Grad der IT-Sicherheit wird von der Höhe der Investitionen bestimmt – und diese schrumpfen. Nur 15 Prozent der Unternehmen gehen davon aus, dass sich Sicherheit auch wirtschaftlich rechnet. Sie rechtfertigen ihre Sicherheitsinvestitionen über den Return on Investment. Die Praxis bei den Budgetberechnungen der meisten Unternehmen sieht jedoch anders aus: Das erste Ziel der Sicherheitsmaßnahmen ist für rund drei Viertel der Befragten Risikobegrenzung. Sie sehen bei Sicherheitsinvestitionen eher die Kosten als den Nutzen. Die Folge: Von Vorsorge kann bei der IT-Sicherheit kaum gesprochen werden. Deutsche Firmen betreiben eher Schadensbegrenzung.

Ein weiteres Problem für die Unternehmen: IT-Sicherheit wird häufig nur als Chefsache gesehen. Der einzelne Mitarbeiter fühlt sich nicht verantwortlich für die Sicherheit seiner Daten. 27 Prozent der Unternehmen beklagen einen Mangel an generellem Problembewusstsein bei ihren Mitarbeitern, wenn es um die IT-Sicherheit geht. Die Folge: Drei Fünftel der befragten Firmen wollen innerhalb der nächsten 12 Monate das Sicherheitsbewusstsein durch Richtlinien und Verfahren bei ihren Mitarbeitern verbessern.