Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat kürzlich seinen alljährlichen Lagebericht vorgelegt, der zeigt, wie es im Jahr 2022 um die IT-Sicherheit in Deutschland bestellt ist. Die detaillierte Momentaufnahme enthält ausführliche Informationen zu aktuellen Bedrohungen und Sicherheitskonzepten für verschiedenste Anwendungsbereiche sowie zu den Aktivitäten des BSI. Konkret bezieht der Bericht sich auf den Zeitraum vom Juni 2021 bis zum Mai 2022 – und er macht eines besonders deutlich: Noch nie war das Risiko für Cyberattacken in Deutschland so hoch wie heute.
Wie ist laut Lagebericht des BSI die aktuelle Situation in Bezug auf die IT-Sicherheit?
Das Jahr 2022 war und ist geprägt von den Folgen des russischen Angriffskriegs auf die Ukraine, der nicht nur in den ukrainischen Kampfzonen stattfindet, sondern auch im digitalen Raum. Dabei zähle auch Deutschland vereinzelt zu den Angriffszielen, berichtet Dr. Gerhard Schabhüser, Vizepräsident des BSI im Vorwort zum BSI-Lagebericht 2022.
An der allgemeinen Bedrohungslage hat sich dadurch allerdings nichts Wesentliches geändert. Diese war bereits vor Kriegsbeginn sehr hoch und bleibt es auch weiterhin. Betroffen ist davon praktisch jeder: Privatpersonen, kleine und große Unternehmen, Organisationen aller Art sowie staatliche Institutionen. Eine entsprechend fundamentale Rolle spielt das Thema Cybersicherheit im Rahmen der fortlaufenden Digitalisierung unserer Gesellschaft.
Die Bundesregierung sehe es vor diesem Hintergrund als ihre Aufgabe, in Zusammenarbeit mit Behörden wie dem BSI „die Gesellschaft vor Gefahren im digitalen Raum“ zu schützen und für „eine starke Sicherheitsarchitektur und ein höchstmögliches Schutzniveau in der Cybersicherheit“ zu sorgen, so Nancy Faeser, Bundesministerin des Innern und für Heimat. Auch die DGC hat es sich zur Aufgabe gemacht, Unternehmen beim Schutz gegen Cyberangriffe zu unterstützen und ihre IT-Sicherheit zu optimieren.
BSI-Lagebericht 2022: Das sollten Unternehmen im Blick haben
„Die Bedrohungslage im Cyberraum ist angespannt, dynamisch und vielfältig und damit so hoch wie nie“, betont Schabhüser. Für Unternehmen bedeutet das vor allem eines: Sie müssen die eigene IT-Infrastruktur schützen und gleichzeitig den gesetzlichen Regelungen gerecht werden.
Gesetzliche Vorgaben nehmen Unternehmen in die Pflicht
Die Aufgabe des Staates ist es, den gesetzlichen Rahmen für ein möglichst hohes Niveau an allgemeiner Cybersicherheit schaffen. Wie etwa mit dem im April 2021 verabschiedeten IT-Sicherheitsgesetz 2.0, mit dem der Gesetzgeber ein neues rechtliches Fundament geschaffen hat, um für alle Betroffenen aus Staat, Wirtschaft und Gesellschaft einen möglichst wirksamen Schutz vor Cyberbedrohungen zu gewährleisten. Mit dem Gesetz werden vor allem Betreiber kritischer Infrastrukturen stärker in die Pflicht genommen. Kommen diese ihren Verpflichtungen nicht nach, drohen empfindliche Bußgelder.
Deutlich wird: Ein Großteil der Verantwortung liegt nach wie vor bei jeder einzelnen Organisation, deren IT-Infrastruktur ein potenzielles Ziel für Cyberattacken darstellt – vom kleinen Online-Shop bis zum Großkonzern, von der Stadtverwaltung bis zum Bundestag. Zum einen gilt es dabei, mithilfe geeigneter Schutzmaßnahmen den Diebstahl und Missbrauch von Daten zu verhindern, zum anderen müssen digitale Dienstleistungen und Produkte sowohl im Interesse der Anbieter als auch der Nutzer uneingeschränkt verfügbar bleiben. Dabei sollte das Thema Cyber Security unbedingt zur Chefsache gemacht werden: Denn im Ernstfall haften bei unzureichender Absicherung Entscheider mit ihrem Privatvermögen. Steigende Risiken aus dem Netz erfordern ein ganzheitliches und strategisches Vorgehen. Hier setzt das Angebot der DGC an: Mit ihrem 360 Grad Sicherheitsansatz unterstützt sie Unternehmen dabei, ihre digitale Transformation voranzutreiben – sicher und gesetzeskonform.
Top-Cyberrisiko 2022 laut BSI-Lagebericht: Ransomware
Auch wenn die Anzahl an Cyberattacken im Berichtszeitraum insgesamt deutlich gewachsen ist, greifen Hacker in vielen Fällen nach wie vor auf altbewährte Konzepte zurück. Ransomware gilt auch im Jahr 2022 als Hauptbedrohung für Unternehmen. Kein Wunder: Per Ransomware verschlüsseln Hacker die Daten eines Benutzers oder einer Organisation und fordern dann für deren Freigabe ein Lösegeld. Da es sich in der Regel um geschäftskritische Daten handelt, bleibt den Betroffenen meist nichts anderes übrig, als zu zahlen.
