It-Sicherheitslage im Mittelstand

IT-Sicherheitslage im Mittelstand 2013 Update zur Studie von Deutschland sicher im Netz

aus dem Jahr 2012

Schirmherrschaft Ein Handlungsversprechen von gemeinsam mit

Inhaltsverzeichnis

Einleitung ................................................................................................................................ 3Befragung .............................................................................................................................. 4Generelle Erkenntnisse zur IT-Sicherheitslage 2013 ..................................... 4Positive und negative Entwicklungen ................................................................... 7Handlungsempfehlungen ......................................................................................... 11Über Deutschland sicher im Netz .......................................................................... 13

3

1. Einleitung

Deutschland sicher im Netz e.V. (DsiN) fördert den sicheren Umgang mit dem Medium Internet. Kennzeichnend für den Verein sind Handlungsversprechen der Mitgliedsunternehmen, die einen praktischen Beitrag für mehr Sicherheit im In-ternet leisten.

Die Broschüre beschreibt die Ergebnisse des „DsiN-Sicherheitschecks“, der vom DsiN-Mitglied DATEV mit Unterstützung weiterer Vereinsmitglieder wie BITKOM, SAP und Sophos konzipiert wurde und seit 2010 unter dieser Adresse online ver-fügbar ist: https://www.sicher-im-netz.de/unternehmen/DsiN-Sicherheitscheck.aspx. Mit dem Sicherheitscheck können sich kleine und mittelständische Unter-nehmen (KMU) über den Stand ihrer Informationssicherheit informieren. Ent-sprechend der Ergebnisse erhalten die KMU produktneutrale und herstellerüber-greifende Handlungsempfehlungen, um die Einhaltung von Datenschutz-und Datensicherheitsregeln zu verbessern.

Vorangegangene Studien aus den Jahren 2011 und 2012 basierten auf jeweils rund 1.400 durchgeführten IT-Sicherheitschecks. Zwischen April 2012 und März 2013 nutzten mehr als 1.500 weitere Unternehmen den Check, um sich ein Bild vom Stand ihrer Informationssicherheit zu machen. Die Daten wurden den Wer-ten der vorangegangenen Studie von 2011/2012 gegenübergestellt.

Die Ergebnisse zur IT-Sicherheitslage der mittelständischen Unternehmen ent-wickeln sich im aktuellen Zeitraum insgesamt deutlich positiver. Problematisch bleiben die E-Mail-Sicherheit und die Absicherung mobiler Geräte in KMU. Trotz zunehmender Nutzung von E-Mails und mobilen Geräten stagnieren die Schutz-maßnahmen auf relativ niedrigem Level. Teilweise sinkt das Schutzniveau sogar.

4

2. Die Befragung

Basis für die Auswertungsergebnisse sind 1.529 Befragungen von Unternehmen im Zeitraum vom 1. April 2012 bis 31. März 2013. Zeitraum, Fragen und Teilneh-merzahl waren nahezu identisch mit der Basis für die DsiN-Sicherheitsstudie 2012, was einen validen Zeitreihenvergleich der Ergebnisse aus beiden Jahren ermöglicht.

3. Generelle Erkenntnisse zur IT-Sicherheitslage 2012

Zusammensetzung nach Unternehmensgrößen

65 % (Vorjahr 75 %) der Unternehmen, die den Sicherheitscheck durchlaufen haben, sind kleine Unternehmen mit bis zu 50 Mitarbeitern. Gegenüber 2012 erhöhte sich die Größenklasse 10–50 Mitarbeiter um 5 Prozentpunkte auf 28 %, während die Größenklasse unter 10 Mitarbeiter von 52 % auf 37% abnahm. Mit 35 % (Vorjahr: 25 %) nutzen auch immer mehr größere KMU mit mehr als 51 Mit-arbeitern den Sicherheitscheck. (Grafik 1).

unter 10 MA

10 bis 50 MA

51 bis 200 MA

210 bis 500 MA

500 u.m. MA

37

28

18

8

9

52

23

12

5

8

Internet-Nutzung geschäftlich

E-Mail-Nutzung geschäftlich

Notebook-Nutzung (on/offline)

