- Startseite
- Versicherungen
-
Cyber-Schadensbericht: Wie sich die Bedohungslage entwickelt
Der jetzt veröffentlichte „Cyber-Schadensbericht 2024“ des Cyber-Assekuradeurs Stoïk liefert Einblicke in die digitale Bedrohungslandschaft. Dabei zeige die Analyse von Schadensfällen bei rund 5.000 eigenen versicherten Gewerbe- und Industrieunternehmen ein widersprüchliches Bild.
Die Schadenshäufigkeit stieg leicht von 3,8 Prozent auf 4,3 Prozent, während Ransomware-Angriffe zunächst zurückgingen, später im Jahr jedoch wieder deutlich zunahmen. Gleichzeitig verzeichnete man einen signifikanten Anstieg bei Betrugsfällen. Dennoch sieht der französische Assekuradeur, der sein Deutschlandgeschäft 2023 in Köln startete und nach eigenen Angaben europaweit mit mehr als 1.000 Versicherungsmaklern zusammenarbeitet, bei der insgesamt nur geringen Zunahme von Schadenfällen eine weiterhin noch stabile Sicherheitslage.
Zunahme von Angriffen auf nicht bekannte Sicherheitslücken
Während zu Jahresbeginn weniger Ransomware-Attacken beobachtet wurden – möglicherweise weil die berüchtigte Hackergruppe Lockbit zerschlagen wurde – stieg die Zahl der Vorfälle im Jahresverlauf deutlich an, so der Report.
Besondere Aufmerksamkeit aus Sicht von Stoïk erregten der Angriff auf den IT-Dienstleister Axido, der Sicherheitsvorfall bei Crowdstrike sowie die Entdeckung mehrerer sogenannter Zero-Day-Schwachstellen. Dahinter verbergen sich unentdeckte Fehler und Sicherheitslücken in einer Anwendung oder einem Betriebssystem, für die es keinen Schutz oder Patch gibt, weil der Softwarehersteller nicht weiß, dass sie existiert. Die Ereignisse hätten das erhebliche systemische Risiko und die weitreichenden Folgen erfolgreicher Angriffe verdeutlicht.
Ransomware war dabei für 12,4 Prozent aller Fälle verantwortlich. „Obwohl sie nicht die häufigste Form ist, bleibt sie eine der größten Sorgen für Versicherer – vor allem wegen ihrer überproportional hohen finanziellen Auswirkungen“, berichtet Veyrat. „Diese Angriffe verursachen erhebliche Betriebsunterbrechungen und hohe Kosten für die Bewältigung des Vorfalls, darunter Krisenmanagement, Forensik und Systemwiederherstellung.“
Olympische Spiele als Katalysator für Cyberangriffe
Ein besonders kritischer Zeitraum war nach Aussage der Analysten die Phase der Olympischen und Paralympischen Spiele in Paris. Die Sorge um die Cybersicherheit habe während dieses internationalen Großereignisses spürbar zugenommen. Obwohl während der Spiele zahlreiche Daten entwendet wurden, machten sich diese Vorfälle erst ab September in Form einer Welle von Ransomware-Angriffen bemerkbar.
„2024 war ein paradoxes Jahr: Trotz des Rückgangs der Ransomware-Angriffe bleiben die Schwachstellen im globalen digitalen Ökosystem alarmierend. Die Ereignisse verdeutlichten, wie eng verzahnt unsere IT-Systeme inzwischen sind und welche systemischen Risiken daraus entstehen. Cybersicherheit ist eine Aufgabe, die gemeinsam von Staaten, Unternehmen und Fachexperten gemeistert werden muss“, sagt Jules Veyrat, Vorstandsvorsitzender und Mitgründer von Stoïk.
Drastischer Anstieg bei Zahlungsbetrug und E-Mail-Kompromittierung
Neben Ransomware stellten Zahlungsbetrug und kompromittierte E-Mail-Konten weiterhin gravierende Risiken dar. Der Bericht verzeichnet einen besonders starken Anstieg beim Zahlungsbetrug, mit einem durchschnittlichen Schaden von 54.876 Euro pro Fall. Die Angreifer nutzten dabei verschiedene Methoden: 37,1 Prozent der Fälle erfolgten durch Betrug per E-Mail oder Telefon, 28,6 Prozent durch direkte Hacks der IT-Systeme und 34,3 Prozent durch Angriffe über kompromittierte Drittsysteme.
Besonders betroffen waren laut Stoïk das Hotelgewerbe, wo Kriminelle vermehrt gehackte Booking-Konten für ihre Zwecke missbrauchten, sowie der Großhandel, wo nach erfolgreichen E-Mail-Hacks gefälschte Zahlungsdaten zum Einsatz kamen. Bei der Kompromittierung von E-Mail-Konten falle auf, dass hauptsächlich Microsoft-365-Konten (95 Prozent) betroffen waren, während Google Workspace und lokale Mailserver weitgehend verschont blieben.
Angesichts dieser Erkenntnisse empfiehlt Stoïk die flächendeckende Einführung einer Multifaktor-Authentifizierung (MFA), doppelter Zahlungsfreigaben, automatisierter Betrugserkennung bei E-Mails sowie einer erweiterten Protokollierung, um Angriffe frühzeitig zu erkennen und abzuwehren. Generell unterstreicht der Bericht die Vorteile eines proaktiven Ansatzes in der Cybersicherheit.
Ausblick 2025: Mehr Risiken und strengere Vorschriften
Für das Jahr 2025 erwarten die Experten eine Zunahme systemischer Risiken, striktere regulatorische Anforderungen und eine beschleunigte technische Entwicklung – sowohl bei Angriffs- als auch bei Verteidigungstechnologien. Zulieferer und IT-Dienstleister dürften weiterhin bevorzugte Ziele von Cyberkriminellen bleiben, was eine noch engere Kooperation zwischen Unternehmen, Behörden und Fachorganisationen erforderlich mache.
Zusätzliche Herausforderungen entstehen laut Stoïk durch geopolitische Spannungen, die gezielte Angriffe auf bestimmte Branchen und Regionen verstärken könnten. Gleichzeitig erhöhten neue Vorschriften wie NIS 2 und Dora die Anforderungen an die Cybersicherheit und verwandelten Compliance zunehmend in einen Wettbewerbsvorteil.
Veraltete Infrastrukturen blieben eine große Herausforderung. Zudem werde die Künstliche Intelligenz sowohl von Angreifern als auch Verteidigern vermehrt genutzt, was einerseits die Sicherheit stärke, andererseits jedoch neue Angriffsflächen schaffe.
Kritische Einordnung der Untersuchung
Die Angaben basieren auf Schadensfällen, die zwischen dem 1. Januar 2024 und dem 31. Dezember 2024 in Deutschland und drei weiteren Ländern beim Anbieter gemeldet wurden. Als Schadensfall wird dabei jeder von einem Versicherungsnehmer gemeldeter Sicherheitsvorfall, der zur Aktivierung mindestens
einer der Garantien des Versicherungsvertrags führt, angesehen.
Da Stoik zu seiner Kundenstruktur und der weiteren Methodik keine Angaben macht, ist eine Einschätzung, inwieweit diese selektive Stichprobe den Markt insgesamt widerspiegelt, nicht möglich. Als Anbieter von Cyberversicherungen hat man ein geschäftliches Interesse daran, die Wirksamkeit der eigenen Präventionsmaßnahmen positiv darzustellen. Somit ist sicherlich nicht von einer Objektivität in der Ergebnisinterpretation auszugehen.
