RE

SE

AR

CH

SE

RV

ICE

S Studie Endpoint Security Management 2019

Platin-Partner

Silber-Partner

Gold-Partner

Jedes zweite Unternehmen behauptet von

sich, Cyber-Attacken auf einen sogenannten

„Endpoint“ binnen eines Tages fest stellen

zu können. Endpoints – das sind klassische

Desktop-PCs, Mobile Devices wie Notebooks,

Tablets, Smartphones, aber natürlich auch

Drucker, Kopierer, Scanner, Videokameras,

Web- und IP-Cams. Dazu kommen virtuelle

Maschinen oder auch digital vernetzte

(Produktions-)Maschinen und Anlagen –

also alle technischen Gerätschaften, die in

irgendeiner Form digitale Daten verarbeiten.

Satte 49 Prozent der von uns befragten

Unternehmen wollen also so gut und sicher

auf gestellt sein, dass sie maximal 24 Stunden

benötigen, um festzustellen, dass an einem

ihrer unzähligen Endpoints im Unterneh-

mensnetz etwas nicht stimmt? Respekt.

Der Wert der mit derselben Frage konfron-

tierten Manager auf C-Level ist sogar noch

höher: 57 Prozent – also deutlich mehr als

jeder zweite – benötigen maximal einen

Tag, um Angriffe auf Endpoints als solche

zu erkennen.

Noch vor einiger Zeit hätte ich gesagt:

ein klarer Fall von Selbstüberschätzung.

Schließlich steht die Zahl der erfolgreichen

Cyber -Angriffe auf Unternehmensnetze

klar im Widerspruch zu diesen Zahlen.

Aber: Angriffs erkennung heißt ja nicht

gleich erfolgreiche Angriffsabwehr.

Und die hohen Werte sind durchaus schlüs-

sig: Mehr als zwei Drittel der Unternehmen

haben ihre Detec tion-Systeme bereits auto-

matisiert oder planen es zumindest. Die Zahl

der Unternehmen mit automatisierter An-

griffsabwehr bewegt sich ebenfalls in diesen

Regionen. Wenn menschliche Security-

Fachkräfte an allen Ecken und Enden fehlen,

muss eben die Technik helfen.

Es tut sich also was am Security-Horizont.

Im Zuge ihrer Digitalisierungsaktivitäten –

teilweise natürlich auch wegen neuer Vor-

schriften und Gesetze – nehmen viele Unter-

nehmen den Punkt „Security & Risk“ in den

Fokus. Sie setzen sich mit den Herausforde-

rungen – nicht nur am Endpunkt – ausein-

ander und analysieren ihre Ist-Situation, um

die „Wird“-Situation zu optimieren.

Die vorliegende Studie soll Denkanstöße ge-

ben und Anreize für mehr (Endpoint-)Sicher-

heit im B2B-IT-Umfeld schaffen. Vielleicht

auch in Bereichen, über die Sie sich bisher

keine Gedanken gemacht haben.

Ich wünsche eine inspirierende Lektüre!

Heilsbringer Automatisierung?

Simon Hülsbömer, Senior Project Manager Research

Editorial 3

Inhalt

Die Key Findings im Überblick ������������������������������������������������������������������6

Die Key Findings

1. Endpoint Security gehört zu den Top-3-Herausforderungen für Unternehmen................................................................................... 9

2. Wissen und Tun fallen bei Endpoint Security oftmals auseinander ........................................................................... 10

3. Budgets und Schulungen entscheiden über Sicherheit der Endpoints ....................................................................................... 12

4. Mehr als jeder Zweite hat bereits einen wirtschaftlichen Schaden erlitten .................................................................................. 13

5. Aufbau Security-Know-how und starke Passwörter sind Trumpf .......................................................................................... 14

6. Die automatisierte Endpoint Security ist lückenhaft .................... 16

7. Zeitspanne zur Angriffserkennung wird unterschätzt .................. 18

8. Zwei Drittel nutzen oder planen Endpoint Security aus der Cloud ....................................................................................... 19

Management Summary

6

Editorial

3

Studiendesign

38

Studiensteckbrief ................39

Stichprobenstatistik ............40

Blick in die Zukunft

35

Die Endpoint Security braucht den Lückenschluss.

