Basierend auf der aktuellen Studie "Net Losses – Estimating the Global Cost of Cybercrime" des Center for Strategic and International Studies (CSIS) bremst Cyberkriminalität Innovationen und wirkt sich negativ auf Wettbewerb und Wachstum in Volkswirtschaften rund um den Globus aus. Die globalen jährlichen Schäden durch Cyberkriminalität schätzen die Studienautoren auf über 400 Milliarden US-Dollar. Die G20-Länder erleiden die größten Verluste: Allein die USA, China, Japan und Deutschland verzeichnen jährliche Schäden im Wert von 200 Milliarden USD. Deutschland verliert laut Report 1,6 Prozent des Bruttoinlandsprodukts. Laut CSIS werden 15 bis 20 Prozent der Wertschöpfung im Netz durch Cyberkriminalität vernichtet.
So schnell geht es mit der Cyberkriminalität. Ein Knopfdruck, und alle Persönlichkeitsrechte sind geraubt, verändert und missbraucht. Ein Knopfdruck, und es entstehen echte wirtschaftliche und ruinöse Schäden in Milliardenhöhe, jedes Jahr. Die Betroffenen merken nichts oder sie merken es zu spät. Der Schaden ist dann oft bereits immens. Spannend auch: Man kann sich schützen, aber bei vielen Unternehmen steht das Thema noch nicht auf der Agenda. Wenn es um ihre eigene Sicherheit geht, sind die Unternehmen leider oft blauäugig und wiegen sich in falscher Sicherheit – Wirtschafts- und Cyberkriminalität werden zu oft als "Problem der Anderen" angesehen.
Die manchmal beispiellose Naivität von Firmen und der sorglose Umgang mit ihren Daten und Sicherungssystemen führt dazu, dass Cyberkriminalität ein "Verbrechen mit Zukunft" ist. Wussten Sie, dass Cyberkriminalität auch den Geschädigten zum Täter macht? Datenschutzrechtliche gesetzliche Bestimmungen werden fast nie eingehalten und rücken denjenigen, der durch Cyberkriminalität geschädigt wird, selbst in die Kriminalität.
Die RiskNET-Redaktion sprach mit Dr. Hubert-Ralph Schmitt, Vorstand der BANK SCHILLING & CO Aktiengesellschaft und der Dr. Schmitt Versicherungsmakler Gruppe.
Statistische Erhebungen zum Thema Cyberkriminalität gibt es nicht viele. Wie bedrohlich ist die sogenannte Cyberkriminalität tatsächlich? Handelt es sich bei Cyberkriminalität tatsächlich um ein unterschätztes Risiko, wie häufig behauptet?
Hubert-Ralph Schmitt: Leider existieren keine seriösen statistischen Erhebungen zum Thema Cyberkriminalität. Es gibt lediglich nur annäherungsweise Daten. Im Kern ist jedes Unternehmen und jede private Person mit dem Thema Cyberkriminalität betroffen. Es ist ein alltägliches Problem geworden.
Allerdings bedroht Cyberkriminalität nicht jeden gleich. Je nach Branche und je nach Unternehmen ist die Risikoeinschätzung sehr unterschiedlich. Im Technologie-, Konzeptions- und Maschinenbaubereich sind logischerweise die Gefahren höher einzuschätzen als beispielsweise im Bereich eines Hotelbetriebes.
Cyberkriminalität ist trotzdem in allen Bereichen ein völlig unterschätztes Risiko, denn der Umgang mit den Daten und der Umgang mit der eigenen Informationstechnologie, die heute in jedem Bereich unabdingbar ist, unterliegen der Gefahr, dass die Technologie entsprechend kriminell manipuliert wird.
Aus welchen Ländern kommen die meisten Cyber-Angriffe?
Hubert-Ralph Schmitt: Der Presse ist immer wieder zu entnehmen, dass die Cyberangriffe vor allem aus China beziehungsweise aus Russland kommen, daneben sprechen wir die ganze Zeit über das Thema NSA und Angriffe aus dem US-amerikanischen Staaten. Im Kern ist es vollkommen egal, woher die Cyberangriffe kommen. Die Cyberangriffe kommen genauso viel aus dem Ausland, wie aber auch aus dem Inland. Wichtig ist, dass man vor Cyberangriffen entsprechend präventive Maßnahmen ergreift.
Welche Industriebereiche sind von Cyberkriminalität besonders betroffen?
Hubert-Ralph Schmitt: Selbstverständlich gibt es Industriebereiche, die von Cyberkriminalität etwas stärker betroffen sind, wie beispielsweise die Rüstungsindustrie, die Atomindustrie und Unternehmen, die ihre Kernkompetenzen im Bereich Forschung und Entwicklung haben. Aber auch andere Branchen sind von Cyberkriminalität betroffen. Denn Cyberkriminalität betrifft ja nicht nur das Ausspähen von Daten, sondern auch beispielsweise Hacking im Bereich des Zahlungsverkehrs, etwa durch Ausspähen der Kontodaten oder "Abräumen" der Bankkonten. Damit ist Cyberkriminalität in der Regel gleich verteilt auf alle Gewerbe- und Wirtschaftsbereiche.