Sind den Hackern sensible Informationen in die Hände gefallen, wird in der Regel ein Schweigegeld verlangt. Im Fokus stehen dabei bevorzugt umsatzstarke Unternehmen, da sich hier entsprechend hohe Löse- oder Schweigegeldzahlungen erzielen lassen. Zahlen die Opfer nicht, landen ihre Daten auf Leak-Seiten, wo sie öffentlich zugänglich sind. Auch hier ist die Anzahl der Fälle im vergangenen Jahr deutlich angestiegen.
DDos-Attacken auf dem Vormarsch
Im Zusammenhang mit dem Krieg in der Ukraine kommt es außerdem vermehrt zu sogenanntem Hacktivismus, in dessen Rahmen besonders Distributed-Denial-of-Service-Angriffe (DDoS-Angriffe) zum Einsatz kommen, um Online-Dienste lahmzulegen und damit beispielsweise IT-Lieferketten zu sabotieren. In Deutschland kam es bislang zu einer kleineren Anzahl derartiger Vorfälle. Dazu zählen beispielsweise die Angriffe auf ein Unternehmen der Satellitenkommunikation sowie auf einen deutschen Mineralölhändler, die im BSI-Lagebericht 2022 genauer erläutert werden.
Generell ist die Zahl der DDoS-Attacken 2021 gegenüber dem Vorjahr mit einer Zunahme von 41 Prozent massiv angestiegen. Besonders während der Cyber Week und in der Vorweihnachtszeit haben Hacker es auf Online-Händler abgesehen, da erfolgreiche DDoS-Attacken hier mit enormen Umsatzeinbußen für die Betroffenen verbunden sind. Präventionsmaßnahmen können Unternehmen hier also im Zweifel bares Geld sparen. Was sie dabei außerdem nicht vergessen dürfen: Einen 100-prozentigen Schutz vor Cyberangriffen gibt es nicht. Aus diesem Grund sind Notfallpläne für ein koordiniertes Vorgehen im Ernstfall unerlässlich.
Zunehmende Professionalität unter Cyberkriminellen
Das BSI unterteilt Cyberkriminelle je nach eingesetzter Schadsoftware und Vorgehensweise in verschiedene Gruppen. In letzter Zeit lässt sich vermehrt eine Art Arbeitsteilung beobachten, in deren Rahmen die einzelnen Bestandteile einer Cyberattacke von jeweils spezialisierten Angreifergruppen durchgeführt werden. Diese sind untereinander vernetzt und stellen sich nach dem Motto Cybercrime-as-a-Service gegenseitig ihre Fähigkeiten oder Ressourcen wie Schadsoftware zur Verfügung. Laut BSI trägt diese Vorgehensweise maßgeblich zur Verschärfung der Bedrohungslage bei.
Mehr Schwachstellen als im Vorjahr und neue Schadprogramm-Varianten
Die Zahl der registrierten Schwachstellen war 2021 um zehn Prozent höher als im Vorjahr – mehr als die Hälfte davon mit hohem oder kritischem Score nach dem Common Vulnerability Scoring System (CVSS). Besondere Aufmerksamkeit erregte dabei die Schwachstelle Log4j, die sich in zahlreichen frei verfügbaren Software-Bausteinen befand und ein entsprechend hohes Risikopotenzial für deren Anwender mit sich brachte.
Ein weiteres Problem: Hacker entwickeln laufend neue Varianten bekannter Schadprogramme, die von IT-Sicherheitslösungen nicht erkannt werden. Im aktuellen Berichtszeitraum ist die Zahl neuer Schadprogramm-Varianten um rund 116,6 Millionen gewachsen.
Fazit des BSI-Lageberichts 2022: Digitale Resilienz durch Prävention stärken
Im Schlusswort des BSI-Lageberichts ist von einer notwendigen „Zeitenwende“ in Sachen Cybersicherheit die Rede. Es sei entscheidend, die digitale Resilienz aller Akteure in unserer Gesellschaft zu stärken. Prävention habe sich dabei als das effektivste Mittel erwiesen.
Klar ist: In Bezug auf Cybersicherheit gibt es niemals einen Status quo, auf dem man sich ausruhen kann und der langfristig das nötige Sicherheitsniveau garantiert. Vor diesem Hintergrund plant die Bundesregierung auch über das IT-Sicherheitsgesetz 2.0 hinaus die weitere Modernisierung der Cybersicherheitsarchitektur und den Ausbau des BSI zur Zentralstelle für Informationssicherheit im Bund-Länder-Verhältnis.
Unterdessen ist es die Aufgabe aller Unternehmen, Organisationen und Behörden, ebenfalls geeignete Präventionsmaßnahmen in Stellung zu bringen – um gesetzlichen IT-Sicherheitsrichtlinien gerecht zu werden und sich selbst vor den potenziell verheerenden Folgen einer Cyberattacke zu schützen. IT-Sicherheitsprofis wie die DGC unterstützen hier mit wichtigem Know-how und passenden Anwendungen.
Gerne beraten unsere Experten Sie zu allen Themen rund um Ihr individuelles IT-Sicherheitskonzept.
Nehmen Sie jetzt Kontakt auf.