21

Endpoint Security ist der Anfang von allem ................... 42

Ständige Suche nach Normalität ......................................46

Die Round Tables

1. Digitalisierungsstrategien teils ohne Risikoanalysen ..................... 21

2. Fast ein Viertel der Unternehmen nutzt bereits Sprachassistenten ................................................................................ 22

3. Über die Hälfte der Unternehmen ohne zentrales Security Monitoring ............................................................................. 23

4. Nur bei 17 Prozent verantwortet der Security-Manager die Endpoint-Sicherheit ...................................................................... 24

5. Jedes zweite Unternehmen von Insider-Angriffen betroffen ................................................................................................ 25

6. Neue Konzepte für Endpoint Security setzen sich langsam durch ......................................................................................26

7. Über 80 Prozent nutzen bereits Leistungen aus einem SOC .....................................................................................28

8. Fast jeder Zweite sieht (sehr) hohes Risiko für Endpoint-Angriffe ..........................................................................30

9. Ein Viertel erlaubt mobiles Arbeiten mit Privatgeräten (ByoD) ............................................................................ 32

10. Unternehmen sind offen für Next Generation Endpoint Security .................................................................................34

Weitere Studienergebnisse

20

Unsere Studienpartner stellen sich vor

49

Cisco Systems GmbH................................50

Forcepoint GmbH ...................................... 52

Matrix42 AG ................................................54

FireEye Technologie GmbH .....................56 

Sophos Technology GmbH .....................58

Die Studienreihe

60

Unsere Autoren / Sales-Team / Gesamtstudienleitung ............... 60

Unsere Studienreihe ...................63

Kontakt   /  Impressum

62

© s

hu

tte

rsto

ck�c

om

/ D

mit

riy

Ryb

in

Die Key Findings im Überblick

Management Summary

Eigenes Know-how anstelle von Outsourcing

14 Prozent haben die Endpoint Security aus gelagert, 47 Prozent setzen auf eine

regelmäßige Security-Schulung ihrer Beschäftigten� Technisch vertrauen

45 Prozent auf ein verbessertes Passwort-management, Endpoint-Verhaltensanalysen

machen nur 14 Prozent�

Wissen über Endpoint Security besser als

die Umsetzung 31 Prozent der Unternehmen wissen um die

Bedeutung von Detection & Response für Endpoint-Sicherheit, doch nur 18 Prozent

nutzen entsprechende Lösungen� Die Praxis hinkt dem Wissen auch in anderen Bereichen

der Endgerätesicherheit hinterher�

Automatisierung der Angriffserkennung, aber

nicht der Begrenzung 77 Prozent automatisieren ihre Endpoint Security oder planen dies in den nächsten zwölf Monaten�

Doch gerade bei der Schadensbegrenzung und Forensik bleibt vieles noch manuell, gerade bei geringerer Beschäftigtenzahl

und niedrigerem IT-Budget�

Nur vier Prozent lehnen Endpoint Security aus

der Cloud ab 22 Prozent sagen, ihre Endpoint Security

erlaubt keinen Cloud-Bezug� 66 Prozent der Unternehmen nutzen

dagegen bereits Cloud-Dienste für die Endpoint-Sicherheit oder sie prüfen es�

Besonders offen dafür sind C-Level-Manager mit 78 Prozent der Antworten�

Die Key Findings

Studie Endpoint Security Management 2019

1. Endpoint Security gehört zu den Top-3- Herausforderungen für Unternehmen

Bedrohungen von außen, die Balance zwischen Erlauben und Absichern sowie

die Sicherheit rund um Endgeräte im Unternehmen gelten als besonders heraus-

fordernd. Die Sicherheit von Endpoints gilt als genauso schwierig wie Cloud-

Sicherheit oder Compliance-Vorgaben. Nicht unter den Top 10 der Herausfor-

derungen sind dagegen die Bedrohungen durch Insider.

Gefragt nach den größten Herausforderungen für die IT-Sicherheit nannten die

Unternehmen weniger Themen, die mit dem Fachkräftemangel in Verbindung stehen,

wie personelle Ressourcen im Unternehmen, Aus- und Weiterbildung der Security-

Mitarbeiter oder die Akquise geeigneter externer Spezialisten und Consultants.

Selbst Security Awareness, Budgetknappheit und „Datenschutz versus Monitoring“

haben es nicht auf die vordersten Plätze geschafft. Stattdessen treiben die Unterneh-

men die externen Angriffe, das richtige Maß an Sicherheit, die Security von Endpoints

und Clouds sowie die Compliance um.

Rund 22 Prozent aller Befragten nennen die Endpoint Security als Herausforderung.

