Neben Bewegungen wie der Strom- und Gaspreisbremse, Bürgergeld und 49-Euro-Ticket hält auch die Cyberwelt in 2023 die ein oder andere spannende Entwicklung für uns bereit.
Wir haben uns einmal angeschaut, was wir erwarten können und wo wir in diesem Jahr genau hinschauen sollten.
Entwicklung der Cyberkriminalität
Laut Allianz-Risiko-Barometer galten Cybergefahren als das Nr. 1 Geschäftsrisiko im vergangenen Jahr. Viele Faktoren deuten darauf hin, dass es dies im Jahr 2023 auch bleiben wird.
So wächst und gedeiht beispielsweise die innovative Dark Economy. Cybercrime-as-a-Service ist ein zunehmend gängiges Geschäftsmodell, dass die Lukrativität von Internetkriminalität erhöht und sie längst nicht nur dem „Berufsstand“ der Hackenden überlässt.
Ein bereits 2022 viel thematisiertes Phänomen sind hybride Arbeitsweisen und die neuen Kommunikationskanäle, die sie mit sich gebracht haben. Sie schaffen Cyberkriminellen zusätzliche Eintrittswege für tückische Angriffe auf Unternehmenssysteme, weshalb die Schnittstelle zwischen Menschen und Maschine weiterhin Einstiegstor Nummer 1 bleibt. Mehr als 85 Prozent aller Angriffe starten beim Faktor Mensch.
Phishing bleibt ein Dauerbrenner. Welt- und gesundheitspolitische Ereignisse gaben 2022 Kriminellen mehr denn je Gelegenheit, mit Ängsten gezielte Angriffe zu konstruieren. Hierbei wird es auch in 2023 bleiben und zum Beispiel der fortlaufende Russland-Ukraine-Konflikt und andere aktuelle Ereignisse genutzt werden können. Technische Innovationen dienen dabei zunehmend als Werkzeuge. Mit Hilfe von KI gestützten Mailgeneratoren können beispielsweise noch überzeugendere Phishingmails erzeugt werden, während Deepfakes unterstützend bei begleitenden Anrufen eingesetzt werden.
Da auch Cybercrime nach Effizienz strebt, setzen sich Supply-Chain-Angriffe als Erfolgskonzept weiter durch. Über einen Angriff auf vermeintlich schwache Glieder in der Lieferkette können so nämlich gleich mehrere Unternehmen attackiert werden.
Ransomware 2.0: Zusätzlich zum initialen Raub und zur Verschlüsselung von sensiblen Daten (sowie der Drohung, diese bei Nicht-Zahlung zu veröffentlichen) wenden sich Angreifende mit ihren Lösegeldforderungen nun auch an die Kund:innen oder Geschäftspartner:innen des eigentlichen Opfers, sollte dieses nicht kooperieren. Dabei wenden Sie zusätzliche DDoS-Attacken, Crypto-Mining oder auch Botnetze ein.
Nicht zuletzt hat das Beispiel der Attacke auf das Potsdamer Bürgeramt einen Trend unterstrichen, der sich im neuen Jahr fortsetzen wird: Angriffe auf Infrastrukturen des öffentlichen Sektors bringen öffentliches Interesse mit sich und werden daher genutzt um einen besseren Hebel bei Lösegeldverhandlungen zu haben. Dies bietet sich auch daher an, da es hier vielfach mehr Nachholbedarf in Sachen IT-Sicherheit gibt, als es bereits in der freien Wirtschaft der Fall ist.
Entwicklungen in Unternehmen
Remote-Arbeit ist nach über zwei pandemischen Jahren von Mitarbeitenden weitgehend gelernt und wird routiniert angewendet. Die Gefahr, die sich jedoch herauskristallisiert, ist, dass die Aufmerksamkeit auf sicheres Nutzen der externen digitalen Infrastrukturen nachlassen könnte.
Dennoch wird Informationssicherheit im Arbeitsalltag weiterhin einen größeren Platz einnehmen (müssen). Unternehmen erkennen daher zunehmend, dass Maßnahmen wie die Nutzung von Zwei-Faktor-Authentifizierung, verschlüsselter Kommunikation und routinierten Backups Zeit und Geld kosten. Sie werden sich folglich auch mit effizienten Prozessen beschäftigen und Bemühungen anstellen, alle Mitarbeitende hierbei im Boot zu haben und zu behalten.
