München 03.11.2021

Angriffe aus dem Internet gefährden Kritische Infrastrukturen

35 Prozent aller Unternehmen, die zu den Kritischen Infrastrukturen (KRITIS) zählen, sind in den vergangenen zwölf Monaten Opfer eines Angriffs aus dem Internet geworden – mit zum Teil gravierenden Folgen für die Betriebsabläufe. Jeder dritte Angriff stellte sogar eine erhebliche Gefahr für Dritte dar. Die häufigste Angriffsart sind dabei Phishing-Attacken. Das ist das Ergebnis einer aktuellen Studie des Research- und Analystenhauses techconsult. Die Studie wird unterstützt von dem Unternehmen Rohde & Schwarz Cybersecurity. Teilgenommen an der Umfrage haben 200 Entscheider aus KRITIS-Unternehmen mit mehr als 250 Mitarbeitenden. Ein weiteres Ergebnis: Vielen KRITIS-Unternehmen mangelt es an grundlegenden oder geeigneten Schutzmaßnahmen gegen Angriffe aus dem Internet.

München, 3. November 2021 – Knapp die Hälfte der befragten Unternehmen setzt bei der Abwehr gegen schädliche Links und Anhänge in E-Mails auf die Vorsicht der Mitarbeitenden. Diese erhielten demnach den Hinweis, prinzipiell keine Anhänge zu öffnen. Gleichzeitig sind laut der Studie die häufigsten Angriffe auf KRITIS-Unternehmen Phishing-Attacken (56 Prozent) – also eine Angriffsart, die Mitarbeitende dazu verleiten sollen, infizierte Anhänge oder Links zu öffnen. Jedes dritte Unternehmen gab an, dass das Anklicken einer solchen E-Mail bereits zu einem Sicherheitsvorfall geführt habe. In den Sektoren Gesundheit, Finanz- und Versicherungswesen, sowie Medien- und Kulturinstitutionen war das sogar bei sieben von zehn der Befragten der Fall.

„Ein Hinweis auf das Nicht-Öffnen von Anhängen ist ein völlig unzureichender Schutz vor Cyberangriffen“, warnt Peter Burghardt, Geschäftsführer von techconsult. „Der Mensch macht Fehler und solche Fehler können gravierende Folgen haben. Das ist vor allem bei Kritischen Infrastrukturen der Fall. Denn ein Ausfall oder eine schwere Beeinträchtigung von Lebensmittelhandel, Krankenhäusern, Banken oder Energieversorgern kann zu Störungen der öffentlichen Sicherheit oder zu Versorgungsengpässen führen.“ Dr. Falk Herrmann, Geschäftsführer von Rohde & Schwarz Cybersecurity, rät KRITIS-Unternehmen: „Um sich vor schädlichen Anhängen oder Links in E-Mails zu schützen, sollten diese Unternehmen stattdessen geeignete technische Mittel einsetzen.“

Ungeeignete Schutzmaßnahmen

Auch das Surfen im Internet birgt große Gefahren für KRITIS-Unternehmen. Dessen sind sich die meisten Studienteilnehmer bewusst: Nur vier Prozent der befragten Unternehmen ergreifen gar keine Maßnahmen, um sich vor Angriffen aus dem Internet zu schützen. Doch die für den Schutz gewählten Mittel sind meist ungeeignet. So schränken mehr als ein Viertel der Unternehmen die Möglichkeiten der Internetnutzung für die Mitarbeiter ein, indem sie bspw. keine aktiven Elemente wie Flash, ActiveX, JavaScript zulassen. Solche Maßnahmen haben erhebliche Folgen für die Produktivität. 40 Prozent der Teilnehmer, die aktive Elemente gesperrt haben, gaben an, dass sie nur noch einen Bruchteil der für ihre Tätigkeit relevanten Internetseiten nutzen können, was mit einem erheblichen Informationsverlust einhergeht.