Sie schreiben in Ihrem Buch "Raubzug der Algorithmen", dass Geschädigte im Bereich Cyberkriminalität nicht selten zu Tätern werden. Wie das?
Hubert-Ralph Schmitt: In der Bundesrepublik Deutschland und in den meisten europäischen Staaten unterliegen alle Unternehmen und Privatpersonen Datenschutzgesetzen. In Deutschland regelt vor allem das Bundesdatenschutzgesetz (BDSG) zusammen mit den Datenschutzgesetzen der Länder den Umgang mit personenbezogenen Daten. Wer gegen das Datenschutzgesetz verstößt, macht sich strafbar und rutscht somit in die Kriminalität. Wer Daten verarbeitet und speichert, muss dafür sorgen, dass diese Daten nicht in fremde Hände gelangen. Werden diese Daten geraubt, ist dies ein klarer Verstoß gegen das Datenschutzgesetz. Der Geschädigte wird zum Täter.
Was sind die wesentlichen Herausforderungen für das Risikomanagement im Unternehmen? Mit welchen Werkzeugen und Methoden können Risiken aus dem Bereich Cyberkriminalität präventiv erkannt werden?
Hubert-Ralph Schmitt: Die wesentlichen Herausforderungen für das Risikomanagement in einem Unternehmen sind die Definition von Szenarien sowie eines "Schlachtplans" für den Notfall. Ein solcher Notfallplan ist ein wichtiges Werkzeug, mit dem ein Unternehmen auf plötzlich eintretende Angriffe schnell und angemessen reagieren kann. So sollte ein Unternehmen analysieren, welche Probleme dem Unternehmen durch den Diebstahl der Daten sowie einen möglichen Verlust von Renommee und Ruf entstehen können.
Es muss eine klare Strategie für den Umgang mit einem Schadensszenario entworfen werden. Es muss eine Strategie vorhanden sein, die auch definiert, wie im Notfall mit der Presse oder der Staatsanwaltschaft umgegangen wird. Oder wie verhält sich das Unternehmen in der Öffentlichkeit und last but not least, wie verhält man sich gegenüber seinen eigenen Mitarbeitern. Dies sind die wesentlichen Herausforderungen für das Risikomanagement.
Prävention ist das oberste Gebot. Wie kann sich ein Unternehmen vor Cyberangriffen schützen?
Hubert-Ralph Schmitt: Selbstverständlich ist Prävention das oberste Gebot. Im Kern wird ein jedes Unternehmen schon im Sinne der eigenen Sicherheit darauf achten, technisch die besten Lösungen darzustellen. Ob ein Unternehmen sich im Endeffekt vor Kriminalität zu 100 Prozent schützen kann, mag jedoch dahin gestellt sein.
Welche Versicherungslösungen bietet der Markt in der Zwischenzeit zur Abdeckung der finanziellen Risiken aus Cyberkriminalität an?
Hubert-Ralph Schmitt: Als Versicherungsmakler und Versicherungsprüfungsgesellschaft unterstützen wir Unternehmen seit vielen Jahren, Versicherungslösungen für die finanziellen Risiken aus Cyberkriminalität zu entwickeln und dazustellen. Der Markt für Versicherungslösungen ist offen. Alles ist im Kern darstellbar und versicherbar. Es gibt keine fertigen Lösungen für Unternehmen. Sinnvoll sind individuelle Lösungen. Und hier liegt die Stärke eines Versicherungsmaklers. Dem Versicherungsnehmer muss allerdings klar sein, dass nur der finanzielle Schaden über sogenannte Cyberversicherungen abgesichert werden kann. Der eigentliche Schaden, beispielsweise aus einem Reputationsverlust , bleibt jedoch weiter bestehen.
Dr. Hubert-Ralph Schmitt, nach Studium der BWL und Jura in Augsburg und Würzburg Eintritt 1984 in den Dresdner Bank Konzern. Seit 1990 Generalbevollmächtigter und Vorstand der Bank Schilling & Co AG, seit 2007 Inhaber der Firmengruppe. Verschiedene Veröffentlichungen im Bereich der Soziologie und BWL, verschiedene Lehraufträge an Fachhochschulen und Universitäten.
Die Buchempfehlung zum Thema:
Hubert-Ralph Schmitt: Raubzug der Algorithmen: Welchen Gefahren deutsche Unternehmen durch Cyberkriminalität ausgesetzt sind – und wie sie sich schützen können, FinanzBuch Verlag, 80 Seiten, München 2014, ISBN 978-3-89879-307-0