Etwas höher vertreten ist hier der Anteil der Unternehmen mit 1.000 und mehr Be-

schäftigten (24 Prozent), etwas niedriger derer mit unter 1.000 Beschäftigten (19 Pro-

zent). Überdurchschnittlich häufig (27 Prozent) wurde die Endpoint-Sicherheit von

Um frageteilnehmern aus dem Management (C-Level) genannt, im IT-Bereich waren

es 21 Prozent und in den Fachbereichen nur noch 14 Prozent.

Was sind in Ihren Augen für die Unternehmen die größten Herausforderungen in Bezug auf IT-Security?Angaben in Prozent. Mehrfachnennungen möglich. Basis: n = 554

Allgemeine Bedrohungslage von extern

25,8

Balance zwischen „erlauben“ und „absichern“

22,9

IT-Security rund um Endgeräte / Endpunkte im Unternehmen

21,7

Cloud Security (Daten, Prozesse, Infrastruktur)

21,7

Gesetzliche Vorgaben / Compliance-Anforderungen

21,7

Fehlende Security Awareness / fehlendes Training bei eigenen Mitarbeitern

21,5

Zu niedriges (IT-)Security-Budget 20,8

Risikopotenzial, das von internen Mitarbeitern & Vertragspartnern ausgeht

19,5

Verhaltens-Monitoring vs. Datenschutz

18,8

Automatische Identifizierung der riskantesten Security Events

18,8

Einbindung von Identity- und Access-Management in Gesamt- Sicherheitsstrategie

18,1

Personelle Ressourcen im Unter-neh men (Anzahl der Mitarbeiter-stellen)

17,0

Fehlende Informationen über den Wert bedrohter Daten und Prozesse

17,0

Mobiles Arbeiten 17,0

Aus- und Weiterbildung der Security-Mitarbeiter

16,6

Kompetenzen und hierarchische Stellung des obersten Security- Verantwortlichen

16,2

Allgemeine Bedrohungslage von intern

16,2

Akquise geeigneter externer Spezialisten / Consultants als Berater und Implementierer

16,1

(Zu) viele eingesetzte Lösungen (Komplexität), geringe Verknüpfung untereinander

15,9

Erkennung von kompromittierten User Accounts

14,8

Mangelnde (schnelle) Erkennung von Breaches und Infiltrationen

14,6

Priorisierung von IT-Security auf Vorstands- und Managementebene

14,3

Applikationssicherheit 14,1

9Management Summary

Studie Endpoint Security Management 2019

Weitere Studienergebnisse

1. Digitalisierungsstrategien teils ohne Risikoanalysen

Während Security-Strategien, IT-Sicherheitsrichtlinien und Digitalisierungs-

strategien bei rund 80 Prozent der Unternehmen vorhanden sind, gibt es nur bei

70 Prozent ein Konzept zur Risikoanalyse. Bei 92 Prozent sind die Digitalisie-

rungsstrategien und die Strategien für Endpoint Security miteinander verknüpft.

62 Prozent der Unternehmen haben eine Strategie für Collaboration, jeweils 54 Pro-

zent für Future Workplace und „Everything as a Service”. Eine übergreifende Digi-

talisierungsstrategie gibt es bei 81 Prozent, IT-Sicherheitsrichtlinien bei 79 Prozent

und eine Security-Strategie für Endpoints bei 78 Prozent.

Die für IT-Sicherheitsrichtlinien, Endpoint-Security-Strategien und Digitalisie-

rungsstrategien grundlegenden Risikoanalysen basieren aber nur bei 70 Prozent

der befragten Firmen auf einem eigenen Konzept. Die Risikobewertung muss jedoch

auf ein durchgehendes Fundament gestellt werden, wenn man an die Vielfalt der

Endpoints und Digitalisierungsvorhaben in den Unternehmen denkt. Hier gibt es

also Nachholbedarf.

Die Digitalisierungsstrategien und die Endpoint-Sicherheitsstrategien sind bei

44 Prozent sehr eng verknüpft, bei weiteren 49 Prozent zumindest eng. Eine ähnlich

enge Verknüpfung wäre zum Beispiel auch bei der Endpoint-Security-Strategie und

dem Konzept für die Risikobewertung wünschenswert.

