Viele Unternehmen in Deutschland sind aus Sicht von Fachleuten noch immer zu wenig auf kriminelle Attacken über das Internet vorbereitet. Dabei nehme die Bedrohung zu - nicht nur die Zahl der Angriffe steige, auch der Schaden wachse, zudem betreffe das Thema inzwischen eigentlich jeden Bereich. "Grundsätzlich muss man davon ausgehen, dass heute mehr oder weniger alle Branchen im Fokus stehen", sagt der IT-Experte der Unternehmensberatung Oliver Wyman, Claus Herbolzheimer.

Neben Industriespionage geht es dabei etwa um Zugriff auf Geld, Betrug, Datendiebstahl oder Sabotage. Die Beratungsfirma KPMG geht nach einer Umfrage davon aus, dass inzwischen 40 Prozent aller Unternehmen bereits Ziel von Attacken waren. 2013 habe der Anteil bei 26 Prozent gelegen. Ein typisches Delikt gebe es nicht. "Unternehmen müssen sich deshalb buchstäblich gegen alle möglichen Risiken wappnen", teilte KPMG-Experte Alexander Geschonneck jüngst mit. "Besorgniserregend ist die Tatsache, dass vor allem Unternehmen, die bisher noch kein Opfer von Computerkriminalität wurden, sich in trügerischer Sicherheit wiegen."

Hohe Dunkelziffer

Und die Schäden können rasch bedrohliche Ausmaße annehmen. Dabei ist es gar nicht so einfach, die Folgen zu beziffern, oder die genaue Entwicklung der Angriffe einzuschätzen. Einig sind sich die Experten, dass es mehr wird. Das Bundeskriminalamt (BKA) schätzt in seinem Cyber-Lagebild für 2013 die Schäden durch Cyber-Kriminelle in Deutschland allein aus den Delikten Computerbetrug und dem "Betrug mit Zugangsberechtigungen zu Kommunikationsdiensten" auf knapp 43 Millionen Euro. Andere Schäden erfasst die polizeiliche Statistik nicht - vor allem aber ist die Dunkelziffer enorm. Nach Schätzungen der Ermittler erfasst die Statistik nur etwa neun Prozent der Taten. Das Center for Strategic and International Studies (CSIS) aus den USA schätzt die jährlichen Verluste durch Cyber-Kriminalität in Deutschland sogar auf 43 Milliarden Euro. Die Zahl der Cyber-Attacken wächst laut CSIS weltweit pro Jahr um 20 Prozent.

Die Angreifer würden immer professioneller - und sie verdienen auch mit ihrem Fachwissen Geld. "Die Täter begehen heute nicht mehr nur die Straftaten im eigentlichen Sinne, sondern bieten auch die zur Begehung von Straftaten erforderliche Schadsoftware oder gar komplette kriminelle Infrastruktur", heißt es beim BKA.

Folgekosten durch Reputationsverlust

Viele Opfer bemerken gar nicht, dass sie Ziel eines Angriffs wurden. Ein weiterer Grund für die geringe Erfassung der Taten sei, dass "der Geschädigte - häufig ein Unternehmen - die erkannte Straftat nicht anzeigt, um beispielsweise im Kundenkreis die Reputation als sicherer und zuverlässiger Partner nicht zu verlieren", betont das BKA. Und tatsächlich sind sogenannte Reputationsschäden, also die Folgen eines Angriffs für das Image einer Firma äußerst unangenehm. "Die Schäden können enorm sein. Firmen drohen nicht nur Umsatzeinbußen, es können auch weitere Kosten entstehen", sagt IT-Experte Herbolzheimer.

Für Firmen gebe es viel zu tun. Zwar wachse das Bewusstsein in vielen Firmen, dass die sogenannte Cyber-Kriminalität eine ernstzunehmende Bedrohung ist und schlimmstenfalls einen Betrieb in Existenznöte bringen kann, heißt es bei Oliver Wyman. Doch gerade in kleineren Firmen finde das Thema häufig noch zu wenig Beachtung. "Im Prinzip gilt schon: Je größer das Unternehmen, desto besser ist die Vorsorge." Gerade in sensiblen Branchen wie der Rüstungsindustrie gehören Attacken aus dem Netz seit Jahren zum Alltag. Doch es gibt auch Sparten, die nicht jeder auf der Rechnung hat. "Eine Branche, bei der man es vielleicht nicht gleich denkt, ist die Hotellerie", sagt Herbolzheimer. "Da geht es gar nicht primär um die Unternehmen, aber etwa um Zugriff auf Funknetzwerke, um Gäste auszuspähen." Der mögliche Schaden für eine Hotelkette, sollte eine Abhöraktion in einem Hotel offenbar werden, ist immens. Unternehmen müssten vor allem erkennen, welche Bereiche wichtig und schützenswert sind, um Maßnahmen ergreifen zu können. "100-prozentigen Schutz können sie nicht erreichen. Es ist aber wichtig, dass die Firmen wissen, worauf sie sich konzentrieren müssen."