Berlin. Jedes zweite Unternehmen in Deutschland ist von Cyber-Spionage betroffen. Der jährliche Schaden beträgt geschätzt 55 Milliarden Euro.

Jedes zweite Unternehmen wird digital ausspioniert. Am häufigsten werden Notebooks und Smartphones gestohlen, um an Finanz-, Kunden- und Mitarbeiterdaten zu kommen. Der jährliche Schaden für die deutsche Wirtschaft durch Cyberattacken wird auf 55 Milliarden Euro geschätzt – mehr als doppelt so viel wie der Berliner Landeshaushalt. Das ergab eine Befragung des Digitalverbands Bitkom unter 1.069 Geschäftsführern. „Eine unglaubliche Schadensbilanz“, sagte der Präsident des Bundesamts für Verfassungsschutz, Hans-Georg Maaßen, am Freitag bei der Vorstellung der Studie.

Bitkom-Präsident Achim Berg ist überzeugt, dass spektakuläre Großangriffe wie zuletzt mit der Schadsoftware Wanna Cry „nur die Spitze des Eisbergs sind“. 62 Prozent der Täter sind eigene, zumeist frühere Mitarbeiter, 41 Prozent Kunden, Lieferanten, Konkurrenten sowie 21 Prozent Hacker. Nur drei Prozent gehen auf Geheimdienste zurück; dabei handelt es sich jedoch um komplexere Angriffe wie zum Beispiel auf das Deutsche Zentrum für Luft- und Raumfahrt, das 2013 und 2014 monatelang ausgespäht worden ist, vermutlich von einem chinesischen Geheimdienst.

Schaden ist signifikant gestiegen

Am häufigsten führt die Spur nach Deutschland (37 Prozent), Osteuropa (23 Prozent), China (20 Prozent), Russland (18 Prozent) und in die USA (15 Prozent). In 16 Prozent der Fälle ist nicht feststellbar, wo der Angreifer sitzt. Schon 2015 war Bitkom zu ähnlichen Ergebnissen gekommen. Signifikant gestiegen ist seither noch einmal der Schaden, nämlich um acht Prozent. Und die Angriffsfläche wird nach Maaßens Überzeugung mit der Industrie 4.0 „größer werden“. Die Schadenssumme ist eine Schätzung – sie soll alarmieren und die Dimension verdeutlichen.

Man kann nicht immer genau taxieren, was der Verlust von Patentgeheimnissen kostet oder wie hoch der Schaden ist, wenn bei einer Ausschreibung der Mitbewerber die Angebote einsehen kann. Wie groß die Unsicherheit ist, erkennt man an zwei weiteren Ergebnissen der Umfrage.

Vor allem kleinere Unternehmen häufig nicht gut geschützt

Zusätzlich zu den 53 Prozent, die Opfer von Spionage, Sabotage und Datendiebstahl waren, haben 26 Prozent der Befragten angegeben, dass sie „vermutlich“ angegriffen worden sind. Das ist glaubhaft, wenn man bedenkt, dass nur ein Prozent der Angriffe durch das eigene Sicherheitssystem entdeckt werden. In 30 Prozent der Fälle werden die Unternehmen schlicht durch Zufall auf Angriffe aufmerksam.

Über die besonders gefährdeten Branchen kann Bitkom keine Angaben machen. Fest steht aber, dass Betriebe in der Größenordnung zwischen 100 und 500 Mitarbeitern am stärksten betroffen sind. Bitkom-Präsident Berg führt dies darauf zurück, dass die mittelständischen Betriebe „besonders innovativ“ und als Lieferanten interessant sind: als Einfallstür, um an die Großkonzerne heranzukommen. Hinzu kommt, dass die kleineren Unternehmen häufig nicht so gut geschützt sind. Sie scheuen Aufwand und Kosten.

Angriffe werden meist verheimlicht

Möglicherweise unterschätzen sie immer noch die Gefährdung. Ein Indiz dafür ist, dass nur 53 Prozent der Unternehmen ihre Mitarbeiter in Sachen Cybersicherheit schulen. „Das ist schon wirklich grob fahrlässig“, meint Berg. Der menschliche Faktor sei „ganz bedeutsam“, pflichtet Maaßen bei. Bei den Innentätern ist nach seiner Erfahrung „Geld in vielen Fällen nicht entscheidend“. Sondern? Emotionen. Unzufriedenheit und mangelnde Identifikation seien oft die Motive für Angreifer.

Cyberattacken werden intern analysiert, aber den Behörden zumeist verheimlicht. Nur knapp jedes dritte Unternehmen (31 Prozent) alarmiert nach einem Angriff Polizei oder Geheimdienste, weil es den Imageschaden scheut oder bezweifelt, dass die Täter gefasst werden. Die Sicherheitsbehörden sind allerdings auf die Meldungen angewiesen. Denn wie sollen sie sich sonst ein realistisches Lagebild machen und Abwehrstrategien entwickeln?