7 Mythen der IT-Sicherheit und effektive Gegenmaßnahmen

Cohesity untersucht Wissen zum Thema IT-Sicherheit bei Angestellten

Cohesity befragte 1.000 Mitarbeitende in Deutschland und untersuchte deren Wissen zum Thema IT-Sicherheit. Dabei kamen einige gefährliche Mythen zu Tage, die für Organisationen schwerwiegende Folgen haben können.

„Die große Zahl an Menschen, die hartnäckigen Mythen und Halbwissen Glauben schenkt, stellen eine enorme Gefahr dar und zeigen, dass Wissen zum Thema Cybersecurity im gesamten Unternehmen vermittelt werden muss und die Verantwortung nicht nur auf die IT-Abteilung abgeschoben werden darf“, sagt Patrick Englisch, Director & Head of Technology Sales Central Europe bei Cohesity.

Im Folgenden stellen wir euch die Mythen vor. Anschließend sagen wir etwas zu geeigneten Maßnahmen. Außerdem gibt es am Ende eine kleine Markteinschätzung von uns.

Mythos 1: „Für unser Unternehmen besteht keine Gefahr“

Laut der Umfrage unterschätzen deutsche Mitarbeitende deutlich die Gefahren für das eigene Unternehmen. So glauben 53 Prozent nicht, dass ein Ransomware-Angriff die Geschäftsprozesse ihres Unternehmens lahmlegen könnte. 24 Prozent sehen keinen möglichen Imageschaden und 18 Prozent keine Beeinträchtigung des Umsatzes.

Offenbar legen Mitarbeitende zu großem Vertrauen in die Sicherheitssysteme des Unternehmens. Doch diese können nicht alle Angriffe blockieren. So lassen sich etwa mit Hilfe von KI auf Basis allgemein verfügbarer Informationen in sozialen Medien individuelle Botschaften an Mitarbeitende automatisch erstellen und versenden. Diese Phishing-Angriffe sind sowohl für die Opfer als auch die Abwehrsysteme immer schwerer zu erkennen.

Mythos 2: „Nur große Firmen werden angegriffen“

15 Prozent der Deutschen gehen davon aus, dass nur große Unternehmen angegriffen werden. Mehrere aktuelle Fälle zeigen jedoch eindeutig, dass auch mittelständische deutsche Firmen regelmäßig von Ransomware-Attacken betroffen sind und sogar insolvent werden können.

Diese Fehleinschätzung der Gefahrenlage zeigt, dass viele Mitarbeitende immer noch davon ausgehen, dass Cyberkriminelle gezielt nur bestimmte Firmen angreifen würden. Doch automatische Tools und KI haben die Situation grundlegend verändert. Hacktivismus ist real. Angreifer wie so genannte Script-Kiddies scannen das gesamte Internet auf mögliche Sicherheitslücken und greifen wahllos jedes Unternehmen an, das eine offene Schwachstelle aufweist.

Mythos 3: „Macs, USB-Geräte und selbst WLANs sind sicher“

Ein ähnlich veralteter Wissensstand zeigt sich bei der Einschätzung der Gerätesicherheit. So glauben nur 36 Prozent der Deutschen, dass Mac-Geräte angreifbar sind.

Bei anderen Geräten sieht es nicht viel besser aus: Nur 41 Prozent halten Mobiltelefone für gefährdet, 49 Prozent USB-Geräte und je 52 Prozent Collaboration-Plattformen oder WiFi. Selbst bei PCs und Websites bleiben die Nennungen unter zwei Drittel, obwohl alle diese Systeme in der Praxis für Angriffe genutzt werden.

Die vermeintlich höhere Sicherheit gegenüber Windows-Geräten in den 80er und 90er Jahren lag daran, dass sich der Aufwand für Angreifer wegen der vergleichsweise geringen Verbreitung damals nicht lohnte. Nicht zuletzt dank KI sind diese Zeiten lange vorbei. Das Cracken von Systemen war noch nie so einfach und günstig möglich wie heute. Und es droht, noch schlimmer zu werden.