Smartphone-/Netbook-Nutzung

USB-Stick/DVD-Nutzung

Cloud Computing (seit 09/2012)

Online-Banking

Hompage/Shop/Kundenportal

Übertragung Steuermeldungen

Soziale Netzwerke

Öffentl. Ausschreibungen

Nutze Internet nicht geschäftlich

Infobeschaffung/Recherchen 8579

6658

5954

4543

3229

1717

914

20122011

Von der GL getragenes Sicherheitskonzept

Regelmäßige Schulung/Info für Mitarbeiter

Dokumentierte Sicherheitsrichtlinien

IT-Schutzziele auf Basis einerSchutzbedarfsanalyse

Regelmäßige Zertifizierungen

Keine Maßnahmen

Geregelte Verantwortlichkeiten56

49

3128

2524

2822

2018

910

2834

03/201203/2013

03/201203/201317

3739

4660

6472

9397

9198

Internet-Schutz

Einspielen Sicherheitsupdates

Datensicherung

Datenentsorgung

Betriebsfähigkeit EDV-System

Absicherung Notebook

Absicherung Smartphones/Notebook

Benutzer-Rechteverwaltung

Organisation/Compliance

E-Mail-Sicherheit

8995

9091

9599

9597

7178

8282

8388

4644

6672

9899

03/201203/2013

03/201203/2013

Datensicherheitskonzept

Absicherung EDV-Systeme

Schnelle Reaktion im Notfall

Rechtzeitige Beschaffung Ersatzteile/SW

Notfallplan

Keine Maßnahmen

Laufende Aktualisierungen

5546

8276

7462

7256

6250

511

2428

03/201203/2013

Grafik 1: Wie viele Mitarbeiter arbeiten in Ihrem Unternehmen?

5

Nahezu alle Unternehmen nutzen E-Mail und Internet geschäftlich

Die Nutzung von E-Mail (97 %, 2012: 93 %) und Internet (98 %, 2012: 91 %) zu Geschäftszwecken ist auf hohem Niveau weiter gestiegen. Für KMU sind die-se Medien heute unverzichtbar. Ebenfalls zugenommen hat die Smartphone-/Netbook-Nutzung, und zwar um 14 Prozentpunkte im letzten Betrachtungsjahr. Die Notebooknutzung konnte in den letzten 12 Monaten leichte Zuwächse ver-zeichnen (+ 8 Prozentpunkte). Stabil blieb im Vergleichszeitraum die Nutzung von USB-Sticks und DVD (Grafik 2)

unter 10 MA

10 bis 50 MA

51 bis 200 MA

210 bis 500 MA

500 u.m. MA

37

28

18

8

9

52

23

12

5

8







Online-Banking



Soziale Netzwerke




6658

5954

4543

3229

1717

914

20122011






Keine Maßnahmen


49

3128

2524

2822

2018

910

2834

03/201203/2013

03/201203/201317

3739

4660

6472

9397

9198

Internet-Schutz


Datensicherung

Datenentsorgung






E-Mail-Sicherheit

8995

9091

9599

9597

7178

8282

8388

4644

6672

9899

03/201203/2013

03/201203/2013





Notfallplan

Keine Maßnahmen


5546

8276

7462

7256

6250

511

2428

03/201203/2013

Grafik 2: Digitalisierung im Geschäftsalltag

Jedes sechste Unternehmen nutzt die Cloud

Neu in die Abfrage integriert wurde seit Oktober 2012 der Themenbereich Cloud Computing. Wie in Grafik 2 erkennbar, arbeiten bereits 17 % der befragten Un-ternehmen mit der Cloud. Allerdings sind 27 % der Cloud-Nutzer die Sicherheits-anforderungen und rechtlichen Rahmenbedingungen der Nutzung überhaupt nicht bekannt, 41 % kennen sie nur teilweise.

6

Unternehmen, die sich mit der Cloud-Nutzung beschäftigen (28 %), kennen nur zu 12 % die Sicherheitsanforderungen, 53 % sind sie teilweise bekannt, 35 % wis-sen nichts darüber (Grafik 3).

Für mehr als die Hälfte der befragten KMU (55 %) spielt Cloud Computing zurzeit keine Rolle.

