Mehr als die Hälfte der Unternehmen schlampt bei Sicherheit

Der aktuelle "CyberArk Global Advanced Threat Landscape 2019 Report   " hat ergeben, dass weniger als die Hälfte der deutschen Unternehmen ihre Anwendungen im Bereich Internet of Things (IoT), Robotic Process Automation (RPA) oder Cloud ausreichend schützt. Schwächen gibt es insbesondere bei Privileged-Access-Security-Strategien. Die Gefahr: Gelangen Angreifer in den Besitz der in diesen Bereichen genutzten privilegierten Zugangsdaten können sie sich problemlos im Netzwerk seitwärts bewegen und ihre Ziele unerkannt verfolgen.

Obwohl die Untersuchung zeigt, dass Privileged Access Security für die Befragten eine zentrale Komponente einer effizienten Cybersecurity-Strategie ist, werden grundlegende Technologien für die digitale Transformation nicht geschützt:

• 96 Prozent erklären, dass die IT-Infrastruktur und kritische Daten erst dann vollständig geschützt sind, wenn privilegierte Konten und Zugangsdaten gesichert sind;
  
• Eine Privileged-Access-Security-Strategie haben aber nur 47 Prozent für geschäftskritische Applikationen und 42 Prozent für Cloud-Infrastrukturen. Noch ernüchternder sind die Zahlen bei DevOps (38 Prozent) und IoT (33 Prozent);
  
• Darüber hinaus herrscht weitgehend Unwissenheit über das Vorhandensein von privilegierten Accounts und Zugangsdaten: nur 22 Prozent ordnen sie Containern, 18 Prozent Source-Code-Repositories und 28 Prozent RPA zu. In der Tat finden sie sich aber in allen genannten Umgebungen.

Immerhin erkennen die befragten Unternehmen zunehmend die Bedeutung von Privileged Access Security. 27 Prozent aller Investitionen in die IT-Sicherheit wollen sie in den nächsten zwei Jahren in diesem Bereich tätigen.

Lieber Strafe als Prozessoptimierung

Zudem hat die Studie die "Compliance Readiness" thematisiert. Dabei ergab sich ein weiteres beunruhigendes Ergebnis: Die Hälfte der Unternehmen wäre eher bereit, Bußgelder für Compliance-Verletzungen zu bezahlen, anstatt die eigenen Sicherheitsrichtlinien zu ändern - selbst nach einem erfolgreichen Cyberangriff. In Deutschland erklären zudem nur 45 Prozent, dass sie auf die Meldepflicht von Sicherheitsvorfällen innerhalb der vorgeschriebenen 72-Stunden-Frist gemäß der EU-DSGVO adäquat vorbereitet sind.