Welche der folgenden Strategien und Konzepte gibt es in Ihrem Unternehmen?Angaben in Prozent. Kumulierte Werte aus den Antworten „Ja, in größerem Maße“ und „Ja, vorhanden“. Basis: n = 554

Sind in Ihrem Unternehmen Endpoint- Security- und Digitalisierungsstrategie miteinander verknüpft?Angaben in Prozent. Filter: Nur Unternehmen, in denen es beide in der Frage genannten Strategien gibt. Basis: n = 384 Digitalisierungs-

strategie80,6

IT-Sicherheitsricht- linien / -Policies

79,1

Security-Strategie für IT-Endgeräte / Endpoints

78,1

Konzept zur Risiko- analyse / -bewertung (-> Etablierung Risk IT)

69,5

Collaboration-Strategie 61,8

Future Workplace 54,0

Everything as a Service / „Nutzen statt Besitzen“

53,6

2,6 Weiß nicht

43,5 Ja, sehr eng

48,7 Ja

5,2 Nein, eher nicht

21Weitere Studienergebnisse

Blick in die Zukunft

Studie Endpoint Security Management 2019

36 Blick in die Zukunft

Wer glaubt, dass die Unternehmen in

Deutschland die Sicherheit der von ihnen

genutzten Endpoints nicht auf ihrer Agenda

haben, der irrt sich. Der Schutz der Endpoints

wird als genauso herausfordernd angesehen

wie die Sicherheit in der Cloud. Nur wird

über Cloud Security in der Öffentlichkeit

mehr gesprochen als über Endpoint-Sicher-

heit – zu Unrecht.

Die Unternehmen fürchten sich vor Attacken

auf und über Endpoints, sie sehen die Bedro-

hung durch Ransomware, Crypto-Mining und

Industriespione, die den Weg über unsichere

Endgeräte wählen, um ins Firmennetzwerk

weiter vorzudringen. 20 Prozent der Unter-

nehmen schätzen das konkrete Risiko eines

Cyber-Angriffs über Endpoints als sehr hoch

ein, nur ein Prozent meint, es sei sehr niedrig

oder nicht vorhanden.

Endpoint-Strategien müssen immer mit

einer Risikoanalyse verknüpft werden

Die Wahrnehmung einer Bedrohung über

Endpoints hat aber nicht immer die wün-

schenswerten Konsequenzen: 19 Prozent der

Unternehmen sind sich ganz sicher, dass

aktuelle oder ehemalige Mitarbeiter wichtige

Daten gestohlen, sabotiert oder vorsätzlich

gelöscht haben. Für weitere 32 Prozent ist

dies wahrscheinlich. Fragt man die Unter-

nehmen aber nach konkreten Bedrohungen,

nennen nur 41 Prozent die Innentäter.

Tatsächlich gibt es eine Lücke zwischen den

Sicherheitsstrategien und den erkannten Risi-

ken bei Endpoints. So machen rund 80 Pro-

zent Security-Strategien, IT-Sicherheitsricht-

linien und Digitalisierungsstrategien für ihren

Einsatz von Endpoints, aber nur 70 Prozent

denken an das notwendige Konzept für die

Risikoanalyse. Den Unternehmen muss klar

werden, dass es keine Security-Strategie

geben kann ohne Risikoanalyse, auch und

gerade bei Endpoints.

Vielfalt und Flexibilität bei Endpoints

führt zu neuen Risiken

Neben Servern und Workstations werden

PCs, Notebooks, Tablets, Smartphones,

Drucker, Kopierer und Scanner genutzt.

Doch auch Sprachassistenten und virtuelle

Endpoints haben Einzug gehalten und müs-

sen entsprechend in der Endpoint Security

berücksichtigt werden.

Neben den betrieblichen Endpoints gilt es

auch für den sicheren Einsatz privater

End geräte zu sorgen, denn bei 63 Prozent

der Unternehmen dürfen alle Beschäftigten

mobil, mit firmeneigenen Endgeräten oder

sogar mobil mit Privatgeräten arbeiten.

Die damit verbundenen Risiken müssen in

die Endpoint-Strategie einfließen, auch wenn

viele Unternehmen von eher positiven Er fah-

rungen mit ByoD (Bring your own Device) be-

richten.

Die Endpoint Security braucht den Lückenschluss Die Bedrohungen durch unsichere Endpoints sind durchaus bekannt, die Schutz-

maßnahmen umfassen aber nicht alle Phasen der Endpoint-Sicherheit.

Eine umfassende Risikoanalyse und durchgehende Automatisierung der Security

sind notwendig. Viele Unternehmen sind auf einem guten Weg, sie überschätzen

aber noch ihren bisher erreichten Sicherheitsstatus.

Von Oliver Schonschek