Studie zeigt: Jedes dritte Unternehmen in Österreich vernachlässigt seine IT-Infrastruktur
In einer aufwendigen Untersuchung wurden die Server von insgesamt 50.000 österreichischen Unternehmen (sortiert nach Bezirk und Branche) einer Analyse unterzogen. Schwerpunkt der Analyse waren bekannte Sicherheitsschwachstellen - Softwarefehler, für die bereit ein Patch vorliegt, dieser aber vom Betreiber des Servers noch nicht eingespielt wurde.
Der daraus resultierende schlechte Wartungszustand der IT-Infrastruktur attestiert den betroffenen Unternehmen eine geringe Widerstandskraft bei Cyber-Angriffen und zieht Internet-Kriminelle regelrecht an.
Die Situation in Österreich ist alarmierend
Unsere Auswertung zeigt: Der sichere Betrieb von IT-Infrastruktur in Österreichs Unternehmen hat offensichtlich eine zu geringe Priorität. Viele Unternehmen, aber auch der öffentlichen Bereich verhalten sich so, als ob Hacker-Angriffe sie nicht betreffen und das obwohl der Bereich Cybercrime im Jahr 2019 knapp 28.500 Straftaten - laut der Statistik des BKA’s - zugeordnet werden. Das ist ein Plus von knapp 45% im Vergleich zum Vorjahr. Die Aufklärungsquote im Bereich Cybercrime sinkt und daher sollte mehr in die IT-Sicherheit investiert werden.
Im nebenstehenden Bild sieht man die Auswertung über die mittlere Anzahl von nicht-behobenen Schwachstellen pro untersuchtem Server. Kurz gesagt: Es besteht Nachholbedarf!
Das österreichische Gesetz zur Gewährleistung eines hohen Sicherheitsniveaus von Netz- und Informationssystemen (NISG)
Neben der Europäischen Datenschutzgrundverordnung (DSGVO), welches in erster Linie zum Schutz der Daten von Personen existiert gint es das österreichische Gesetz zum Schutz von Netz- und Informationssystem (NISG). Ziel des NISG ist der Schutz und das Aufrechterhalten des gesellschaftlichen Lebens in Österreich. Natürlich gibt es auch in den anderen europäischen Staaten ein vergleichbares Gesetz (Umsetung der EU-Richtlinie 2016/1148): In Deutschland ist dies unter dem Namen KRITIS- bzw. BSI-Gesetz bekannt.
In Österreich gelten Anbieter “wesentlicher Dienste” (gem. §16 NISG) der folgenden Sektoren als besonders schützenswert:
- Energie
- Verkehr
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasserversorgung
- Digitale Infrastruktur
In unserer Studie wurden auch die IT-Systeme von NISG-pflichtigen Unternehmen erfasst. Leider gibt es auch in diesem sensiblen Bereich viele schwarze Schafe.