Standortsicherheit bei 7 von 10 Unternehmen mangelhaft

99 Prozent Klickrate bei E-Mail-Phishing-Tests, 80 Prozent erfolgreiche Voice-Phishing-Simulationen und mehr als 450 geschlossene IT-Schwachstellen – die Admijalo Dienstleistungs GmbH hatte auch 2024 wieder alle Hände voll zu tun.

Das Unternehmen aus Ostwestfalen-Lippe hat sich auf die ganzheitliche Informationssicherheit für kritische Infrastrukturen und Mittelstand spezialisiert. Neben E-Mail- und Voice-Phishing-Trainings bietet der IT-Security-Spezialist Unternehmen auch die Möglichkeit, sich wie bei einem realen Hackerangriff attackieren zu lassen. Das Kundenportfolio reicht von Genossenschaftsbanken und Sparkassen über Steuerberater bis hin zu Autohäusern.

Die Ergebnisse überraschen Geschäftsführer Felix Jancker nicht: „Deutschland hat ein Cyberabwehr-Problem.“

Cyberkriminalität ist größte wirtschaftliche Bedrohung

Cyberkriminalität hat sich 2024 zur größten wirtschaftlichen Bedrohung mit der höchsten Eintrittswahrscheinlichkeit für deutsche Unternehmen entwickelt. 179 Milliarden Euro Schaden wurden 2024 auf Grund von Cyberangriffen verursacht. Mehr als jedes siebte Unternehmen wurde Opfer von digitalem Diebstahl (lt. Bitkom).

Admijalo-Gründer René Hippen erlebt das hautnah bei Kunden vor Ort: „Vor einigen Jahren stand vor allem die Prävention von Angriffen im Vordergrund. Heute sprechen wir immer mehr über die Nachsorge, Backup-Strategien und ein funktionierendes Incident Management.“ Hippen ist bereits seit vielen Jahren im IT-Security-Geschäft tätig. Als Teil der Cyber-Reserve der Bundeswehr ist er wie sein Geschäftspartner Jancker jedoch nicht nur angesichts der digitalen Angriffe besorgt.

Neue Gefahr durch analoge und digitale Angriffskombinationen

„Angreifer sind den Sicherheitsmaßnahmen der Unternehmen schon längst enteilt”, so Hippen. Physische Standortsicherheit sei dabei im Zeitalter der Digitalisierung leider ein unterschätzter Faktor in der Informationssicherheit. „Die Täter sitzen nicht mehr nur am Computer und knacken Firewalls.” Vielmehr finde heutzutage eine Kombination aus analogem und digitalem Vorgehen statt, um Systeme zu kapern und sensible Daten zu stehlen. Die Hacker gehen dabei verdeckt vor und verschaffen sich unbemerkt Zugang zu Büros oder Produktionshallen.

Solche Angriffe nehmen immer weiter zu und müssen daher genauso regelmäßig trainiert werden wie das allseits bekannte E-Mail-Phishing, mahnt Hippen. Dafür eigenen sich unter anderem sogenannte Physical Assessments. Die gezielten Standorttests hat Hippen auch 2024 bei Kunden vor Ort durchgeführt. Aufgrund seines militärischen Hintergrunds kann er dabei genauso organisiert und gezielt vorzugehen, wie die Angreifer – natürlich mit vorheriger Erlaubnis. Seine Erfolgsquote: 71 Prozent.

Im Klartext: In 7 von 10 Fällen konnte Hippen unbemerkt in Produktionshallen, Server- oder Büroräumen gelangen und wieder hinaus. Unbemerkt deshalb, weil er dabei weder Einbruchsspuren hinterließ noch von Überwachungskameras gefilmt wurde. Einige seiner simulierten Angriffe fanden sogar tagsüber zu Büro- beziehungsweise Geschäftszeiten statt.

Manipulierte USB-Sticks als Köder für Mitarbeiter

Im Rahmen der Physical Assessments platziert Hippen in Rücksprache auch manipulierte USB-Sticks in den Gebäuden. Solche sogenannten USB-Drops sind ein unscheinbares Angriffsmittel und können gravierende Folgen für Unternehmen haben. Mitarbeiter stecken die manipulierten USB-Sticks ein und Hacker verschaffen sich unbemerkt Zugriff auf Firmennetzwerke.

Im simulierten Angriffsfall von Admijalo wurde 2024 mehr als jeder vierte USB-Stick genutzt. In einem Fall vergingen gerade einmal zehn Minuten von der Platzierung bis zur Nutzung des Sticks.

Alarmstufe dunkelrot!

„Wir haben Alarmstufe dunkelrot“, gibt sich Jancker nicht nur angesichts der eigenen Ergebnisse pessimistisch. Und was rät der Experte? „Als ersten Schritt sollten sich Unternehmen einen Überblick verschaffen: Was wird bereits getan? Was muss aus gesetzlicher Sicht umgesetzt werden? Und was sollte darüber hinaus implementiert werden, um im Falle eines Angriffs den Schaden möglichst gering zu halten”, empfiehlt Jancker. „Gehen Sie auch mit Ihrem IT-Dienstleister oder einem externen IT-Security-Spezialisten ins Gespräch. Erklären Sie Informationssicherheit zur Chefsache.“

Und wer der Meinung sei, dass es einen schon nicht treffen werde, „der kann sich ja gerne einmal von Profis angreifen lassen”, so Jancker. Das Admijalo-Team stehe bereit.