Unzulängliche Spionageabwehr in vielen Firmen
Studie zum Thema Datenattacken: Ausmaß der Bedrohung wird in den Unternehmen deutlich unterschätzt
Datenklau: Eigene Mitarbeiter sind häufigste Täter - Unachtsamkeit und laxer Umgang mit IT-Sicherheitsvorgaben erhöhen Risiko
(23.05.11) - Wirtschaftsspionage und Datenklau werden die Unternehmen in Zukunft vor immer größere Probleme stellen. Davon sind nahezu alle deutschen Firmen überzeugt. Für mehr als ein Drittel von ihnen stehen auch die Weltregionen fest, von denen die Attacken auf die deutsche Wirtschaft ausgehen werden. Angeführt wird das Feld von China, gefolgt vom übrigen Asien, Osteuropa, den USA und Russland. Derzeit fühlt sich die Mehrheit der deutschen Unternehmen allerdings vor Attacken gefeit, nur 8 Prozent berichten von Wirtschaftsspionage oder Datenklau-Attacken in den vergangenen drei Jahren. 65 Prozent der Befragten gehen aber davon aus, dass die Bedrohung in den kommenden Jahren zunehmen wird. Zu diesen Ergebnissen kommt eine Studie der Prüfungs- und Beratungsgesellschaft Ernst & Young, die sich auf eine Befragung der Führungskräfte von 400 deutschen Unternehmen stützt.
Die deutschen Unternehmen sehen sich derzeit auf der sicheren Seite: 38 Prozent schätzen die Bedrohung für ihr eigenes Unternehmen derzeit gering ein, 52 Prozent halten sich für "mäßig" bedroht, und nur jedes zehnte Unternehmen sieht eine starke Gefährdung. Offenbar vertrauen die Manager auf die Wirksamkeit ihrer präventiven Vorkehrungen, die 83 Prozent für ausreichend halten. Andererseits: Zwei Drittel der Unternehmen gehen davon aus, dass ihre eigene Bedrohung zukünftig zunehmen wird.
Dass sich so viele Firmen gegen unerwünschte Informationsabflüsse ausreichend geschützt fühlen, findet Dr. Stefan Heißner, Leiter der Abteilung Fraud Investigation & Dispute Services bei Ernst & Young, "fern der Realität". Für ebenso wenig realistisch hält er es, dass nur acht Prozent der Befragten einräumen, in den vergangenen drei Jahren Ziel von Spionage- oder Datenklau-Angriffen gewesen zu sein. "Wir müssen daraus schließen, dass die Mehrheit der Unternehmen noch gar keine Sensibilität für diese Art von Risiko entwickelt haben", fürchtet er. "Nach unserer Erfahrung hat jedes Unternehmen mit solchen Problemen zu kämpfen – keineswegs nur Großkonzerne." Heißner geht davon aus, dass allein in Deutschland durch Datenklau jährlich ein Schaden von geschätzt über 20 Milliarden Euro entsteht.
Informationsabfluss ist allgegenwärtig
Auf jeden Fall werde das Thema nach wie vor unterschätzt. Denn generell gelte: "Es gibt heute keine Information mehr, an die man nicht herankommt. Wer das nicht grundsätzlich akzeptiert, wiegt sich in falscher Sicherheit." Zur Datengewinnung bedürfe es nicht einmal nur krimineller Methoden wie des Hacking oder des direkten Datenklaus per CD-ROM oder USB-Stick. "Oft genügt die schlichte menschliche Eitelkeit. Welche Mengen an Know-how manche Leute in Vorträgen auf Kongressen oder in Zeitschriftenartikeln preisgeben, ist gelegentlich schon dramatisch", stellt Heißner fest. Nicht minder problematisch sei das Auskunftsverhalten in Telefongesprächen, wenn aus Höflichkeit bereitwillig Auskünfte zu eigentlich sensiblen Themen erteilt werden.
Doch bereits die einfache Recherche und Zusammenschau von Daten, die frei im Internet zur Verfügung stünden, führe häufig zu erstaunlich vollständigen Informationssätzen. Das größte Gefahrenpotenzial lauert allerdings – so die Erfahrung der betroffenen Unternehmen – in der eigenen Belegschaft. Zwei Drittel von ihnen orteten Mitarbeiter als Täter. In 44 Prozent der Fälle waren es aktuell beschäftigte, in 22 Prozent ehemalige Mitarbeiter.
"Manche Mitarbeiter erhöhen beim Arbeitsplatzwechsel ihren Wert dadurch, dass sie wertvolle Informationen als Morgengabe mitbringen. Andere werden als Know-how-Träger gezielt abgeworben", erläutert Heißner. Das Abwerben von Mitarbeitern der Konkurrenz liegt mit 22 Prozent der realen Fälle in der Umfrage auf dem zweiten Platz in der Rangliste der Spionagehandlungen, nach dem direkten Diebstahl von geschäftskritischem Know-how und noch vor Hackerangriffen auf EDV-Systeme.
Rache häufiges Tatmotiv
Hauptmotive der Mitarbeiter-Täter sind die persönliche Bereicherung (53 Prozent) und Racheabsichten (31 Prozent). Wettbewerbsvorteile spielen in 18 Prozent der Fälle eine Rolle, zum Beispiel, wenn sich Mitarbeiter mit den Kundendaten oder anderem Know-how ihrer Arbeitgeber als deren Konkurrenten selbstständig machen. Nicht unbedingt amüsant: In jedem zehnten Fall spielt Unwissenheit eine maßgebliche Rolle.