Mythos 4: „Security ist IT-Sache“

Ein Grund für diese Haltung ist mangelndes Verantwortungsbewusstsein: Die meisten Befragten sehen im IT- (39 Prozent) oder Cybersecurity-Team (34 Prozent) die Hauptverantwortlichen für den Schutz des Unternehmens. Nur 10 Prozent sind sich darüber im Klaren, dass jeder im Unternehmen gleichermaßen für die Sicherheit verantwortlich ist. Schließlich kann schon ein unvorsichtiger Klick auf einen Link verheerenden Schaden für das Unternehmen verursachen. Denn selbst die modernsten Sicherheitssysteme erkennen nicht 100 Prozent aller Gefahren.

Mythos 5: „Unternehmen sollten Lösegeld zahlen“

Nach einem Ransomware-Angriff sehen viele Mitarbeitende das Bezahlen des geforderten Lösegelds als schnellsten Weg zur Wiederherstellung der Daten. 13 Prozent glauben sogar, die Begleichung der Forderung würde auf jeden Fall die Daten wieder unversehrt zurückbringen.

In Wirklichkeit gibt es jedoch keinerlei Garantie, dass Cyberkriminelle ihr Versprechen halten. Und selbst wenn sie eine Entschlüsselung anbieten, erhalten die betroffenen Unternehmen oft nicht alle Daten unbeschädigt wieder zurück.

Im Gegenteil: Wer einmal zahlt, bei dem ist mehr zu holen. Oft folgen der ersten Forderung weitere. Und um noch mehr herauszuholen, werden die Daten parallel im Darknet zum Verkauf angeboten.

Mythos 6: „Patches reichen aus“

Zeitnahe Updates sind ein wichtiges Instrument, um sich vor Angriffen zu schützen. Doch sie wiegen Mitarbeitende auch in falscher Sicherheit. So glauben 80 Prozent, das eigene Unternehmen hätte ausreichende Security-Maßnahmen, um gefährliche Cyberangriffe zu verhindern.

Doch Patches oder auch bestehende Firewalls und Intrusion-Prevention-Lösungen können oft keine Zero-Day-Attacken abwehren. Für unbekannte oder kürzlich entdeckte Schwachstellen gibt es weder Patches noch Angriffsmuster oder Virensignaturen. Zudem steigt die Gefahr neuartiger und sich ständig verändernder Angriffe durch KI-Systeme erheblich.

Mythos 7: „Backups stellen alle Daten wieder her“

Zu zuversichtlich sind Mitarbeitende in Deutschland beim Thema Recovery. So vertrauen 78 Prozent darauf, dass sich ihr Unternehmen von einem gefährlichen Cyberangriff wieder erholen kann. Cyberkriminelle haben dies erkannt und verschlüsseln häufig zuerst die Backup-Daten, damit das Opfer sie nicht einfach wieder aufspielen kann.

Vertrauen ist gut. Maßnahmen sind besser!

Eine effektive IT-Sicherheitsstrategie muss immer auch Lösungen zur Anomalie-Erkennung, Zero Trust und Multifaktor-Authentifizierung sowie ein Rollen- und Berechtigungskonzept beinhalten. Rechte sollten nach dem Least-Privilege-Prinzip vergeben werden – genauso wie der Zutritt zu bestimmten Bereichen und Zugang sowie Zugriff auf Informationen (Need-to-Know-Prinzip).

Microsegmentierungen helfen, den potentiellen Schaden auf ein Minimum einzugrenzen.

Kernprozesse und sensible Daten benötigen ein höheres Schutzniveau. Schutzbedarfsfeststellungen und Risikoanalysen helfen bei der Identifikation besonders kritischer Assets.

