Cybersicherheit in Unternehmen: Mitarbeiter als Risiko

Wenn es um das Thema Cybersicherheit in Unternehmen geht, schaut die IT auf die Sicherheit der Software und versucht die Systeme auf dem aktuellen Patchstand zu halten. Aber im Hinblick auf die zunehmende Remote- oder Hybrid-Arbeit zwischen Firmenarbeitsplatz und Home-Office spielt der Faktor Mensch eine gewichtige Rolle. Eine Umfrage hat besorgniserregendes zu Tage gefördert: 79 Prozent der Befragten haben im letzten Jahr mindestens eine riskante Aktivität im Hinblick auf die Cybersicherheit durchgeführt.

Mir ist das Ergebnis der globalen Umfrage unter mehr als 8.000 Mitarbeitern vom Sicherheitsanbieter thycotic vor einige Zeit zugegangen. Ich stelle die Ergebnisse einfach zur Information hier im Blog ein.

Riskantes Verhalten, was ist das?

Die Liste dessen, was als riskant eingestuft wird, dürfte bei so manchem Leser ein "habe ich auch schon mal gemacht" entlocken – zumindest mir geht das so. Die Umfrage schlüsselt die riskanten Aktivitäten im Hinblick auf die Cybersicherheit, die 79 Prozent der Befragten im letzten Jahr mindestens einmal begangen haben, folgenermaßen auf:

• Mehr als ein Drittel (35 %) der Teilnehmer hat im letzten Jahr Passwörter in ihrem Browser gespeichert.
• Eine ähnliche Anzahl (32 %) hat ein Passwort für den Zugriff auf mehreren Websites verwendet,
• und etwa jeder Vierte (23 %) hat ein persönliches Gerät mit dem Firmennetzwerk verbunden.

Obwohl sich fast alle Befragten (98 %) bewusst sind, dass individuelle Handlungen wie das Anklicken von Links aus unbekannten Quellen oder die Weitergabe von Anmeldedaten an Kollegen ein Risiko darstellen, sind nur 16 % der Befragten der Meinung, dass ihr Unternehmen einem sehr hohen Risiko eines Cybersecurity-Angriffs ausgesetzt ist.

Obwohl sie wissen, dass das Anklicken von Links aus unbekannten Quellen ein Risiko für ein Unternehmen darstellt, sind nur 16 % der Befragten der Meinung, dass ihr Unternehmen einem sehr hohen Risiko von Cybersecurity-Angriffen ausgesetzt ist. Diese Annahme steht im Widerspruch zu den 79 Prozent der Befragten (82 % in Deutschland), die im letzten Jahr einen Anstieg der Anzahl von betrügerischen und Phishing-Nachrichten festgestellt haben.

Es muss mehr getan werden

Nur 44 Prozent der Befragten (38 % in Deutschland) erhielten im vergangenen Jahr eine Cybersecurity-Schulung, was bedeutet, dass mehr als die Hälfte der befragten Mitarbeiter mit der gefährlichen Situation, die durch Heimarbeit entsteht, allein gelassen wurde. Besonders kleinere Unternehmen haben ihre Mitarbeiter im letzten Jahr am seltensten in Sachen Cybersicherheit geschult. Mitarbeiter schätzen das Cyber-Risiko für ihr Unternehmen höher ein (55 % im Vergleich zu 43 %), wenn sie geschult wurden, was darauf hindeutet, dass sie ein besseres Verständnis für die Risiken entwickelt haben.

Joseph Carson, Chief Security Scientist und beratender CISO bei ThycoticCentrify, erklärt: „Menschen, die in der Cybersicherheitsbranche arbeiten, wissen, wie sich ihre Kollegen verhalten sollten, wenn es darum geht, ihre Geräte sicher zu halten und das gesamte Unternehmen zu schützen. Aber kommen diese Botschaften auch an?" Carson fordert daher von den Arbeitgebern, ihre Anstrengungen deutlich zu verstärken, um Mitarbeiter zu den bestmöglichen digitalen Sicherheitspraktiken zu ermutigen und sie an die Risiken zu erinnern, die entstehen, wenn sie ihre Netzwerke nicht sichern.

„Ein Ransomware-Angriff oder ein größerer Sicherheitsverstoß hat schwerwiegende Folgen, der sich über Jahre auswirken kann. Daher muss jedes Unternehmen Sicherheitsprozesse einführen und dafür sorgen, dass diese von den Mitarbeitern auch gelebt werden", betont Carson. „Remote oder hybrides Arbeiten stellt eine besondere Herausforderung für die Sicherheit dar, daher sollten Unternehmen darauf achten, ihren Mitarbeitern gute Praktiken zu vermitteln, egal von wo aus sie arbeiten", so Carson weiter.

KMUs mit höherem Risiko

• Mitarbeiter in kleinen und mittleren Unternehmen haben im letzten Jahr am seltensten eine Cybersecurity-Schulung erhalten.
• Knapp die Hälfte (47 %) der Mitarbeiter von Unternehmen mit mehr als 5.000 Mitarbeitern wurde in den letzten 12 Monaten geschult, verglichen mit 20 Prozent der Mitarbeiter von Unternehmen mit weniger als 10 Mitarbeitern und 32 Prozent in Organisationen mit 11 bis 50 Mitarbeitern.
• In kleineren Unternehmen wird das Risiko als geringer eingeschätzt: Nur 37 Prozent der Mitarbeiter in Unternehmen mit 1 bis 10 Mitarbeitern geben an, dass ein hohes Risiko besteht, verglichen mit 50 Prozent in Unternehmen mit mehr als 100 Mitarbeitern.
• Kleinere Unternehmen haben auch am seltensten Schutzmaßnahmen wie Multi-Faktor-Authentifizierung (MFA) oder Virtual Private Networks (VPNs) implementiert, verglichen mit größeren Unternehmen.

Persönliche Verantwortung für die Sicherheit

• Die Umfrage ergab ein übergreifendes Verantwortungsbewusstsein der Mitarbeiter.
• 86 Prozent stimmten zu, dass sie eine persönliche Verantwortung dafür tragen, dass sie ihr Unternehmen keinen Cyber-Bedrohungen aussetzen.
• 51 Prozent gaben an, dass sie immer noch der Meinung sind, dass die IT-Abteilung die alleinige Verantwortung für den Schutz des Unternehmens tragen sollte.

Der vollständige Bericht ist unter Cyber Security Team's Guide: Balancing Risk, Security and Productivity auf Anforderung von tycotic zu erhalten.

Methodik der Studie

ThycoticCentrify hat den unabhängigen Marktforschungsspezialisten Sapio Research mit der Durchführung der Studie beauftragt. Sapio befragte mehr als 8.000 Arbeitnehmer weltweit, darunter 1.000 aus Deutschland, zu ihrer Einstellung zum Thema Cybersicherheit. 81 Prozent der Befragten waren Vollzeitbeschäftigte, während 19 Prozent Teilzeitbeschäftigte waren. Die Interviews wurden im Juni 2021 online durchgeführt. Dabei wurde ein strenger mehrstufiger Screening-Prozess angewandt, um sicherzustellen, dass nur geeignete Kandidaten die Möglichkeit zur Teilnahme erhielten.