Herrmann warnt: „Restriktive Maßnahmen bei der Internetnutzung sind eine Gefahr für die Wettbewerbsfähigkeit eines Unternehmens. Solche Einschränkungen bei der Internetnutzung sorgen nicht nur für ineffektives Arbeiten, sondern auch für Frustration bei den Mitarbeitenden. KRITIS-Unternehmen sollten stattdessen technische Mittel einsetzen, um das Internet sicher nutzen zu können – am besten geeignet ist ein virtueller Browser.“

Virtueller Browser schützt vor Gefahren aus dem Internet

Ein virtueller Browser erlaubt das Surfen im Internet, ohne dass Hacker Zugriff auf die Unternehmensnetzwerke erlangen können. R&S®Browser in the Box von Rohde & Schwarz Cybersecurity etwa schließt die Sicherheitslücke „Internet“, indem er eine „digitale“ Quarantäne für Hackerangriffe ermöglicht. Auf der Rechnerebene erfolgt hier eine komplette Isolation, sodass Schadsoftware vom restlichen PC des Nutzers ferngehalten wird. Zusätzlich wird auf der Netzwerkebene der Zugang zum Internet vom Intranet getrennt. Das interne Unternehmensnetzwerk (Intranet) ist somit komplett vom Internet getrennt. Dieser Mechanismus schützt auch vor Angriffen via E-Mail-Anhängen oder bei Webkonferenzen mit Mikrofonnutzung und Webcam-Unterstützung.

Das Sicherheitsrisiko ist in den verschiedenen Branchen sehr unterschiedlich hoch. Während insgesamt 35 Prozent der KRITIS-Unternehmen laut eigenen Angaben

von erfolgreichen Cyberangriffen betroffen waren, haben bei den Branchen Transport und Verkehr sowie Wasserwirtschaft mehr als die Hälfte aller Unternehmen einen Angriff erlitten. Im Ernährungssektor sind sogar 80 Prozent betroffen.

Browser ist Einfallstor Nr.1

Insbesondere Unternehmen aus Transport und Verkehr sind in den vergangenen zwölf Monaten von Schadsoftware befallen worden, die über den Webbrowser eigeschleust wurde. Mehr als die Hälfte der befragten Unternehmen aus dieser Branche erlebte eine solche Drive-by-Download-Attacke. Bei dieser Angriffsmethode wird vom Nutzer unbeabsichtigt über den Webbrowser Schadsoftware heruntergeladen, und zwar durch das bloße Aufrufen einer dafür präparierten Webseite.

„Der Browser ist das Einfallstor Nr.1 für Schadsoftware in die Unternehmensnetzwerke“, betont Herrmann. „Die Studie zeigt deutlich: Bei KRITIS-Branchen besteht dringender Handlungsbedarf, um Cyberkriminellen dieses Tor zum hochsensiblen Unternehmensnetzwerk zu verschließen.

Hier geht es zum Download der Studie.

Jetzt herunterladen

Ansprechpartner für Presse und Medien

Rohde & Schwarz

Rohde & Schwarz steht in seinen drei Divisionen Test & Measurement, Technology Systems und Networks & Cybersecurity für eine sichere und vernetzte Welt. Seit über 90 Jahren verschiebt der global agierende Technologiekonzern bei der Entwicklung von Spitzentechnologie die Grenzen des technisch Machbaren. Seine führenden Produkte und Lösungen befähigen Kunden aus Wirtschaft, Behörden und hoheitlichem Umfeld zur Gestaltung ihrer technologischen und digitalen Souveränität. Das Familienunternehmen mit Hauptsitz in München handelt unabhängig, langfristig und nachhaltig. Im Geschäftsjahr 2023/2024 (Juli bis Juni) erwirtschaftete Rohde & Schwarz einen Umsatz von 2,93 Milliarden Euro. Zum 30. Juni 2024 betrug die weltweite Zahl der Mitarbeitenden mehr als 14 400.

R&S® ist eingetragenes Warenzeichen der Firma Rohde & Schwarz GmbH & Co. KG.

Networks & Cybersecurity

Mit seinen Tochterunternehmen LANCOM Systems, Rohde & Schwarz Cybersecurity und Rohde & Schwarz SIT bündelt der Konzern seine Kompetenzen in einer Division. Dieses konzentrierte Know-how ist entscheidend, um zum führenden Anbieter von Netzwerk- und Cybersicherheitstechnik für Unternehmen, Behörden und Organisationen in Europa zu werden.