Beliebteste Spionageziele sind der Vertrieb (22 Prozent) sowie Forschung und Entwicklung (17 Prozent). Das Personalwesen und die Finanzbereiche folgen gleichauf mit jeweils 13 Prozent. Dass der Vertrieb noch vor dem vermeintlichen Top-Target F&E liegt, erklärt Heißner damit, dass dieser Bereich der Verwundbarste sei: "Im Vertrieb finden sich viele Schlüsseldaten. Aus einem einfachen Grund – er muss immens viele Informationen platzieren, um seine Produkte überhaupt vermarkten zu können."
Der Datenklau im Vertrieb könne leicht auch zum Kartellthema werden, etwa wenn es um Prospektaussagen, Produktstarts oder künftige Preisbewegungen gehe. "Hinter mancher Preisabsprache, die das Kartellamt vermutet, steckt in Wirklichkeit der Datenklau von Konkurrenten", vermutet Heißner. Eine spezielle Form des unlauteren Wettbewerbs, die Produktpiraterie, stehe ebenfalls häufig in Zusammenhang mit rechtswidrig beschafften Daten.
Das Personalwesen dagegen sei als Angriffsziel besonders interessant in Branchen, in denen Köpfe den Erfolg bestimmten. Wie etwa im Beratungsgeschäft: "Wer hier beispielsweise eine Bewerberdatenbank stiehlt, kann echte Wettbewerbsvorteile und damit Gewinn für sich herausschlagen", erklärt Heißner. Ein völlig anderes Aktionsfeld aber dürfte die längste Tradition im Bereich der Wirtschaftsspionage haben: die Beschaffung von Finanzdaten als Mittel der "Konkurrenzbeobachtung".
Unzulängliche Spionageabwehr
Wie unzulänglich die Spionageabwehr in vielen Firmen noch organisiert ist, macht eine Zahl besonders deutlich: Bei 31 Prozent der Befragten, also bei fast einem Drittel, spielte "Kommissar Zufall" eine entscheidende Rolle bei der Aufdeckung der kriminellen Handlungen. Da kann es kaum beruhigen, dass es in 35 Prozent der Fälle die internen Kontrollsysteme mit ihren Standarduntersuchungen und in 27 Prozent der Fälle gezielte interne Routineprüfungen waren, die die Delikte ans Licht brachten. Erfreulicher ist da schon die Quote von 13 Prozent, in denen die Hinweise von Mitarbeitern auf die richtige Spur führten.
Selbst im Kernbereich des Datenklaus, in der Informationstechnik (IT), scheint der gefühlte Sicherheitsbedarf noch recht gering. Zwar setzen die meisten Unternehmen die Grundausstattung wie Firewalls, Passwortschutz an allen Geräten und allgemein hohe Standards der IT-Sicherheit ein. Doch an der aktiven Prävention hapert es noch allerorten. Nur in 21 Prozent der Firmen sind Brenner oder USB-Ports verboten, mit denen mobile Datenträger erzeugt werden können. Lediglich bei 18 Prozent hat die Mehrheit der Mitarbeiter keinen Internetzugang. Gerade einmal 10 Prozent sind nach den Standards des Bundesamts für Sicherheit in der Informationstechnik (BSI) zertifiziert. Und nur 6 Prozent haben so genannte Intrusion Detection Systeme installiert, die Hinweise auf die Versuche externer Eindringlinge geben können.
Freilich: "IT-Sicherheit ist nicht alles", betont Heißner. "Vorbeugende Maßnahmen sind auch in anderen Bereichen notwendig, zum Beispiel in der Personalführung, in der Gestaltung der unternehmensinternen Prozesse und der Beziehungen zu den Geschäftspartnern." In der Studie geben 94 Prozent der Unternehmen an, ihre Arbeitsverträge mit Geheimhaltungsverpflichtungen zu versehen. Doch dahinter vermutet Heißner überwiegend Generalklauseln.
Dass 81 Prozent klare Regelungen über den Umgang mit schützenswerten Informationen erlassen haben, möchte er ebenfalls hinterfragen: "Wie genau sind die schützenswerten Informationen definiert? Hier darf man das Feingefühl der Mitarbeiter nicht überfordern." Tatsächlich geben nur 34 Prozent an, Firmen- und Betriebsgeheimnisse eindeutig gekennzeichnet oder klassifiziert zu haben. Nicht zuletzt gibt es auch zu denken, dass nur jedes dritte Unternehmen seine Prozessabläufe regelmäßig durch externe Spezialisten prüfen lässt.
"Klar ist: Das Thema Spionagesicherheit stellt viele deutsche Unternehmen noch vor erhebliche Probleme", zieht Heißner das Fazit. Denn die Aktionen von Wikileaks oder der jüngst bekannt gewordene Diebstahl von Kundendaten eines Elektronikkonzerns seien nur die Spitze des Eisbergs und lediglich vorläufige Höhepunkte einer Entwicklung, die eng mit der immer dichteren elektronischen Vernetzung zusammenhänge. Jedes Unternehmen müsse sich bewusst sein, dass der absolute Schutz von internen Netzen und Datenbeständen kaum mehr möglich sei: "Die Gegenseite findet immer neue Wege, darauf zuzugreifen. Umso wichtiger ist es, alle Möglichkeiten der Absicherung zu nutzen, und nicht nur die technischen. Zum Sicherungs-Repertoire gehört es auch, die Mitarbeiter für die Risiken im alltäglichen Kontakt zur Mitwelt – selbst nach Feierabend – zu sensibilisieren, sie emotional an die Firma zu binden und ihre Wechselbereitschaft mit vernünftigen Gehältern in Grenzen zu halten." (Ernst & Young: ra)
Ernst & Young: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.