Grafik 3: Rolle der Cloud sowie Bekanntheitsgrad der Sicherheitsanforderungen und rechtlichen

Rahmenbedingungen

Rolle Cloud Computing im Unternehmen

Bereits eingesetzt

Ja Teilweise

Teilweise

Nein

NeinJa

Beschäftigen sich damit

Spielt keine Rolle

Sicherheitsanforderungen und rechtlicheRahmenbedingungen von Cloud Computing bekannt?

17

28

55

35

53

32 27

41

12

7

4. Positive und negative Entwicklungen

Das Sicherheitsbewusstsein der Unternehmen hat sich in den letzten 12 Mona-ten teilweise deutlich verbessert, insbesondere hinsichtlich Benutzer- und Rech-teverwaltung, Compliance, Sicherung der EDV-Betriebsfähigkeit, Absicherung von Notebooks und Datensicherung.

Internet-Schutz (99 %), Datensicherung (99 %) und Sicherheitsupdates (97 %) sind flächendeckend verbreitet (Grafik 4).

Grafik 4: Vorhandene Schutzmaßnahmen in den befragten Unternehmen

unter 10 MA

10 bis 50 MA

51 bis 200 MA

210 bis 500 MA

500 u.m. MA

37

28

18

8

9

52

23

12

5

8







Online-Banking



Soziale Netzwerke




6658

5954

4543

3229

1717

914

20122011






Keine Maßnahmen


49

3128

2524

2822

2018

910

2834

03/201203/2013

03/201203/201317

3739

4660

6472

9397

9198

Internet-Schutz


Datensicherung

Datenentsorgung






E-Mail-Sicherheit

8995

9091

9599

9597

7178

8282

8388

4644

6672

9899

03/201203/2013

03/201203/2013





Notfallplan

Keine Maßnahmen


5546

8276

7462

7256

6250

511

2428

03/201203/2013

8

Problematisch bleibt nach wie vor die E-Mail-Sicherheit. Hier ist im Beobach-tungszeitraum eine Tendenz hin zu einem weiteren Rückgang der Schutzmaß-nahmen feststellbar (Grafik 5) - obwohl hier die geschäftliche Nutzung nochmals gestiegen ist (vgl. Grafik 2 im vorherigen Kapitel).

Grafik 5: Schutzmaßnahmen - Abweichungsanalyse

Vermutlich ist das Problembewusstsein bei den Unternehmen nicht sehr ausge-prägt, weil das Versenden von E-Mails so alltäglich ist, dass Gedanken an die Si-cherheit nicht aufkommen und deren Schutz als zu aufwändig angesehen wird. Vielleicht fehlen praktische Lösungen für KMU. Oder es herrscht schlicht die irrige Meinung vor, der Schutz des Internet-Zugangs beinhalte die E-Mail-Sicherheit, denn der Zugang zum Internet ist bei fast allen Unternehmen abgesichert, teil-weise sogar mehrfach (Grafik 6).

Virenscanner mit Spyware

Spamfilter

Firewall (DSL-Router und/oder Software)

Reporting/Monitoring

IDS/IPS

URL-Filter

Keine Maßnahmen

90

62

59

43

30

25

2

Benutzer- /Rechteverwaltung


Betriebsfähigkeit


Datensicherung

E-Mail-Sicherheit

7

6

6

5

4

schlechtere als 03/2012 bessere Sicherheitslage

-2 Nur statistisch relevante Abweichungen dargestellt

9

Grafik 6: Sicherung des Internetzugangs bei Unternehmen, die ihre Mails nicht schützen

Die allgemeine Erhöhung des Sicherheitsbewusstseins im Bereich Compliance ist vor allem auf Zunahmen in den Bereichen geregelte Verantwortlichkeiten, ein von der Geschäftsleitung getragenes Sicherheitskonzept und dokumentierte Si-cherheitsrichtlinien zurückzuführen (Grafik 7)

Grafik 7: Organisatorische Maßnahmen zu Datenschutz und IT-Sicherheit

Virenscanner mit Spyware

Spamfilter

Firewall (DSL-Router und/oder Software)