Zum Glück: Die kaum zu übersehende Cybercrimeentwicklung und damit verbundene große Aufmerksamkeit führen zu größeren Budgets, die der IT-Sicherheit zur Verfügung gestellt werden können. Viele Unternehmen werden diese in sinnvolle Maßnahmen wie den Ausbau ihrer IT-Fachkräfte, Mitarbeitendenschulungen, Backup-Lösungen und Cyberversicherungen stecken.
Entwicklung Cyberversicherung
Die Entwicklung hier ist verständlicherweise untrennbar an die oben beschriebenen Entwicklungen der Cyberkriminalität und IT-Sicherheit gebunden. Neue Angriffsmechanismen und Weiterentwicklung von Ransomware und Erpressung werden also mutmaßlich zu einer Zunahme zu regulierender Schäden führen.
Ein weiterer Schauplatz wird der Einfluss des bereits erwähnten Russland-Ukraine-Konflikt auf die Cyber-Welt bleiben. Dieser kann auch im kommenden Jahr zu entsprechenden Angriffen führen, und es ist offen, ob ggf. stark betroffene Versicherer diesmal doch für die Anwendbarkeit des Kriegsauschlusses argumentieren.
Außerdem könnte die gerichtliche Durchsetzung des Datenschutzrechts in Form von privaten Verbands- und Sammelklagen zum Trend werden und nach den USA auch europaweit an Bedeutung gewinnen. Damit stiege 2023 weiterhin die Gefahr, dass Firmen sich vor Gericht gegen hohe DSGVO-Anschuldigungen verteidigen müssen.
Obwohl es hier im Jahr 2022 vergleichsweise ruhig war, bleiben auch mögliche Kumulereignisse wie Log4J, Kaseya und MS Exchange Hafnium wie in 2021 eine lauernde Gefahr, auf die die Versicherungsbranche gefasst sein muss und im Fall der Fälle eine hohe Anzahl an Versicherungsfällen gleichzeitig abwickeln können muss.
Die tendenziell zunehmenden Risiken und ihre Komplexität haben in den vergangenen Jahren für ein Wachstum der Cyberversicherungsbranche um 50 Prozent gesorgt. Auch in diesem Jahr wird nicht mit einer Abflachung dieses Trends gerechnet. Die hohe Nachfrage bringt höhere Prämieneinnahmen, aber auch mehr Schäden, die zum Teil schwer kalkulierbar sind.
Was Unternehmen mit auf den Weg gegeben werden kann
Mit gutem Beispiel vorangehen: Die Wichtigkeit von Informationssicherheit sollte insbesondere bei Führungskräften verankert werden. Nicht zu unterschätzen ist dabei nämlich eine Vorbildfunktion, die wahrgenommen werden sollte, um mit der Priorisierung des Themas positiv auf Mitarbeitende und Ihr Verhalten einzuwirken. Dieser Einfluss auf den Faktor Mensch sollte durch eine gesamtheitliche Sicherheitskultur begleitet werden, die ebenfalls im Bereich Technik und Organisation entsprechende Berücksichtigung findet.
Kein Sprint, sondern ein Marathon: IT-Sicherheit ist ein Prozess und kein Zustand: Beispielsweise im Bereich des Homeoffices sollte darauf geachtet werden, dass routinierte Arbeitsweisen nicht in Nachlässigkeit umschlagen. Externe Netzwerke und Geräte stellen besonders im Kontext unaufmerksamer Anwendung oder unsorgsamer Passwortverwaltung weiterhin ein großes Risiko dar.
Der frühe Vogel… verhindert schlimmeres: Neben der Gefahr für das Unternehmen selbst, führen zunehmende Cyberrisiken auch in 2023 und darüber hinaus zu steigender Nachfrage nach Cyberversicherungen und komplementären Präventionsangeboten wie Mitarbeiterschulungen zur Sensiblisierung. Um die Kosten für das eigene Unternehmen gering zu halten, lohnt es sich, möglichst zeitig aktiv zu werden und dem Thema auf allen Ebenen so schnell wie möglich die gebührende Aufmerksamkeit zu schenken.