Unveränderliche Backups, ein sicherer (Cyber-)Tresor und ein Clean Room, der die wichtigsten Anwendungen, Daten und Systeme zur Wiederherstellung enthält, sind nur ein Teil des Maßnahmenkatalogs. Die erfolgreiche Sicherung von Daten und deren Wiederherstellung müssen regelmäßig getestet werden.

Kontinuierliche Evaluierung Ihrer Angriffsfläche, z. B. mit automatisierten Penetrationtests helfen Ihnen, Ihr Attack Surface zu erkennen und Schwachstellen gezielt zu schließen.

Last not least: Auch ein bisschen Aufmerksamkeit schadet nicht. Stete Awareness-Trainings halten die Mitarbeitenden wachsam.

„Entsprechend sollten alle Mitarbeitenden bei der Abwehr von Cyberbedrohungen eingebunden werden. Regelmäßige Fortbildungen und Security-Trainings als fester Bestandteil der gelebten Unternehmenskultur sind notwendig, um sich bestmöglich vor den heutigen KI-basierten und automatisierten Attacken zu schützen”, betont Englisch.

Allerdings gehört auch eine gesunde Fehlerkultur dazu. Sonst taugt die beste Schulung nichts.

Und bitte zahlen Sie keine Lösegelder. Jedenfalls nicht überstürzt. Professionelle Unterhändler helfen bei der Verhandlung mit den Angreifern. Sie sind im Umgang mit notorischen Lügnern und Betrügern geschult.

Vom Backup zur Cybersicherheit

Steigende Datenmengen und die Zunahme von Cyber-Bedrohungen weichen die Grenzen zwischen Silos wie Storage bzw. Backup und IT-Sicherheit auf. Die Angst vor potentiellen Schäden schürt den Bedarf an robusten Sicherheitsmaßnahmen, die immer öfter auch in Backuplösungen zu finden sind. Nicht ganz unschuldig an der Entwicklung ist sicherlich Rubrik. Durch deren Immutable Backups sahen sich zahlreiche Anbieter gezwungen, ebenfalls auf den davonrauschenden Cybersicherheitszug aufzuspringen.

Die Strategien waren durchaus unterschiedlich. Während Veeam lange auf WORM herumritt, integrierten immer mehr Anbieter KI in ihre Plattformen. Damit wollte man Angriffe möglichst früh erkennen und abwehren.

Diese letzte Verteidigungslinie ist sicher nicht ganz unwichtig. Immer öfter werden Backups direkt zum Ziel von Angriffen. Und ein guter Schutz ist immer mehrschichtig.

Inzwischen positionieren sich immer mehr Entwickler von Backuplösungen als Cybersicherheitsplattform. Diese Konsolidierung macht auch durchaus Sinn. Die Trennung von IT-Sicherheit und Infrastrukturverantwortung war schon immer ein Risiko. Es wird auch nicht die letzte Konvergenz sein, die wir in diesem Bereich sehen. Effektive Sicherheit ist nur mit einem ganzheitlichen Blick und Konzept möglich!

Die Marktentwicklung indes bleibt spannend.

Backup-Markt 1. Hälfte 2025

In der Vergangenheit dominierten Veeam und Veritas den globalen Markt für Datensicherung und -wiederherstellung. Bis 2023 war Veritas der unangefochtene Sieger. 2024 übernahm zum ersten Mal Veeam die Spitze.

Nach der Übernahme des Enterprise Data Protection Business von Veritas inkl. Veritas NetBackup, Veritas NetBackup Appliances und Veritas Alta Datensicherung durch Cohesity betrug der kombinierte Gesamtumsatz 1,7 Mrd. USD. Vergleicht man die jährlich wiederkehrenden Umsätze (Annual Recurring Revenue, ARR) beider Unternehmen, hat Veeam mit 1,75 Mrd. USD nach wie vor die Nase vorn. Cohesity mit einem ARR von 1,5 Mrd. USD bleibt Zweitplatzierter. Es bleibt abzuwarten, wie Veritas-Kunden mit der Fusion umgehen. Wir warten gespannt auf die nächsten Geschäftsberichte.