Reporting/Monitoring

IDS/IPS

URL-Filter

Keine Maßnahmen

90

62

59

43

30

25

2

Benutzer- /Rechteverwaltung


Betriebsfähigkeit


Datensicherung

E-Mail-Sicherheit

7

6

6

5

4

schlechtere als 03/2012 bessere Sicherheitslage

-2 Nur statistisch relevante Abweichungen dargestellt

unter 10 MA

10 bis 50 MA

51 bis 200 MA

210 bis 500 MA

500 u.m. MA

37

28

18

8

9

52

23

12

5

8







Online-Banking



Soziale Netzwerke




6658

5954

4543

3229

1717

914

20122011






Keine Maßnahmen


49

3128

2524

2822

2018

910

2834

03/201203/2013

03/201203/201317

3739

4660

6472

9397

9198

Internet-Schutz


Datensicherung

Datenentsorgung






E-Mail-Sicherheit

8995

9091

9599

9597

7178

8282

8388

4644

6672

9899

03/201203/2013

03/201203/2013





Notfallplan

Keine Maßnahmen


5546

8276

7462

7256

6250

511

2428

03/201203/2013

10

Schlussfolgerungen

Insgesamt zeigt sich, dass das Bewusstsein für IT-Sicherheit steigt und die unter-schiedlichen Sensibilisierungsmaßnahmen verschiedener Akteure und von DsiN bei den Unternehmen offenbar Wirkung zeigen. In diese Richtung deuten auch die erfreulichen Zuwächse bei den verschiedenen Maßnahmen zur Sicherstel-lung der Betriebsfähigkeit der EDV (Grafik 8).

Grafik 8: Maßnahmen zur Erhaltung der Betriebsfähigkeit der EDV

Die E-Mail-Sicherheit als eigenständiges Handlungsfeld für Unternehmen sollte stärker ins Bewusstsein der Verantwortlichen in Unternehmen gerückt werden. Etwa durch die Kommunikation von Beispielen aus der Praxis, wie entsprechende Maßnahmen aussehen können - nicht zuletzt, um zu zeigen, dass die E-Mail-Si-cherheit mit geringen finanziellen Mitteln und geringem Personaleinsatz sicher-gestellt werden kann.

Verzicht auf Detailauswertungen

Tiefergehende Subgruppenanalysen führen aufgrund der statistisch geringen Veränderungen zu keinen neuen Erkenntnissen. Die weiteren Werte für den untersuchten Zeitraum 2012/2013 entsprechen den Erkenntnissen der IT-Si-cherheitsstudie von 2011 und dem Update der Studie aus dem Jahr 2012. Beide Dokumente sind auf der DsiN-Website abrufbar unter der Adresse https://www.sicher-im-netz.de/unternehmen/sicherheitslage_mittelstand.aspx.

unter 10 MA

10 bis 50 MA

51 bis 200 MA

210 bis 500 MA

500 u.m. MA

37

28

18

8

9

52

23

12

5

8







Online-Banking



Soziale Netzwerke




6658

5954

4543

3229

1717

914

20122011






Keine Maßnahmen


49

3128

2524

2822

2018

910

2834

03/201203/2013

03/201203/201317

3739

4660

6472

9397

9198

Internet-Schutz


Datensicherung

Datenentsorgung






E-Mail-Sicherheit

8995

9091

9599

9597

7178

8282

8388

4644

6672

9899

03/201203/2013

03/201203/2013





Notfallplan

Keine Maßnahmen


5546

8276

7462

7256

6250

511

2428

03/201203/2013

11

5. Handlungsempfehlungen

IT-Sicherheit ist eine fortwährende Aufgabe, an der laufend gearbeitet werden muss. Dafür sind organisatorische Vorkehrungen nötig: Mitarbeiter müssen ge-schult und sensibilisiert, Sicherheitsvorkehrungen auf ihre Einhaltung kontrol-liert werden. Da Unternehmen nicht alle Probleme auf einmal angehen können, empfiehlt sich hierbei ein vierstufiges Verfahren.

In der ersten Phase geht es darum, das Risikoprofil einzuschätzen: „Welche Risi-ken gibt es und welche Risiken bestehen für mein Unternehmen?“. Die zweite Phase umfasst die Identifikation der Risikobereiche („Wo sind die Risiken?“). In der dritten Phase werden entsprechende Kontrollen und IT-Sicherheitsmaßnahmen entwickelt („Welche Maßnahmen brauchen wir?“), die in der vierten Phase umzu-setzen und in den Regelbetrieb zu integrieren sind.

Die Ergebnisse der aktuellen Studie legen nahe, dass es insbesondere auf drei Gebieten aktuellen Handlungsbedarf für KMU gibt: (1) E-Mail-Sicherheit, (2) mo-bile Endgeräte und (3) Cloud Computing.

zz Internet-Schutz erfüllt keine E-Mail-SicherheitDringend zu empfehlen ist die Verwendung einer E-Mail-Verschlüsselung zusätzlich zur Internet-Security. Verschlüsselung und digitale Signatur wer-den bei den gängigen E-Mail-Programmen standardmäßig angeboten. Auf dem Markt gibt es verschiedene, zentral verwaltete, anwendungsfreund-liche Ver- und Entschlüsselungsmethoden. Alle diese Lösungen lassen sich einfach und unkompliziert in vorhandene Geschäftsprozesse einbinden.

zz Sichere Nutzung mobiler EndgeräteDringend erforderlich ist die Erstellung eines Sicherheitskonzepts für die An-bindung mobiler Endgeräte. Der sichere Zugriff auf die Unternehmensdaten und der verantwortungsvolle Umgang mit den Geräten sind unabdingbare Voraussetzungen für deren Einsatz. So sollten besipielsweise die Endgeräte unter der Kontrolle des Unternehmens liegen, aber oft wird die Synchronisa-tion mit privaten Geräten explizit gewünscht. Eine Risiko-Nutzen-Analyse für die Synchronisation von mobilen Geräten sollte durchgeführt werden und das spezifische Sicherheitskonzept auf der Basis der individuellen Randbedin-gungen sich daran orientieren.

12

zz Cloud Computing sicher und rechtskonform nutzenCloud Computing wird für Unternehmen zunehmend wichtiger. Von den Un-ternehmen, die die Cloud nutzen oder dies planen, ist jeweils einer Mehrheit nur teilweise oder gar nicht bewusst, wie die Cloud rechtskonform und sicher genutzt werden kann. Informationsangebote wie der DsiN-Cloud-Scout unter www.dsin-cloud-scout.de können hier eine wichtige erste Orientierung bie-ten und den Weg zur einer sicheren Nutzung der Cloud weisen.

Bei der Planung konkreter Maßnahmen bieten die praxisorientierten Hinweise im DsiN-Blog unter www.dsin-blog.de sowie die Leitfäden auf www.sicher-im-netz.de praktische Tipps und Hilfen.

13

6. Über Deutschland sicher im Netz

Deutschland sicher im Netz e.V. (DsiN) hat das Ziel, bei Verbrauchern und in Un-ternehmen das Bewusstsein für einen sicheren Umgang mit Internet und IT zu fördern, sowie einen praktischen Beitrag für mehr IT-Sicherheit zu leisten.

Produktneutral und herstellerübergreifend versteht sich DsiN als Partner für die Politik, gesellschaftliche Gruppen und die Wissenschaft im Bereich Sicherheit in der Informationstechnik. So werden Synergien genutzt und Überschneidungen vermieden.

Als Ergebnis des ersten IT-Gipfels der Bundesregierung im Dezember 2006 wur-de aus der seit 2005 bestehenden Initiative der Verein Deutschland sicher im Netz e.V. gegründet. Mitglieder von DsiN sind Unternehmen, Branchenverbände und Vereine.

Die Schirmherrschaft des Bundesministeriums des Innern (BMI) hat die Rolle von DsiN weiter bestärkt. In diesem Rahmen wird der Verein auch bei der Umsetzung von Initiativen der Bundesregierung im Bereich Sicherheit in der Informations-technik unterstützend tätig.

IT-Sicherheitslage im Mittelstand 2013Eine Studie von Deutschland sicher im Netz

Autoren:Stefan Brandl, DATEV eGSven Scharioth, DsiN

Herausgeber:Deutschland sicher im Netz e.V. Albrechtstraße 10a10117 Berlin

[email protected]

It-Sicherheitslage im Mittelstand

Internet

Transcript of It-Sicherheitslage im Mittelstand